ИИ вече не е само инструмент за хакера – превръща се в част от самата атака
Кибероперация, свързвана с китайскоговорящ нападател, показва нов етап в използването на изкуствения интелект за автоматизация на кибератаки. Според анализ на Hunt.io нападателите са интегрирали Claude, Qwen и DeepSeek в собствена инфраструктура, използвайки моделите за разузнаване, експлоатиране на уязвимости, събиране на данни и отчитане на резултатите.
Сред засегнатите цели са архиви на исторически документи на Гоминдана в Тайван, Министерството на външните работи на Индонезия, китайски държавни и образователни системи, както и индустриални хостове във виетнамския град Дананг.
Изследователите са открили пет изложени директории, които свързват отделните компрометирани среди чрез обща инфраструктура. В тях са идентифицирани повтарящи се акаунти, SOCKS прокси и артефакти, свързани със SecFlow и GLUTTON.
SecFlow превръща атаката в работа на екип от ИИ агенти
Особено показателен е начинът, по който работи SecFlow. Вместо един модел да изпълнява произволни команди, платформата разделя операцията на отделни задачи и ги възлага на ИИ агенти, базирани на различни модели.
Така ИИ се превръща в своеобразен оперативен координатор на атаката – от първоначалното разузнаване до експлоатацията, събирането на информация и подготовката на резултатите.
Атаката срещу китайска държавна система показва реалния риск
Най-тежкият компромис е регистриран в среда на правителството на район Фънтай. Нападателите са получили изпълнение на команди, извлекли са LSASS памет и Windows регистърни хранилища, получили са достъп до правителствени и здравни документи и са внедрили множество зловредни компоненти.
Атаката е започнала през интернет-достъпна система за офис автоматизация, която е позволявала качване на ASPX файлове. След това нападателите са извлекли около 75,8 MB LSASS памет, разделена на 37 части, както и SAM и SYSTEM хранилищата.
В резултат са били събрани 822 акаунта, създаден е нов привилегирован акаунт, а от хранилището са извлечени близо 1,28 GB документи. Сред тях е имало административна информация, здравни документи и данни за пациенти.
Новият проблем не е „кой ИИ е използван“
Hunt.io свързва операцията с китайскоговорящ нападател със средна степен на увереност, без да посочва конкретна група.
По-важният извод обаче е друг. ИИ постепенно се превръща от помощник на нападателя в инфраструктурен компонент на кибератаката. Това означава повече автоматизация, по-бързо обработване на информация и възможност един оператор да управлява много по-сложни операции.
За бизнеса това променя и защитата. Мониторингът вече трябва да търси не само зловреден код, а автоматизирани вериги от разузнаване, експлоатация и извличане на данни, които могат да се изпълняват с минимална човешка намеса.
Следващият голям скок в киберзаплахите може да не бъде новият зловреден софтуер. Може да бъде атаката, която сама решава какво да направи следващо.
