هکرهای چینی با فریمورک هوش مصنوعی ARTEX AI به ۲۰۰ سازمان در جهان حمله کردند

هکرهای چینی از ARTEX، یک فریمورک متن‌باز آزمون نفوذ مبتنی بر ایجنت‌های هوش مصنوعی، در حملات گسترده علیه بیش از ۲۰۰ سازمان در ۱۴ کشور جهان استفاده کرده‌اند.

این عملیات از ۱۷ اکتبر آغاز شده و وزارتخانه‌های دولتی، اپراتورهای مخابراتی و سازمان‌هایی در بخش‌های داروسازی، نیمه‌رسانا، دفاعی، هسته‌ای و مالی را هدف قرار داده است.

مهاجمان سایبری موفق شده‌اند دست‌کم ۹ سازمان را هک کنند و هم‌چنین حملات حدس فراگیر گذرواژه (Password Spraying) و پویش اطلاعات هویتی را علیه حداقل ۱۲ هدف باارزش دیگر به اجرا درآورند.

به‌گفته پژوهشگران شرکت امنیتی CrowdStrike، این کارزار نشان‌دهنده تحول و ارتقای جدی در نحوه به‌کارگیری ایجنت‌های هوش مصنوعی توسط گروه‌های وابسته به چین است؛ رویکردی که نفوذهای فردی و پراکنده را به درگیری‌های چندگانه و هم‌زمان با هدایت یک ناظر انسانی تبدیل کرده است.

قربانیان تاییدشده شامل ارائه‌دهندگان خدمات مخابراتی در آمریکا و بلژیک، سازمان‌های دولتی در یونان، خاورمیانه و آمریکای لاتین و هم‌چنین شرکت‌های داروسازی در آمریکا هستند.

پژوهشگران این گروه هکری را با نام Vapor Panda ردیابی می‌کنند و می‌گویند در حمله به نهاد دولتی یونان، ایجنت‌های هوش مصنوعی با بهره‌گیری از کلیدهای احراز هویتِ استخراج‌شده از نسخه پشتیبان سال ۲۰۲۲ سرور ایمیل، توکن دسترسی مدیر سیستم را جعل کرده و به صندوق‌های پستی وارد شده‌اند.

فریمورک ARTEX AI مجموعه‌ای اختصاصی برای آزمون نفوذ است که توسط توسعه‌دهندگان چینی طراحی شد و ابتدا به‌صورت متن‌باز انتشار یافت؛ بااین‌حال پس از به‌کارگیری در حملات واقعی از جمله عملیاتی علیه نهادهای مالی کره جنوبی، سازندگانش آن را تجاری و منبع‌بسته کردند.

گروه Vapor Panda در تازه‌ترین عملیات جاسوسی سایبری خود از مدل DeepSeek و یک مدل زبانی تجاری و ناشناخته دیگر برای هماهنگی برنامه‌ریزی‌ها و مدیریت ایجنت‌های عملیاتی در چندین نفوذ هم‌زمان بهره برده است.

شرکت CrowdStrike اعلام کرده است که مهاجمان دستورها را به زبان چینی صادر می‌کردند و در نقاط عطف و حساس که نیاز به تصمیم‌گیری استراتژیک بود، به‌شکل دستی وارد عمل می‌شدند.

ایجنت‌های هوش مصنوعی اقداماتی نظیر شناسایی شبکه، بهره‌برداری از آسیب‌پذیری‌ها، بارگذاری وب‌شل، سرقت اطلاعات هویتی و در صورت لزوم، شناسایی و انتخاب مسیرهای جایگزین نفوذ را به‌صورت خودکار انجام داده‌اند.

اپراتورهای انسانی صراحتاً به ایجنت‌ها دستور داده بودند از سیستم‌های ویندوزی مجهز به ابزار امنیتی Falcon، محصول شرکت CrowdStrike، عبور کنند و تمام توان خود را روی سیستم‌های محافظت‌نشده متمرکز سازند.

برآورد پژوهشگران نشان می‌دهد که ایجنت‌های هوش مصنوعی تنها در جریان یکی از این نفوذها بیش از ۱٫۴ میلیارد توکن ورودی مصرف کرده‌اند.

هم‌چنین CrowdStrike متوجه شد که این گروه هکری برای نفوذ به نهادهای دولتی در آمریکای لاتین و خاورمیانه، از بَک‌دور BLOODALCHEMY استفاده کرده است که از سال ۲۰۲۳ فعالیت دارد.

افشای موارد بیشتر از حملات سایبری با ARTEX AI

موسسه هلندی افشای آسیب‌پذیری (DIVD) جزئیات تازه‌ای از حمله سایبری شهریور ۱۴۰۵ (سپتامبر ۲۰۲۶) به این مرکز منتشر کرده و مسئولیت آن را متوجه یک ایجنت هوش مصنوعی دانسته است.

بر اساس تازه‌ترین گزارش این نهاد، ابزار به‌کاررفته در حمله به شبکه آن‌ها فریمورک ARTEX AI بوده که کاملاً به‌صورت مستقل و خودکار عمل کرده است.

این موسسه در پستی در لینکدین تشریح کرد که نفوذ از نقطه ورود اولیه تا دسترسی به سطح ریشه (Root) تنها ۱۲ دقیقه طول کشیده و مهاجم توانسته است با زنجیره‌سازی یک آسیب‌پذیری روز صفر نرم‌افزار Zammad با یک روز صفر دیگر، سطح دسترسی خود را ارتقا دهد.

این ایجنت مجموعه‌ای از وظایف متعدد را به‌صورت هم‌زمان به پیش برده که شامل خواندن صندوق ایمیل هک‌شده، پویش شبکه داخلی، استخراج توکن‌های ورود و تلاش برای بازیابی گذرواژه‌ها بوده است.

موسسه DIVD بیش از ۴۵۰ هزار درخواست شبکه و ۲۵۰۰ اسکریپت مرتبط با این حمله را به ثبت رسانده و رفتار این ابزار را فعالیتی «بسیار شلوغ، پر سروصدا و آشفته» توصیف کرده است.