گزارش امنیتی Unit 42 از یک کارزار جاسوسی سایبری علیه سرورهای لینوکسی نهادهای دولتی و زیرساخت‌های وابسته به دولت ایالات متحده پرده برداشته است که از اکتبر ۲۰۲۵ تا آوریل ۲۰۲۶ ادامه داشت. مهاجمان با سرقت رمز عبور مدیران سیستم و جست‌وجوی ایمیل‌های مرتبط با شبکه‌های اجتماعی، برای دسترسی به اطلاعات حساس تلاش کردند؛ درحالی‌که کامنت‌های محاوره‌ای در کدهای مخرب، احتمال استفاده آن‌ها از هوش مصنوعی را مطرح کرده است.

بر اساس گزارش تیم پژوهشی Unit 42 متعلق به شرکت  Palo Alto Networks، مهاجمان با شناسه عملیاتی CL-UNK-1211، نهادهای دولتی و زیرساخت‌های وابسته به دولت را هدف قرار داده بودند. تمرکز این عملیات بر محیط‌های لینوکسی بود و مهاجمان از ابزارهای متن‌باز، اسکریپت‌های اختصاصی و درهای پشتی برای دسترسی مستمر به سامانه‌ها استفاده می‌کردند.

پژوهشگران در جریان بررسی این حمله سایبری، شواهدی از تلاش برای شناسایی شبکه، دسترسی به اطلاعات پایگاه‌های داده، جمع‌آوری اطلاعات ورود کاربران و پاک کردن ردپاهای فعالیت مهاجمان پیدا کردند. هویت عاملان این کارزار هنوز مشخص نشده است و Unit 42 نیز آن‌ها را به دولت یا گروه مجرمانه مشخصی نسبت نداده است.

همانطور که گفته شده تیم امنیتی Unit 42 متعلق به شرکت «پالو التو نتورکس»، یک شرکت آمریکایی است که آن در ایالت کالیفرنیا واقع شده است.

سرقت رمز عبور مدیران سیستم با ترفند جعل دستور   sudo

یکی از روش‌های مهاجمان برای سرقت اطلاعات ورود، دست‌کاری فایل پیکربندی .bashrc در محیط لینوکس بود. آن‌ها در یکی از نمونه‌های بررسی‌شده، دستور sudo را به شکلی تغییر داده بودند که هنگام اجرای آن، پنجره‌ای مشابه درخواست معمول رمز عبور نمایش داده شود.

در این روش، رمز عبوری که مدیر سیستم وارد می‌کرد، ابتدا در اختیار مهاجمان قرار می‌گرفت و در فایلی با نام Solarwinds.StatusLog.txt  ذخیره می‌شد. سپس رمز به دستور اصلی sudo منتقل می‌شد تا اجرای فرمان ادامه پیدا کند و کاربر متوجه سرقت اطلاعات ورود خود نشود.

انتخاب نام این فایل نیز بخشی از تلاش مهاجمان برای پنهان کردن فعالیتشان بود. طبق گزارش  Unit 42، مدرکی مبنی بر نفوذ به زیرساخت‌های شرکت SolarWinds در این عملیات پیدا نشده است.

مهاجمان برای جمع‌آوری اطلاعات ورود، روش‌های دیگری هم به کار گرفته بودند؛ از جمله افزودن کد مخرب به صفحات ورود مبتنی بر PHP و جست‌وجوی رمزهای عبور ذخیره‌شده به‌صورت متن آشکار در فایل‌های پیکربندی و تاریخچه دستورات.

جست‌وجوی ایمیل‌های فیسبوک و شبکه‌های اجتماعی برای دسترسی به حساب‌ها

بخش دیگری از این عملیات بر سرورهای ایمیل دولتی متمرکز بود. مهاجمان با بررسی پوشه‌های ایمیل کاربران، حساب‌هایی را شناسایی می‌کردند که احتمال می‌دادند برای دسترسی به شبکه‌های اجتماعی هدف مناسبی باشند.

بر اساس گزارش  Unit 42، آن‌ها اسکریپتی با نام search_social.php توسعه داده بودند که ایمیل‌ها را برای یافتن پیام‌های مرتبط با شبکه‌های اجتماعی، از جمله فیسبوک، اینستاگرام، ایکس، تیک‌تاک و لینکدین جست‌وجو می‌کرد. این اسکریپت اطلاعاتی مانند فرستنده، گیرنده و موضوع ایمیل‌های مرتبط را استخراج می‌کرد.

