التجسس السيبراني المدعوم بالذكاء الاصطناعي: قضية GTG-20006

ماذا حدث

تاريخياً، تتبع أجهزة التجسس السيبراني نمطاً: تطور وتنشر مجموعات أدوات مخصصة مصممة للتهرب من الاكتشاف. تستخدم هذه الأجهزة هذه الأدوات حتى يتعرف المدافعون عليها ويبنون توقيعات لاكتشافها وحظرها، ثم تبدأ دورة جديدة من التهرب والاكتشاف. لذلك، ترفع الدفاعات والاكتشاف القويان تكلفة الخصم. ولكن الآن، قد يقوض تبني الذكاء الاصطناعي بسرعة وسهولة قدرة المدافعين على فرض التكاليف على الخصوم من خلال الاكتشاف الثابت وحده.

GTG-20006 هو جهاز يستخدم الذكاء الاصطناعي لأتمتة العمليات واكتساب السرعة. إن إسنادنا يتوافق مع التقارير العامة التي تربط الجهاز بـ Midnight Blizzard. أحد المشغلين هو متحدث بالروسية يستخدم الاسم «JackPoterz»، وتتوافق أساليبه واختيار أهدافه مع التجسس المرتبط بالدولة الروسية. قام بعمليات ضد أهداف استخبارات عسكرية لحكومات أوكرانية وأوروبية، وكذلك منظمات دبلوماسية ودفاعية وأفراد مرتبطين بالسياسة الخارجية الأمريكية. ولاحظنا GTG-20006 يعمل عبر سير عمل مخصص مدفوع بالذكاء الاصطناعي أتمت معظم عملياته — من التطوير، والحصول على البنية التحتية، والتصيد، واستمرارية القيادة والتحكم، وحتى تسريب البيانات.

استخدم GTG-20006 مجموعة أدوات مخصصة تتكون من نوعين من برامج الزرع لـ Windows، ومجموعة استغلال للهواتف المحمولة، وأداة سرقة بيانات اعتماد تستهدف خزائن كلمات المرور في المتصفحات، ومنصة تصيد مصممة لانتحال هوية أهداف ذات أولوية مثل المنظمات الحكومية، ووحدة تحكم لإدارة الحسابات المخترقة. وخلال العمليات السيبرانية، تمت إدارة كل أداة من هذه الأدوات وتكييفها عند الطلب عبر سير عمل مدعوم بالذكاء الاصطناعي.

استخدم الجهاز أيضاً الذكاء الاصطناعي لمراقبة مدى نجاح أدواته في التهرب من دفاعات الأمان المعروفة. إذا اكتشف وكيل الذكاء الاصطناعي المراقب الخاص به أن أي برنامج ضار منشور تم اكتشافه بواسطة منتجات الأمان، سيبدأ الوكيل في تعديل وإعادة بناء البرنامج الضار بشكل مستقل للتهرب من الاكتشاف الحالي. صُممت هذه الوكلاء لتكرار مجموعة أدوات GTG-20006 باستمرار حتى لا يتم اكتشافها. عند تلك النقطة، يتم نشر الأدوات على خوادم استضافة لمرة واحدة للعمليات المباشرة، وفي عمليات سيبرانية متعددة — بما في ذلك مخططات التصيد وClickFix واختطاف DNS — تم توجيه حركة مرور الضحايا إلى هذه الخوادم لتسليم البرامج الضارة.

ماذا فعل الذكاء الاصطناعي

استخدم الجهاز أيضاً الذكاء الاصطناعي لدفع عمليات التصيد الخاصة به. طور سير عمل مدفوعاً بالذكاء الاصطناعي للبحث عن أسماء النطاقات وتسجيلها، ثم تكوين بنية الاستضافة لإرسال رسائل التصيد. وتم تطوير سير عمل إضافي لإرسال الرسائل ومراقبة قنوات القيادة والتحكم للتأكد من نجاح الاختراقات. كان الجهاز البشري مشاركاً بشكل أساسي في تعديل مهارات Claude Code التي كانت تدفع سير العمل، وتحسينها عند الحاجة.

استخدم الجهاز الذكاء الاصطناعي في كل مرحلة من عملياته:

الاستطلاع: استخدم الجهاز الذكاء الاصطناعي لتحديد خصائص أنظمة البريد والوصول عن بعد وجمع المعلومات من المصادر العامة لبناء قوائم أهداف للتصيد.

