في ظل تزايد التهديدات السيبرانية، تكشف التقارير الأخيرة عن استخدام المخترقين المدعومين من الدولة الروسية للذكاء الاصطناعي لإعادة بناء أدواتهم بعد اكتشافها. هذه التطورات تثير القلق بشأن الأمن السيبراني العالمي.
المخترقون المدعومون من الدولة الروسية يستخدمون Claude لإعادة بناء البرمجيات الخبيثة بعد اكتشافها
كشفت شركة Anthropic يوم الخميس أنها عطلت حملة نفذها أحد الفاعلين المدعومين من الدولة الروسية، والذي استغل Claude لتطوير سير عمل مدعوم بالذكاء الاصطناعي للتفوق على أدوات الكشف.
الجهة المنفذة
تمت الإشارة إلى هذه العملية من قبل مجموعة التجسس السيبراني التي تسميها GTG-20006 (حيث “GTG” تعني مجموعة التهديدات التوليدية)، والتي تتماشى مع التقارير الأوسع التي تربط هذه المجموعة بـ Midnight Blizzard (المعروفة أيضًا باسم APT29 وCozy Bear).
الأساليب المستخدمة
يُقال إن هذا الفاعل قد طور عملية مدفوعة بالذكاء الاصطناعي لإعادة بناء وإعادة نشر أدواته تلقائيًا إذا تم اكتشافها بواسطة منتجات الأمان، مما يضعف قدرة المدافعين على حظر الأدوات عبر الاكتشاف الثابت.
استهدفت الهجمات التي نفذتها GTG-20006 أهدافًا عسكرية واستخباراتية في الحكومات الأوكرانية والأوروبية، بالإضافة إلى المنظمات الدبلوماسية والدفاعية والأفراد المرتبطين بالسياسة الخارجية الأمريكية.
أدوات الهجوم
تتضمن مجموعة الأدوات عددًا من البرامج:
- اثنان من البرمجيات الخبيثة المستندة إلى ويندوز
- مجموعة استغلال الهواتف المحمولة
- أداة لسرقة بيانات الاعتماد تستهدف متاجر كلمات مرور المتصفح
- منصة تصيد احتيالية مصممة لتقليد الأهداف ذات الأولوية مثل المنظمات الحكومية
- وحدة تحكم إدارية تستخدم لإدارة الحسابات المخترقة
“كما استخدم الفاعل الذكاء الاصطناعي لمراقبة مدى نجاح أدواته في التهرب من اكتشافات الدفاعات الأمنية المعروفة،” أوضحت Anthropic. “إذا حددت وكالات الذكاء الاصطناعي الخاصة بهم أن أيًا من البرمجيات الخبيثة التي نشرها تم اكتشافها بواسطة منتج أمان، فإن الوكالات ستبدأ عملية تعديل وإعادة بناء البرمجيات الخبيثة لتفادي الاكتشافات القائمة.”
بمجرد أن تتمكن الأدوات من تجاوز الاكتشاف، يتم إعدادها على خوادم استضافة مؤقتة يتم توجيه الضحايا إليها لاسترداد البرمجيات الخبيثة من خلال التصيد، ClickFix، ومخططات اختطاف DNS.
استهداف المنظمات
تم ملاحظة الفاعل وهو يستخدم سير العمل المدعوم بالذكاء الاصطناعي لتسجيل النطاقات، وإنشاء البنية التحتية للاستضافة المستخدمة لإرسال رسائل التصيد، بالإضافة إلى توصيل الرسائل ومراقبة قنوات القيادة والسيطرة (C2) للنجاحات في الاختراق.
تم تحديد أكثر من 20 منظمة متميزة على مدار عمليات الاستطلاع والعمليات الحية، بما في ذلك وزارات حكومية، وهيئات الدفاع والاستخبارات، والسفارات والمهمات الدبلوماسية، ومراكز الفكر، والشركات الصناعية الدفاعية، بشكل رئيسي في أوكرانيا وأوروبا. كما امتدت الهجمات إلى الشرق الأوسط والوكالات الحكومية المتعلقة بالملاحة في آسيا.
