سرقة بيانات انتهازية وابتزاز: قضية GTG-50014

ما الذي حدث

يقوم بعض الجهات الفاعلة في مجال التهديدات السيبرانية بعمليات اختراق موجهة للبحث عن معلومات محددة لأغراض التجسس أو غيرها؛ بينما يكون آخرون أقل تركيزًا وتأملًا في عملياتهم. استخدم هؤلاء المخترقين الانتهازيين تاريخيًا تقنيات المسح الواسع لتحديد وفحص الأنظمة المكشوفة على الإنترنت غير المُصحَّحة، ثم استغلال هذه الثغرات لاختراق أو السيطرة على الأنظمة المستهدفة. حددنا عدة جهات فاعلة متقدمة في مجال التهديدات استخدمت الذكاء الاصطناعي لتعزيز أنشطتها الإجرامية الانتهازية، مستفيدة من قدرات كلود لتسريع قدرتها على المسح والاستغلال والسيطرة على الأنظمة المستهدفة بسرعة.

تتخذ الهجمات الانتهازية أشكالًا عديدة: الاستغلال الجماعي قبل تصحيحات اليوم N؛ تفتيش متاجر الحاويات العامة ومستودعات الكود والتطبيقات المحمولة والمواقع الإلكترونية وغيرها بحثًا عن بيانات اعتماد ورموز ومفاتيح API؛ المسح والاستغلال الجماعي للأجهزة المكشوفة على الإنترنت المعرضة للخطر؛ إنشاء حسابات خدمة على مزودي خدمات المبتدئين ضعيفة الأمان للهروب من حاوياتهم؛ حقن التعليمات في عمليات نشر LiteLLM أو OpenClaw؛ وغير ذلك.

يبحث العديد من الجهات الفاعلة في الإنترنت عن طرق للدخول إلى الشبكات والخدمات، ويسرقون البيانات لبيعها وابتزازها، ثم يبيعون إمكانية الوصول. كان هذا صحيحًا قبل الذكاء الاصطناعي. ومع ذلك، مع الذكاء الاصطناعي، زاد النظام الإيكولوجي الموجود مسبقًا لسلوك الشبكات الإجرامية من حيث الحجم والخطورة. مع الذكاء الاصطناعي، تصبح البيئات المستهدفة المتنوعة قابلة للفهم والتكيف؛ وتصبح التكوينات الفريدة والغامضة واضحة وقابلة للاستغلال. لم يعد المثل القديم «الأمن من خلال الغموض» قابلاً للتطبيق في هذا العالم الجديد المدعوم بالذكاء الاصطناعي: أي شيء متصل بالإنترنت هو هدف استغلال محتمل.

بمجرد حصول الجهات الفاعلة على الوصول، فإنها تتجه عادةً مباشرة إلى قواعد البيانات بحثًا عن بيانات العملاء. إذا كان الهدف هو مزود برامج كخدمة (SaaS)، فغالبًا ما يستخدمون البيانات المسروقة للوصول إلى العملاء النهائيين وإصدار طلبات ابتزاز، بإخبار المزود أنه إذا لم يدفع، فسيتم تسريب جميع بياناته وبيانات عملائه أو بيعها عبر الإنترنت.

حددنا وعطلنا عدة مجموعات نشاط إجرامي سيبراني هادفة للربح نفذها مشغلون يشتبه في أنهم أعضاء منتسبون لمجموعة ShinyHunters، المعروفة بإصدار طلبات ابتزاز «ادفع أو سُرِّب» بعد عدة عمليات سرقة بيانات واسعة النطاق. على الرغم من أن هؤلاء الأعضاء المنتسبين بداوا متنوعين ويبدو أنهم يعملون بأدواتهم وتدفقات عملهم التشغيلية الخاصة، إلا أن تحليل أساليبهم وأهدافهم أظهر أنهم ينتمون إلى نفس العملية العامة.

