سرقة بيانات تستهدف منظمات سياسية أوروبية: قضية GTG-50029

ما الذي حدث

ساعد الذكاء الاصطناعي في سد الفجوة في القدرات، محولًا «الهاكتيفيستين» من المستوى المنخفض إلى تهديدات مستمرة متقدمة. كما تظهر دراسات الحالة لدينا مرارًا وتكرارًا، ترفع قدرة الذكاء الاصطناعي الخط الأساسي مع خفض متطلبات الموارد لمشغلي الهجمات السيبرانية الهجومية. في هذا القسم، نقدم تفاصيل حملة هاكتيفيست حققناها وعطلناها، حيث تمكنت عمليات صغيرة ولكنها متحمسة من تحقيق أهداف كبيرة بسبب دمج الذكاء الاصطناعي في عملياتها.

في ربيع 2026، لوحظت جهة فاعلة ناطقة بالفرنسية تستخدم كلود لاستهداف أحزابًا سياسية ووسائل إعلام ومراكز أبحاث أوروبية ومزودي البرامج كخدمة (SaaS) التي تستخدمها هذه المنظمات.

قامت الجهة الفاعلة ببناء ماسح ضوئي مخصص خاص بها قائم على Rust، مصمم لمسح والتحقق من مفاتيح API المكشوفة في الحاويات العامة. بمجرد التحقق من مفتاح، تم تصميم أدوات الجهة الفاعلة لتدوير استخدام المفتاح عبر طبقة وكيل محلية. سمح ذلك للجهة الفاعلة بمزج حركة المرور الخاصة بها مع حركة المرور للمالك الشرعي لمفتاح API المسروق. كما رأينا في دراسات الحالة أعلاه، فإن الحصول على واجهات برمجة التطبيقات المكشوفة يزيل حواجز الدخول أمام الجهات الفاعلة الخبيثة.

توفر GTG-50029 مثالًا آخر على جهة فاعلة تتبنى استخدام الذكاء الاصطناعي طوال سلسلة التدمير. استخدمت الجهة الفاعلة قدرات ترميز وكلاء الذكاء الاصطناعي ضمن إطار ساعدها في إدارة وكلاء فرعيين؛ كان الوكلاء الفرعيون أنفسهم مسؤولين عن الاستطلاع قبل وبعد المصادقة، ومراجعة الكود، والتحقق المتبادل من النتائج من نماذج ذكاء اصطناعي مختلفة.

ماذا فعل الذكاء الاصطناعي

ثغرات مبتكرة وأدوات مخصصة: كانت التقنية المميزة للحملة للوصول الأولي إلى الأنظمة المستهدفة هي استغلال حالة سباق لإعادة تثبيت WordPress لم يتم توثيقها سابقًا، والتي أنشأت حساب مسؤول غير مصرح به دون بيانات اعتماد صالحة. استخدمت الجهة الفاعلة كلود لتطوير وتصحيح الثغرة في نفس الجلسة، بما في ذلك إنشاء إطار اختبار تجريبي. استهدفت بنجاح أربعة مواقع ويب للضحايا على الأقل.

في إحدى الحالات، اخترقت الجهة الفاعلة منصة إدارة حملات سياسية من خلال نقطة نهاية بحث مكشوفة. وجهت الجهة الفاعلة وكيلها للتكرار عبر نقطة النهاية، مما أدى في النهاية إلى تسريب حوالي 140 ألف سجل، بما في ذلك الآراء السياسية للمستخدمين.