هدف این فرایند، شناسایی ایمیل‌هایی بود که می‌توانستند برای دسترسی به حساب‌های شبکه‌های اجتماعی یا بازیابی رمز عبور آن‌ها کاربرد داشته باشند. مهاجمان همچنین تلاش کردند با اجرای اسکریپتی دیگر، صندوق‌های ایمیل را فشرده‌سازی و از سامانه‌های هدف خارج کنند؛ با این حال، پژوهشگران در یکی از نمونه‌ها خطاهای نحوی پیدا کردند که مانع اجرای صحیح اسکریپت می‌شد.

بنابراین، گزارش از تلاش برای دسترسی به اطلاعات ایمیل و حساب‌های مرتبط خبر می‌دهد، اما موفقیت قطعی مهاجمان در تصاحب حساب‌های شبکه‌های اجتماعی را اثبات نمی‌کند.

کامنت‌های کد مخرب چه چیزی درباره استفاده از هوش مصنوعی نشان می‌دهند؟

یکی از یافته‌های قابل توجه گزارش، وجود توضیحات محاوره‌ای و مرحله‌به‌مرحله در کدهای مخرب بود؛ توضیحاتی که بیشتر به پاسخ‌های تولیدشده توسط مدل‌های زبانی بزرگ شباهت داشتند تا مستندات معمول برنامه‌نویسی.

این کامنت‌ها منطق اجرای کد و وظیفه بخش‌های مختلف آن را توضیح می‌دادند. به اعتقاد پژوهشگران  Unit 42، چنین نشانه‌هایی می‌تواند به این معنا باشد که مهاجمان کدها را با کمک هوش مصنوعی تولید کرده‌اند یا از یک عامل هوش مصنوعی برای اجرای آن‌ها استفاده کرده‌اند.

البته این شواهد به‌تنهایی مشخص نمی‌کنند که کدام مدل یا ابزار هوش مصنوعی در این فرایند به کار رفته است. این گزارش نیز استفاده از هوش مصنوعی را بر اساس ویژگی‌های کدها ارزیابی می‌کند و مدرکی از تعامل مستقیم مهاجمان با یک مدل مشخص ارائه نمی‌دهد.

از سوی دیگر، استفاده احتمالی از هوش مصنوعی به معنای ناآشنایی مهاجمان با برنامه‌نویسی یا امنیت سایبری نیست. در همین عملیات، آن‌ها از روش‌هایی برای حفظ دسترسی به سامانه‌ها، جمع‌آوری اطلاعات ورود، جابه‌جایی در زیرساخت هدف و پاک کردن شواهد استفاده کرده بودند که نشان‌دهنده به‌کارگیری مجموعه‌ای از تکنیک‌های فنی است.

هوش مصنوعی چگونه عملیات جاسوسی سایبری را تغییر می‌دهد؟

یافته‌های Unit 42 نشان می‌دهد که هوش مصنوعی می‌تواند در تولید و اصلاح سریع‌تر اسکریپت‌های مخرب به مهاجمان کمک کند. با این حال، این فناوری جایگزین همه مهارت‌های فنی موردنیاز برای اجرای یک حمله سایبری نیست و شواهد مربوط به استفاده از آن باید از توانایی‌های عملیاتی مهاجمان تفکیک شود.

این کارزار همچنین نشان می‌دهد که حفاظت از سرورهای لینوکسی به نظارت مستمر بر فایل‌های پیکربندی، مدیریت دسترسی‌ها، شناسایی تغییرات مشکوک و نگهداری امن گزارش‌های سیستمی نیاز دارد. مهاجمان در این عملیات تلاش کرده بودند رد فعالیت‌های خود را از طریق حذف گزارش‌ها و تغییر زمان ثبت فایل‌ها پنهان کنند.

گزارش Unit 42 تصویری از ترکیب روش‌های متداول نفوذ با ابزارهای احتمالا توسعه‌یافته به کمک هوش مصنوعی ارائه می‌دهد؛ ترکیبی که بررسی و شناسایی حملات سایبری را پیچیده‌تر می‌کند و اهمیت پایش امنیتی زیرساخت‌های دولتی را افزایش می‌دهد.