الوصول الأولي: استخدم الجهاز الذكاء الاصطناعي لبناء وتشغيل المنصات التي تدير حملات الاختراق هذه. كانت تقنية الوصول الأساسية هي شكل من أشكال تصيد رمز الجهاز الذي أساء استخدام تدفق تسجيل الدخول الشرعي لخدمات البريد السحابي. استخدم الجهاز الذكاء الاصطناعي لإعداد بنية التصيد وأدوات الاستغلال، ونفذ بعض الاختراقات مباشرة تحت إشرافه — بما في ذلك تشغيل الأوامر على أنظمة الضحايا وجمع بيانات الاعتماد والتنقل الجانبي عبر الشبكات.

الجمع والتسريب: استخدم الجهاز الذكاء الاصطناعي لاستخراج وتنظيم مئات الجيجابايت من البيانات المسروقة. في بعض الحالات، تم التسريب عبر تصديرات جماعية من صناديق البريد المخترقة.

الحفاظ على الوصول: استخدم الجهاز الذكاء الاصطناعي للمساعدة في الحفاظ على الوصول إلى الحسابات والمستأجرين المخترقين عن طريق تسجيل الأجهزة التي يتحكم فيها الجهاز تلقائياً كأجهزة رفيقة في مستأجر المنظمة الضحية.

في البيئات المحلية، استخدم الجهاز الذكاء الاصطناعي لمراقبة سرية واستمرارية برامجه المزروعة. عندما تم وضع علامة على البرامج المزروعة بواسطة منتجات الأمان، استخدم الجهاز Claude لتحديد المكونات المكتشفة وتعديلها وإعادة نشرها بشكل منهجي.

النتيجة هي أن الذكاء الاصطناعي ينقل التكاليف مرة أخرى إلى المدافعين. في الماضي، كان المدافعون ربما قادرين على إبطاء وتيرة المهاجم من خلال نشر اكتشافات جديدة. الآن، نظرياً على الأقل، يمكن للخصوم الأقدر «إغلاق الحلقة» والالتفاف على اكتشافات الأمان التقليدية بشكل أسرع مما يستطيع المدافعون تطويره ونشره.

ماذا لاحظ التقرير

حدد تحقيقنا أكثر من 20 منظمة مختلفة ظهرت في تخطيط العمليات والاستطلاع والعمليات الفعلية للجهاز. تشمل هذه إدارات حكومية، ووكالات دفاع واستخبارات، وسفارات وبعثات دبلوماسية، ومراكز أبحاث، وشركات صناعة دفاع — تتركز في أوكرانيا وأوروبا، وتمتد إلى وكالات حكومية بحرية في الشرق الأوسط وآسيا. كان الموضوع المشترك بين الأهداف هو أوكرانيا وموردي وسلاسل توريد تكنولوجيا الطائرات المسيرة العسكرية. تشمل الاستثناءات كياناً حكومياً في جنوب شرق آسيا مرتبطاً بالنقل البحري والتتبع، وهيئة تقنية حكومية في شمال إفريقيا.

كان الأكثر استهدافاً بشكل متكرر هو الموظفون الحكوميون والعسكريون والدبلوماسيون الأوكرانيون. قام الجهاز بمسح خدمات البريد وأنظمة الوصول عن بعد لأكثر من عشرين منظمة حكومية أوكرانية.

كان الهدف الثاني الذي سُرق بشكل متكرر هو تكنولوجيا سلسلة توريد الطائرات المسيرة. قام الجهاز بتصدير صناديق بريد من مصنعين لقطع غيار الطائرات المسيرة بشكل جماعي، واستهدف مصنعاً للطائرات المسيرة العسكرية، وسرق مجموعة تطوير برامج احترافية كاملة لنظام رؤية طائرة مسيرة. أمضى أياماً في الهندسة العكسية لنظام رؤية الطائرة المسيرة، مستعاداً بنية منتجها، وقائمة المواد الخام للعتاد، وتبعيات الموردين، وتفاصيل منتج غير منشور. بدا أن البرامج الثابتة المتعلقة بالتحكم في الطائرات المسيرة العسكرية والرؤية بالذكاء الاصطناعي ذات اهتمام خاص.

لم تكن جميع الأهداف مباشرة: للوصول إلى الأهداف بشكل غير مباشر، اخترق الجهاز 3 مزودي واي فاي للفنادق على الأقل يديرون واي فاي غرف الضيوف. استخدم بيانات اعتماد مسؤول مخترقة لتعديل سجلات DNS لتشير إلى خدمات يملكها الجهاز (تقنية تعرف باسم اختطاف DNS). عندما يتصل ضيوف الفنادق الذين يستخدمون المزودين المخترقين بشبكة واي فاي الفندق، يتم إرسال حركة مرورهم ومعرفات أجهزتهم وعناوين IP الخاصة بهم إلى خوادم الجهاز. عند تلك النقطة، يتم نشر إغراءات من نوع ClickFix لتسليم برامج ضارة لـ Windows وAndroid وiOS إلى أجهزة الضحايا. تمكن الجهاز من الجمع بين معلومات الضيوف المسروقة من أنظمة إدارة الفنادق والبيانات المسروقة من أجهزة الضيوف الأفراد لتركيز عمليات الاستهداف الإضافية. كانت الأهداف ذات الاهتمام الخاص هي الأفراد ذوو الصلة بأوكرانيا، بما في ذلك المسؤولون الحكوميون ومصنعو الطائرات المسيرة. لاحظ أنه في يوليو 2026، نشرت Microsoft Threat Intelligence تقريراً عن أساليب السرقة وتسليم البرامج الضارة المستخدمة هنا، والتي تسميها CaptiveCrunch.

