كاسبرسكي: أول حملة اختراق موثقة يديرها نموذج لغوي ضد مؤسسات تعليمية

أبرز النقاط

1. كاسبرسكي رصدت حملة خبيثة استخدمت إطار CyberStrikeAI لإدارة مراحل ما بعد الاختراق آلياً
2. الضحايا المؤكدون مؤسسات تعليمية في عدة دول بأفريقيا وأميركا اللاتينية، وصل الاختراق إلى النطاق بالكامل
3. الشركة تعتبرها من أوائل الحالات العلنية لاختراق فعلي يشارك فيه نموذج لغوي ميدانياً

خبر:

وصل مهاجمون إلى السيطرة الكاملة على نطاق مؤسسات تعليمية في دول بأفريقيا وأميركا اللاتينية، عبر إطار مفتوح المصدر اسمه CyberStrikeAI يتولى فيه نموذج لغوي على خادم التحكم تخطيط الخطوات واختيار الأدوات وتوليد الأوامر. وبحسب فريق استخبارات التهديدات في كاسبرسكي، فإن الوصول الأولي جرى عبر خادم SQL Server مخترق بالإصدار 16.0.1000.

تفصيل:

• آلية الإطار: بحسب كاسبرسكي، CyberStrikeAI منصة مفتوحة المصدر معيارية مكتوبة بلغة Go لأتمتة اختبار الاختراق، وتجمع داخل عملية خادم واحدة بين تنسيق الهجوم عبر نموذج لغوي وخادم قيادة وتحكم مدمج مع عملاء. وظائف القيادة والتحكم متاحة للنموذج بوصفها أدوات MCP.
• توزيع القرار: وفق التحليل، يبقى التخطيط الاستراتيجي بيد المشغّل البشري الذي يحدد المهمة بخطوطها العامة، بينما يحدد النموذج كيفية التنفيذ: أي أوامر تُرسل إلى الجهاز وبأي تسلسل. الزرعة نفسها خالية من أي وظائف ذكاء اصطناعي، بلا مفاتيح واجهات برمجية أو منطق مستقل.
• خط زمني: المرحلة الأولى تقليدية ونفذها مشغّل بشري: جمع معلومات أساسية عن الجهاز، ونشر أدوات، واستطلاع شبكي استغرق نحو يوم كامل، تلاه توقف لأسبوعين. المرحلة الثانية بدأت بنشر عميل CyberStrikeAI الذي يتلقى أوامره من المنسّق اللغوي على الخادم.
• سرعة التنفيذ: بحسب كاسبرسكي، أنجز العميل تثبيت البقاء والاستطلاع المحلي خلال دقيقتين، ثم استطلاع النطاق خلال 5 ساعات. وبعد توقف لعدة أيام جاءت المرحلة الأخيرة: حركة جانبية عبر SMB وWMI، وسحب بيانات اعتماد واسع، وتصدير قواعد بيانات، في أقل من ساعة.
• التخفي: رصد الباحثون ترميز الأوامر بـBase64 لتجاوز الكشف القائم على الكلمات المفتاحية، وتشويش استعلامات SQL وLDAP، وتقسيم الحمولة الخبيثة إلى ملفات متعددة جُمّعت لاحقاً وفُكّ ترميزها بأداة certutil. كما جرى تمويه اسم العميل ليشبه عملية نظام شرعية باسم svchosts.exe.
• البقاء في النظام: على ويندوز أنشأ العميل مهمة مجدولة باسم SystemUpdate تشير إلى مسار الزرعة، مع طريقة بديلة عبر مفتاح التسجيل Run. وعلى لينكس عبر إضافة سطر إلى crontab أو إلى ملف bashrc. اختيار الطريقة مفوّض للنموذج اللغوي نفسه.
• رقابة بشرية: بحسب الشركة، تتيح آلية الإنسان في الحلقة للمشغّل الاحتفاظ بالسيطرة الكاملة، إذ قد تتطلب الأوامر التي يولّدها النموذج موافقة يدوية أو تصحيحاً قبل تنفيذها. بذلك يظل القرار النهائي بشرياً رغم أتمتة الخطوات التقنية.
• مؤشرات التتبع: حدّدت كاسبرسكي آثاراً تسمح بالكشف والإسناد: شهادة TLS موقّعة ذاتياً يظهر فيها اسم الإطار، ومسار حزمة ثابت داخل بيانات بناء الزرعة، وترويسة X-Implant-Token بقيمة ثابتة فريدة لكل خادم تحكم. كما حمل بعض السكربتات تعليقات مكتوبة بالصينية.
• البنية التحتية: وفق التحليل، كانت إحدى الحمولات سكربت PowerShell باسم p1.ps1 يعمل كصدفة عكسية متصلة بخادم على العنوان 185.186.245.144 عبر المنفذ 5501، وجرى توزيعه عبر مجلدات شبكية إدارية مشتركة وبروتوكول WMI. وسكربت آخر استهدف فك تشفير أسرار DPAPI.

خلفية:

بحسب كاسبرسكي، اقتصر استخدام النماذج اللغوية لدى المهاجمين حتى وقت قريب على المراحل التحضيرية: كتابة رسائل تصيّد، وتنقيح الشيفرة، والبحث عن ثغرات. الجديد هنا دخولها إلى صلب الهجوم، وتحديداً مرحلة ما بعد الاستغلال التي كانت تتطلب عملاً يدوياً من مشغّل خبير.

بين السطور:

دلالة الحالة تكمن في أن الزرعة على جهاز الضحية تبدو كجلسة تحكم عن بُعد عادية، لأن النموذج يؤثر في كيفية اتخاذ القرار لا في طريقة إيصال الأوامر. وقد ينعكس ذلك على التتبّع: تشير كاسبرسكي إلى أن إصدار الزرعة لا يعكس إصدار الخادم، وأن تاريخ بناء العينة يحدد أقدم موعد ممكن للنشر دون أن يقيس مدة الاختراق فعلياً.

ماذا بعد؟

المؤشرات القابلة للتتبع: ظهور مهمة مجدولة باسم SystemUpdate، وحركة اتصال نحو 185.186.245.144:5501، وترويسة X-Implant-Token في حركة HTTP، إضافة إلى شهادات TLS موقّعة ذاتياً تحمل اسم الإطار.