التقنيات المستخدمة
تتداخل هذه الجهود أيضًا مع حملة تُعرف باسم CaptiveCrunch التي وثقتها مؤخرًا ReliaQuest وMicrosoft وGoogle وLumen Black Lotus Labs.
“قام الفاعل باختراق ما لا يقل عن ثلاثة بائعي ضيافة يعملون على شبكة Wi-Fi للضيوف في الفنادق،” قالت Anthropic. “استخدموا بيانات اعتماد إدارية مخترقة لتعديل سجلات DNS بحيث تشير إلى خدمات مملوكة للفاعل (تقنية تُعرف باختطاف DNS).”
في المرحلة التالية، تم تقديم إغراءات على نمط ClickFix لتسليم البرمجيات الخبيثة المستهدفة لنظامي ويندوز وأندرويد وiOS:
- ويندوز – PowerChrome، WUEngine، Shadow C2، MiniPlasma، CloudSyncSvc
- أندرويد – GiftDrop، نسخة معاد تسميتها من GiftsExpress RAT للمراقبة
- iOS – DarkSword
علاوة على ذلك، تم العثور على الفاعل وهو يستخدم البيانات المسروقة من أنظمة إدارة الفنادق وأجهزة الضيوف لتحديد أهداف إضافية، وخاصة الأفراد المرتبطين بأوكرانيا، مثل المسؤولين الحكوميين ومصنعي الطائرات بدون طيار.
يتم تعزيز ذلك بمحاولات للاستيلاء على حسابات WhatsApp الخاصة بالضحايا باستخدام متصفحات غير مرئية لربط حسابات الضحايا كأجهزة مصاحبة، وفي النهاية تصدير محادثات اللغة الروسية والأوكرانية بكميات كبيرة منها مع قمع إيصالات القراءة.
“استهدف الفاعل أيضًا منصات المراقبة،” قالت Anthropic. “وجدوا ثغرات في واجهة تطبيق خدمات بث الكاميرات، ومن هناك قاموا بتعداد المستخدمين وجمع الرموز التي منحتهم الوصول إلى تدفقات الكاميرا الحية للضحايا.”
تمت الإشارة إلى GTG-20006 في اختراق استهدف هيئة تكنولوجيا حكومية في شمال إفريقيا، مستغلًا بيانات اعتماد لجهاز VPN لاختراق خادم الحساب المركزي وسرقة قاعدة بيانات كاملة من بيانات الهوية الوطنية تضم أكثر من 300,000 سجل وبيانات السجل التجاري لأكثر من نصف مليون شركة تعمل في البلاد.
تم تطوير منصة تجسس بريد إلكتروني سحابية من قبل الفاعل، والتي استخدمت إطار عمل تصيد رموز الأجهزة المعروف باسم Embassy Kit لتنظيم حملة سرقة رموز Microsoft 365 تستهدف الموظفين الدبلوماسيين والحكوميين، مما أدى إلى الوصول غير المصرح به وسرقة سجلات البريد من ما لا يقل عن ثماني منظمات، بما في ذلك مكتب المدعي العام الوطني، ومعهد التعليم العسكري، ومنظمة حكومية إقليمية.
كما لوحظ الفاعل وهو يقوم بتسليم أدوات سرقة بيانات الاعتماد الخاصة بويندوز عبر إغراءات اجتماعية مزيفة تتعلق بالتحديثات، بالإضافة إلى أدوات مساعدة لتسهيل الوصول عن بُعد والتلاعب بتحديثات أمان آلة الضحية بحيث تظل الأدوات غير مكتشفة.
“استخدم الفاعل الذكاء الاصطناعي في كل نقطة من عملياتهم،” قالت Anthropic. “في البيئات المحلية، استخدم الفاعل الذكاء الاصطناعي لمراقبة التخفي والثبات لأدواته. “نتيجة ما سبق هي أن الذكاء الاصطناعي قد عكس التكلفة على المدافعين. في السابق، كان بإمكان المدافعين إبطاء وتيرة العمليات للفاعل من خلال نشر اكتشاف جديد.”
تتطلب هذه الأساليب المتطورة من المدافعين عن الأمن السيبراني تطوير استراتيجيات جديدة لمواجهة التهديدات المتزايدة. يجب أن نكون يقظين ونتبنى تقنيات متقدمة لمواجهة هذه التحديات.