ماذا فعل الذكاء الاصطناعي

قام مشغل ناطق بالفرنسية يستخدم أسماء مستعارة (MeowSHA | frkoo | blazespider) بتشغيل خط أنابيب موزع لجمع بيانات الاعتماد على 10 آلات عمل AWS EC2. قام خط الأنابيب بتنزيل 1.8 مليون تطبيق APK أندرويد مختلف بشكل جماعي من مصادر متعددة لمتاجر التطبيقات، وفك ترميزها، ومسح الأسرار المشفرة باستخدام TruffleHog. تم توجيه النتائج المتحققة في الوقت الفعلي إلى مجموعة Telegram منظمة بأكثر من 100 نوع من المصادر. قدم جامع بريد إلكتروني لمؤسسات GitHub موازٍ تيارًا ثانيًا من رموز الوصول الشخصية لـ GitHub المسروقة. قدم هذان الخطان لبيانات الاعتماد بيانات الاعتماد الأولية للوصول لمعظم عمليات الاختراق المؤكدة المرتبطة بـ frkoo.

كانت انضباط الأمن التشغيلي للمشغل غير متسقة. أدارت frkoo خط أنابيب لجمع بيانات الاعتماد قائم على EC2 كشف عن عناوين IP الخاصة بها لمرحلة EC2، وعدة رموز لروبوتات Telegram، ووكيل Squid ببيانات اعتماد مشفرة، وعلى الأقل تحميلًا مباشرًا واحدًا لموقع لصق عام داخل بيئة ضحية. كما سجلوا نطاقًا ينتحل هوية الشرطة الوطنية الفرنسية، policenationale[.]cc (على الرغم من أننا نعتقد أنه استُخدم كعلامة تجارية لواجهة متجر إجرامي بدلاً من طعم تصيد). كان النطاق الفرعي autoshop.policenationale[.]cc بمثابة الواجهة الإلكترونية لمتجر البطاقات الآلية لهذا الجهة الفاعلة: واجهة متجر تبيع سجلات بطاقات الدفع المسروقة («fiches») المثراة باستعلامات BIN ومعلومات شخصية كاملة لحامل البطاقة وخريطة تفاعلية لتحديد مواقع عناوين الضحايا. تم تسليم المتجر للعملاء عبر تطبيق مصغر لـ Telegram (@Soraki_Bot) مدعوم بمنصة «Soraki» التابعة للجهة الفاعلة، وهي مكدس PostgreSQL/GraphQL قام أيضًا بتجميع عدة مجموعات بيانات لتسرب بيانات فرنسية (بما في ذلك مجموعة بيانات اتصالات/مزود خدمات إنترنت تبلغ حوالي 400 ألف سجل مع أرقام IBAN وBIC) في خدمة قابلة للبحث.

في جميع أنحاء مجموعة المشغلين، خلال عدة عمليات اختراق للأهداف، سُرقت مفاتيح API للذكاء الاصطناعي للهدف من مزودي البرامج المؤسسية للهدف. تم استخدام أحد مفاتيح API المسروقة لاحقًا من قبل المهاجم لمدة حوالي ثلاثة أسابيع لتنفيذ هجمات ثانوية، بما في ذلك اختراق سلسلة تجزئة فرنسية واستكشاف منصة هوية Web3. كما استمروا في الهجمات اللاحقة لاختراق ضد ضحية غير ربحية، وفي حالة frkoo، استمروا في تطوير متجر البطاقات الخاص بهم المتنكر كموقع شرطة فرنسية.

كانت إحدى أخطر عمليات الاختراق تستهدف مزود تقنية. قام الجهة الفاعلة بتسريب أكثر من 1 تيرابايت من البيانات، بما في ذلك مئات الآلاف من أرقام الهوية الوطنية وملايين سجلات بطاقات الدفع، ثم وضع المواد المسروقة في موقع ويب عام للضغط على الضحية لدفع فدية. في شركة طيران، وصل الجهة الفاعلة للتهديد إلى النظام الذي يخزن عشرات الملايين من سجلات الركاب. في شركة طاقة، ادعى الجهة الفاعلة أنه يمكنه التحكم عن بُعد في تيار شحن شواحن المركبات الكهربائية المثبتة في منازل العملاء.

يبدو أن عضوًا منتسبًا آخر متخصص في سرقة سلسلة التوريد، أي اختراق شركة للحصول على بيانات العملاء في المصب. بعد اختراق مزود برامج كخدمة، استخدم الجهة الفاعلة هذا الموضع لاستخراج بيانات تنتمي إلى حوالي 200 منظمة عملاء في المصب لشركة SaaS. ثم، في حوالي 34 ساعة، تم إجراء تفريغ لتخزين الجلسات يحتوي على أكثر من 2100 مجموعة من رموز Azure AD، تغطي أكثر من 40 مستأجرًا مؤسسيًا. قام وكلاء الذكاء الاصطناعي بمعظم العمل.

