محققان شرکت Sophos در اواخر ماه اوت، مجموعه‌ای از آثار و اطلاعات به‌جامانده از فعالیت مهاجمان را در دستیار برنامه‌نویسی Cursor AI شناسایی کردند. بررسی این داده‌ها نشان داد مهاجمان اطلاعاتی مانند نام کاربری و رمز عبور  VPN، دسترسی پراکسی و اهداف موردنظر را در اختیار عامل‌های هوش مصنوعی قرار می‌دادند و از آن‌ها برای پیشبرد مراحل مختلف نفوذ استفاده می‌کردند.

عامل‌های هوش مصنوعی پس از دریافت این اطلاعات، ساختار شبکه و سامانه Active Directory را بررسی می‌کردند، به جست‌وجوی رمزهای عبور در پوشه‌های اشتراکی، اسناد و نسخه‌های پشتیبان می‌پرداختند و برای حرکت جانبی در شبکه قربانی تلاش می‌کردند. در برخی موارد، این عامل‌ها موفق شدند به سطح دسترسی مدیر دامنه (Domain Administrator) دست پیدا کنند. سه سازمانی که در جریان این عملیات هدف قرار گرفتند، بعدها در وب‌سایت افشای اطلاعات گروه باج‌افزاری Aur0ra معرفی شدند.

مهاجمان چگونه از هوش مصنوعی استفاده کردند؟

بررسی دستورهای ثبت‌شده در ابزارهای هوش مصنوعی نشان می‌دهد اپراتورهای گروه GOLD OGRE وظایف مشخصی را به این عامل‌ها محول می‌کردند. در یکی از این دستورها، مهاجم از عامل هوش مصنوعی خواسته بود شبکه مبتنی بر Windows Active Directory  را بررسی کند و امکان دسترسی از طریق پراکسی SOCKS5 و حساب‌های کاربری را در اختیار آن قرار داده بود.

در دستور دیگری، اپراتور از عامل خواسته بود به‌جای تلاش مکرر برای حدس‌زدن رمز عبور حساب مدیر دامنه، روش‌ها و مسیرهای کم‌صداتری برای دستیابی به هدف پیدا کند. همچنین در یکی از درخواست‌ها، شناسایی سرورهای پشتیبان، تجهیزات ذخیره‌سازی متصل به شبکه (NAS) و سامانه‌های مجازی‌سازی به عامل هوش مصنوعی سپرده شده بود.

محققان همچنین با بررسی گزارش فعالیت مهاجمان و مشاهده برخی اشتباهات تایپی با حروف سیریلیک، احتمال داده‌اند اپراتورهای این گروه روسی‌زبان باشند.

دور زدن محدودیت‌های امنیتی ابزارهای هوش مصنوعی

یکی از نکات مهم این عملیات، شیوه مهاجمان برای عبور از محدودیت‌های امنیتی مدل‌های هوش مصنوعی بود. آن‌ها فعالیت‌های خود را در قالب آزمایش امنیتی مجاز (Red Team) یا بررسی و عیب‌یابی شبکه معرفی می‌کردند تا ابزارهای هوش مصنوعی درخواست‌هایشان را بپذیرند.

این عملیات از طریق عامل برنامه‌نویسی Composer در محیط Cursor و با استفاده از مدل‌های هوش مصنوعی شرکت‌های Anthropic، xAI  و Moonshot انجام شده است. به گفته  Sophos، مهاجمان در مراحل ابتدایی تقریبا به‌طور انحصاری از مدل‌های Anthropic استفاده می‌کردند، اما با تغییر اهداف عملیاتی خود و حرکت از توسعه ابزار به سمت اجرای نفوذ، مدل‌های دیگری را نیز به کار گرفتند.

بر اساس ارزیابی واحد مقابله با تهدید  Sophos، گروه GOLD OGRE پیش‌تر از هوش مصنوعی برای آزمایش توانایی ابزارهای خود در دور زدن سامانه‌های تشخیص و پاسخ به تهدیدات نقاط پایانی (EDR) استفاده کرده و سپس فناوری مشابهی را در اختیار همکاران خود برای اجرای حملات Aur0ra قرار داده است.

با وجود خودکارشدن بخش زیادی از عملیات، دو مرحله ورود اولیه به شبکه و اجرای نهایی باج‌افزار همچنان تحت کنترل انسان باقی مانده بود.  براساس هشدار Sophos  استفاده از عامل‌های هوش مصنوعی می‌تواند سرعت اجرای حملات سایبری را افزایش و سطح مهارت فنی موردنیاز مهاجمان را کاهش دهد. این شرکت همچنین احتمال می‌دهد گروه‌های باج‌افزاری بیشتری در آینده از چنین ابزارهایی در عملیات خود استفاده کنند.

Sophos  در عین حال تأکید کرده است که اقداماتی مانند به‌روزرسانی تجهیزات متصل به اینترنت، استفاده از احراز هویت چندمرحله‌ای مقاوم در برابر فیشینگ و پایش هشدارهای EDR همچنان در مقابله با این حملات مؤثرند؛ اما سرعت واکنش تیم‌های امنیتی نقش تعیین‌کننده‌ای در مهار نفوذ دارد.