تیم هوش تهدید (Cyber Threat Intelligence) کسپرس، یک کمپین مخرب را شناسایی کرده است که در آن از عوامل C2 (Command and Control) کنترل‌شده توسط هوش مصنوعی استفاده می‌شود. این کمپین که اهدافی در بخش آموزش در چندین کشور آفریقا و آمریکای لاتین را درگیر کرده، از فریم‌ورک CyberStrikeAI برای مدیریت عملیات پس از نفوذ (Post-Exploitation) استفاده می‌کند.
ماهیت CyberStrikeAI و تحول در تاکتیک‌های مهاجمان
CyberStrikeAI یک فریم‌ورک متن‌باز (Open-source) است که در آن یک ارکستراتور LLM (مدل زبانی بزرگ) در سرور C2، وظایف را برنامه‌ریزی کرده، ابزارها را انتخاب می‌کند و دستورات را تولید می‌نماید؛ در حالی که یک ایمپلنت (Implant) ساده، آن‌ها را روی میزبان‌های آلوده اجرا می‌کند.
این کشف نشان‌دهنده یک تغییر پارادایم در استفاده از هوش مصنوعی توسط مهاجمان است. تا پیش از این، مدل‌های زبانی عمدتاً در مراحل مقدماتی مانند نوشتن ایمیل‌های فیشینگ یا جستجوی آسیب‌پذیری‌ها استفاده می‌شدند. اما اکنون، هوش مصنوعی در هسته اصلی حمله قرار گرفته و مراحل زیر را خودکارسازی می‌کند:
- اجرای Payload
- ایجاد پایداری (Persistence) در میزبان
- شناسایی شبکه (Discovery)
- حرکت عرضی (Lateral Movement)
- جمع‌آوری و استخراج داده‌ها (Exfiltration)
نحوه عملکرد و معماری حمله
در این ساختار، تصمیم‌گیری‌ها در دو سطح انجام می‌شود: اپراتور انسانی استراتژی کلی را تعیین می‌کند، اما مدل هوش مصنوعی تصمیم می‌گیرد که دقیقاً چه دستوراتی و با چه ترتیبی برای رسیدن به آن هدف به میزبان ارسال شود. نکته مهم این است که خودِ ایمپلنت فاقد قابلیت‌های هوش مصنوعی است و تنها یک عامل C2 کلاسیک است که دستورات را از سرور دریافت و اجرا می‌کند. این موضوع باعث می‌شود فعالیت‌های آن در شبکه، مشابه یک نشست کنترل از راه دور (Remote-control session) معمولی به نظر برسد.
تحلیل زنجیره حمله
بر اساس بررسی‌های انجام شده، زنجیره حمله به شرح زیر است:
- دسترسی اولیه: مهاجمان معمولاً از طریق آسیب‌پذیری در سرویس‌هایی مانند SQL Server وارد شبکه می‌شوند.
- استقرار: پس از دسترسی، عامل CyberStrikeAI مستقر شده و از طریق اسکریپت‌های PowerShell و تکنیک‌های Obfuscation برای دور زدن سیستم‌های امنیتی استفاده می‌کند.
- پایداری: مهاجمان از روش‌هایی مانند ایجاد Scheduled Tasks یا تغییر در Registry برای حفظ دسترسی استفاده می‌کنند.
- شناسایی و حرکت عرضی: با استفاده از پرس‌وجوهای LDAP و اسکریپت‌های تولید شده توسط LLM، نقشه شبکه و حساب‌های مدیریتی (مانند Domain Admin) شناسایی می‌شوند.
چالش‌های شناسایی و دفاع
اگرچه استفاده از هوش مصنوعی سرعت و سهولت عملیات را برای مهاجم افزایش می‌دهد، اما تکنیک‌های مورد استفاده (مانند LSASS dump، Kerberoasting یا DCSync) همچنان همان تکنیک‌های کلاسیک و شناخته‌شده هستند. بنابراین، ابزارهای مدرن امنیتی مانند EDR و NDR همچنان قادر به شناسایی این فعالیت‌ها هستند، مشروط بر اینکه قوانین رفتاری (Behavioral rules) به درستی تنظیم شده باشند. تفاوت اصلی در سرعت بسیار بالای اجرای مراحل حمله توسط هوش مصنوعی است.