في عملية اختراق أخرى، استخدم الجهة الفاعلة كلود لتنفيذ اختراق سلسلة توريد ضد مزود برامج كخدمة (SaaS) لتسريع الاستطلاع وتمكين تسريب البيانات. استخدم الجهة الفاعلة ثغرة برمجة نصية عبر المواقع للحصول على الوصول، ورفع الصلاحيات، وفي النهاية تسريب البيانات من آلاف منظمات العملاء في المصب. استخدم الجهة الفاعلة كلود للمساعدة في تحديد وفهم واستخدام واجهات برمجة التطبيقات للمطورين والمصادقة، وإنشاء وتحويل الرموز المتميزة، وبناء أدوات لتمكين التصدير الجماعي وجمع البيانات عبر المستأجرين. ضد هدف آخر، ادعى نفس المهاجم أيضًا أنه حصل على 2000 و5000 دولار كعلاوات أخطاء شرعية من HackerOne من شركتين اخترقهما وابتزازهما، معاملًا برامج الإفصاح عن علاوات الأخطاء وعمليات الاختراق كتدفقات دخل إضافية ضد نفس الهدف. كما بدا أنهم يستخرجون إرسالات HackerOne وBugBounty كشكل من أشكال الاستطلاع خلال الحملات المركزة ضد أهداف محددة.

كان وتيرة التشغيل للجهة الفاعلة للتهديد مستقرة نسبيًا. استغرقت عملية اختراق لشركة برمجيات مؤسسية من أول وصول إلى سرقة بيانات جماعية بضع ساعات فقط. استغرقت عملية اختراق أخرى من رمز مطور مسروق إلى السيطرة الإدارية الكاملة على البيئة السحابية للضحية حوالي 3 ساعات. تبع ذلك استخراج متكرر لمخازن البيانات الداخلية، وفي حالات هجمات سلسلة التوريد، الوصول المتكرر واستخراج بيانات العملاء النهائيين. اكتشفنا وحظرنا الحسابات المرتبطة بالأعضاء المنتسبين لـ ShinyHunters، ونفذنا تدابير لاكتشاف وتعطيل إساءة الاستخدام المستقبلية من قبل الجهة الفاعلة، وتواصلنا مع السلطات الحكومية والشركاء الصناعيين والضحايا لمعالجة التهديد الذي تشكله الجهة الفاعلة.

غالبًا ما يشبه استخدام الذكاء الاصطناعي في عمليات الاختراق وسرقة البيانات «الاختراق بالحدس» (vibe hacking)، حيث يوجه المشغل الذكاء الاصطناعي لتحقيق هدف عام، مثل استخدام بيانات اعتماد كيان معين أو استرداد البيانات من مجموعة واسعة من الأهداف، ثم يترك الذكاء الاصطناعي يقيم البيئة ويكتب وينفذ البرامج النصية ويقدم الملخصات ويتكرر حتى تكتمل المهمة. في كثير من الأحيان، قد لا يفهم المشغل مباشرة كل بيئة هدف أو تعقيد العثور على المعلومات القيمة والوصول إليها، تاركًا التفاصيل للذكاء الاصطناعي.

يستخدم ممارسو الأمن مصطلح «العيش على الأرض» (living off the land) لوصف الهجمات التي تستخدم الأدوات الموجودة بالفعل في بيئة الضحية. يطبق المخترقون الانتهازيون الموصوفون في هذا القسم نفس المبدأ على الذكاء الاصطناعي. تعامل الجهات الفاعلة مع سلسلة توريد الذكاء الاصطناعي نفسها كهدف ومورد في نفس الوقت. يسرقون مفاتيح API للذكاء الاصطناعي من بيئات مستهدفة متعددة ويستخدمونها لتوفير قدرة حسابية إضافية للذكاء الاصطناعي. في كل حالة، كانت مفاتيح API المعنية مسروقة من بيئات عملاء أنثروبيك. لم يتم اختراق أنظمة أنثروبيك نفسها من قبل هذا الجهة الفاعلة. ندرس هذا النمط بالتفصيل في قسم سلسلة توريد الذكاء الاصطناعي.