استولى الجهاز أيضاً على حسابات WhatsApp للضحايا، باستخدام منصة متصفح بدون واجهة لربط حسابات الضحايا كأجهزة رفيقة. جزئياً من خلال استخدام مكتبة WPPConnect مفتوحة المصدر لأتمتة WhatsApp، قامت إعدادات الجهاز بكتم إيصالات القراءة حتى لا يلاحظ الضحايا تصدير محادثاتهم بالروسية والأوكرانية بشكل جماعي. تم استهداف اثنين على الأقل من كبار المسؤولين الأوكرانيين السابقين بهذه الطريقة.

استهدف الجهاز أيضاً منصات المراقبة. اكتشف ثغرة تفويض في واجهة برمجة تطبيقات خدمة بث الكاميرات، ومن هناك قام بتعداد المستخدمين وجمع الرموز المميزة للحصول على تدفقات الكاميرات المباشرة للضحايا.

قام نفس الجهاز أيضاً باختراق هيئة تقنية حكومية في شمال إفريقيا. سرق بيانات اعتماد جهاز VPN واستخدمها للاستيلاء على خادم الحسابات المركزي للمنظمة. وهذا سمح له بتسريب قاعدة بيانات الاعتماد الكاملة: أكثر من 300 ألف سجل هوية وطنية، بالإضافة إلى بيانات تسجيل تجاري لأكثر من 500 ألف شركة تعمل في البلاد.

واصل الجهاز تطوير منصة تجسس بريد سحابي، تُشغل جزئياً باستخدام «Embassy Kit» — إطار عمل يستخدمه الجهاز لإدارة تصيد رمز الجهاز — لتنفيذ حملة سرقة رموز Microsoft 365. استُخدمت المنصة لاستهداف الموظفين الدبلوماسيين والحكوميين، مما أدى إلى الوصول إلى سجلات بريد من 8 منظمات على الأقل وتسريبها، بما في ذلك هيئة ادعاء وطنية ومؤسسة تعليم عسكري ومنظمة حكومية دولية إقليمية.

تم تسليم برنامج سرقة بيانات الاعتماد لـ Windows عبر إغراءات هندسة اجتماعية ذات موضوع تحديثات وهمية، مصحوبة بحمولات رفيقة ذات قدرات وصول عن بعد كاملة. صُممت هذه الحمولات لتجميد تحديثات الأمان على أجهزة الضحايا، مما يعني أن توقيعات اكتشاف البرامج الضارة الجديدة التي تصدرها موردو الأمان لن يتم جلبها أو تشغيلها على أجهزة الضحايا.

تشمل البرامج الضارة للجهاز: برامج ضارة لـ Windows: PowerChrome وWUEngine وShadow C2 وMiniPlasma وCloudSyncSvc؛ برنامج ضار لـ Android: GiftDrop، وهو حصان طروادة للوصول عن بعد للمراقبة على Android تم إعادة وضع علامة عليه من GiftsExpress؛ برنامج ضار لـ iOS: DarkSword، وهي سلسلة استغلال لـ iOS.

يورد التقرير في نهايته مؤشرات الاختراق ذات الصلة (النطاقات وعناوين IP وأسماء الملفات والقيم الهاشية) لكي يحققها المدافعون. وفقاً لحدود الأمان في هذا الموقع، لا يتم إعادة إنتاج قيم المؤشرات المحددة.

المؤكد وغير المؤكد

استجابة المنصة

يذكر التقرير أنه لكل قضية في هذا الفصل، بما في ذلك هذه، قامت Anthropic بقطع النشاط ذي الصلة، وتعزيز حمايات الذكاء الاصطناعي بناءً على نتائج التحقيق، ومشاركة المعلومات الاستخبارية مع جهات إنفاذ القانون وشركاء الصناعة عند الاقتضاء.

حدود الاستجابة：قطع الوصول والنشاط ذي الصلة لا يعني استعادة البيانات المسروقة؛ لا يصف التقرير المعالجة بعد الحادث في المنظمات المتأثرة، ولا يُعرف ما إذا كان الجهاز قد تم تحديده أو واجه عواقب قانونية.