ضد هدف آخر، زرعت الجهة الفاعلة قذرة ويب (webshell) مخبأة داخل مورد خط (القذرة الويب هي سيناريو صغير يوضع على خادم الويب يسمح للمهاجم بإرسال أوامر عن بُعد لتشغيلها الخادم، وهي في الواقع باب خلفي يمكن الوصول إليه عبر الموقع نفسه). بنت الجهة الفاعلة القذرة الويب فورًا عندما حددت ثغرة تسمح بالرفع. كما استخدموا إضافة WordPress «الاستخدام الإلزامي» — وهي إضافة تعمل عند كل تحميل صفحة ولا يمكن تعطيلها من لوحة تحكم المسؤول — التي جمعت بيانات الاعتماد المُرسلة، وشفرتها بمفتاح عام لكل موقع، ووضعتها مؤقتًا للاسترجاع. بالإضافة إلى ذلك، عدلت GTG-50029 النسخ الاحتياطية للضحية، على الأرجح للحفاظ على الاستمرارية. إذا استعادت الضحية بيئة سابقة من النسخ الاحتياطي، فستُصاب مرة أخرى.

أخيرًا، اخترقت الجهة الفاعلة منظمة إعلامية بنشر إطار قيادة وتحكم (C2) لاستغلال المتصفحات الذي ربط قراء المنظمة عبر سيناريوهات محقونة. سمح ذلك للجهة الفاعلة بأخذ بصمات آلاف المتصفحات الزائرة. لاحظنا الجهة الفاعلة تطلب تحديدًا جلسات وبيانات اعتماد الموظفين التحريريين عبر هذا الإطار.

كانت الأداة المميزة للجهة الفاعلة هي «fafsearch»، وهي منصة doxxing مخصصة. وفرت المنصة محرك بحث مترجم، كاملًا مع خط أنابيب استيعاب، والقدرة على ربط مراجع تسرب البيانات الشخصية بالبيانات المسربة، وتوحيد أرقام الهوية الوطنية وأرقام الهواتف، ومنطق الترتيب، والاختبارات، والنشر المحتوى. قامت الجهة الفاعلة بتحميل عشرات الملايين من صفوف البيانات إلى المنصة، بما في ذلك معلومات مثل المعرفات الصحية الوطنية وبيانات تسرب النظام القضائي، ودمجتها مع مواد تم الحصول عليها من عمليات الاختراق الخاصة بها. قاموا بنشر النتائج كمجموعة من خدمات الشبكة المظلمة المستضافة بشكل مجهول حيث يمكن الاستعلام عن الأفراد المرتبطين بالحملات السياسية المستهدفة بالاسم.

هذا أحد أوضح الحالات التي رأيناها لبرمجيات مدعومة بالذكاء الاصطناعي مطبقة مباشرة على هجمات الخصوصية واسعة النطاق — وقد أنشأت الشخص الواحد المنصة بأكملها.

ما الذي لاحظه التقرير

من بين 42 كيانًا مستهدفًا تم تتبعها، حصلت الجهة الفاعلة على وصول داخلي إلى 14 على الأقل. وصلت الجهة الفاعلة وسربت ما يقدر بـ 12 إلى 26 جيجابايت من تفريغات قواعد البيانات، بما في ذلك معلومات عن متبرعي وأعضاء الأحزاب السياسية، وصندوق بريد به 15 ألف رسالة، وسجلات طلبات الطلاب (بما في ذلك بيانات قاصرين)، وبيانات مزودي الدفع. كما قامت الجهة الفاعلة بإعداد اعتراض بيانات اعتماد في الوقت الفعلي. باستخدام البيانات المسربة، وضعت الجهة الفاعلة أرشيفات مشفرة لكل ضحية على موقع تسرب Tor تشغله الجهة الفاعلة.

يورد التقرير في نهايته مؤشرات الاختراق ذات الصلة (عناوين IP، والنطاقات، وما إلى ذلك) لكي يحققها المدافعون. وفقًا لحدود الأمان في هذا الموقع، لا يتم إعادة إنتاج قيم المؤشرات المحددة.

المؤكد وغير المؤكد

استجابة المنصة

تقول أنثروبيك إنها حققت في الحملة وعطلتها. لا يعيد هذا الموقع إنتاج عناوين IP أو النطاقات أو حقول التعريف الشخصية من التقرير.

حدود الاستجابة：تعطيل حسابات المنصة لا يعني استعادة جميع البيانات المسروقة، ولا يعني تنظيف جميع أنظمة الضحايا.