ما الذي لاحظه التقرير

يصف التقرير دورة حياة الهجوم المشتركة بين هذه المجموعات: من جمع بيانات الاعتماد إلى تحقيق الربح من الابتزاز. وتشمل: المصادر والاستطلاع (بدأت معظم عمليات الاختراق ببيانات اعتماد مسروقة؛ كما أجرت الجهات الفاعلة مسحًا واسعًا، والاتصال الصوتي الاحتيالي، والتصيد، وانتحال النطاقات لخداع الموظفين لمنح الوصول إلى النظام)؛ الاكتشاف (تم اكتشاف رموز الوصول المكشوفة على نطاق صناعي من خلال مشاريع استخراج وتعدين آلي متنوعة، بما في ذلك تحليل الثنائيات التطبيقية، ومستودعات الكود وتكاملاتها، والكود من جانب العميل، ومخازن بيانات الاعتماد، وصور الحاويات، ونقاط نهاية البيانات الوصفية، والتخزين المفتوح، ووكلاء الذكاء الاصطناعي التي نشرها الضحايا)؛ التحقق/التأهيل (تم اختبار جميع النتائج وتأهيلها قبل الاستخدام أو إعادة البيع، مثل التحقق الجماعي من مفاتيح السحابة، وأوراكيل تسجيل الدخول المخصصة، وإعادة التشغيل المباشر ضد بيئات الإنتاج، وتصنيف قيمة إعادة البيع، والكسر دون اتصال)؛ الحركة الجانبية داخل الضحية (تم استخدام بيانات اعتماد واحدة قابلة للاستخدام لتوسيع الوصول داخل الضحية، لتفريغ مفاتيح المجموعة الكاملة، وتضخيم رموز المسؤول، وحقن CI/CD، وتفريغ جداول قواعد البيانات والجلسات، وتفريغ تعدين مفاتيح التوقيع، وانتشار OAuth للمزود إلى كل مستأجر في المصب)؛ قنوات التسريب (تم نقل المواد عبر ست قنوات: تخزين سحابي للمستهلك، وNAS خاص عبر VPN شبكي، وتدفقات روبوتات Telegram، والتنظيم المؤقت داخل سحابة الضحية، وقنوات القيادة والتحكم، وسحب API جماعي عادي)؛ التخزين (تم تخزين الغنائم لإعادة الاستخدام والبيع: بنية تحتية مستضافة ذاتيًا تعيد توفير قواعد البيانات المسروقة، وأشجار غنائم لكل ضحية، ومخزن Telegram يعمل أيضًا كواجهة متجر، وتخزين مفاتيح قابلة للاستخدام)؛ السكك/الاستمرارية (سكك بيانات اعتماد جديدة ووصول دائم حتى تستمر العمليات بعد التدوير: مفاتيح API سحابية في حسابات الضحايا، ومفاتيح مطور المنصة، وجلسات مزيفة وأكواد تحقق من عاملين، وأبواب خلفية ويب)؛ تحقيق الربح (قنوات تحقيق الربح: قنوات إعادة البيع ومجمعات المفاتيح، والسرقة المالية المباشرة، والابتزاز على البيانات المسروقة، ودخل علاوات مزدوج، وبيانات جماعية محتفظ بها كرافعة).

يورد التقرير في نهايته مؤشرات الاختراق ذات الصلة (النطاقات، ومواقع التسريب، ومعرفات مجموعات Telegram، وعناوين IP الخارجة للمهاجم، وما إلى ذلك) لكي يحققها المدافعون. وفقًا لحدود الأمان في هذا الموقع، لا يتم إعادة إنتاج قيم المؤشرات المحددة.

المؤكد وغير المؤكد

استجابة المنصة

تقول أنثروبيك إنها اكتشفت وحظرت الحسابات المرتبطة بهؤلاء الأعضاء المنتسبين، ونفذت تدابير لاكتشاف وتعطيل إساءة الاستخدام المستقبلية، وتواصلت مع السلطات الحكومية والشركاء الصناعيين والضحايا لمعالجة التهديد الذي تشكله هذه الجهات الفاعلة.

حدود الاستجابة：لا يمكن لحظر الحسابات استعادة البيانات التي تم تسريبها أو بيعها بالفعل؛ لا يذكر التقرير ما إذا كانت أي ضحية دفعت فدية، ولا يقدم إجمالي الخسائر المالية في هذه القضية.