یک عامل تهدید (Threat Actor) با انگیزه‌های مالی، از سه ابزار متن‌باز مدیریت هوش مصنوعی (AI Harnesses) برای اجرای حملات خودکار و کم‌هزینه علیه شرکت‌ها، به‌ویژه خرده‌فروشان آنلاین استفاده کرده است.
جزئیات عملیات و هزینه‌های حمله
پژوهشگران Gambit Security با کشف یک سرور Staging افشاش شده، متوجه کمپینی شدند که از جولای ۲۰۲۶ در جریان بوده است. بررسی‌های مهاجم نشان می‌دهد که هزینه هر مورد اسکن به‌طور میانگین ۲۵.۴۶ دلار بوده است (بین ۳.۱۳ تا ۷۹.۳۱ دلار برای هر هدف). این ابزارها برای سرقت اطلاعات پرداخت و به مخاطره انداختن اپلیکیشن‌های وب به کار گرفته شده‌اند.
تنها در بازه زمانی ۱۰ تا ۱۵ سپتامبر، این اپراتور ۱۰۵ پروژه حمله را آغاز کرده و حداقل ۲۷ شرکت را با درجات مختلف مورد نفوذ قرار داده است. اهداف شناسایی شده شامل یک خرده‌فروش مد آنلاین، یک شرکت هتلداری از لیست Fortune 500، یک شرکت هواپیمایی بزرگ آمریکایی و یک توزیع‌کننده تجهیزات صنعتی در ایالات متحده بوده است.
نقش عوامل هوش مصنوعی در زنجیره حمله
این عملیات بر پایه همکاری سه ابزار متن‌باز Strix، Cairn و Hermes با کمترین دخالت انسانی اجرا شده است. در ۲۶۰ نشست (Session) مربوط به Hermes، اپراتور تنها دستورات کوتاهی را برای بررسی گزارش‌های آسیب‌پذیری، تست دسترسی، بررسی API یا ادامه عملیات پس از نفوذ ارسال کرده است.
در یکی از زنجیره‌های حمله مستند شده، عامل هوش مصنوعی مراحل زیر را طی کرده است:
- استفاده از SQL Injection برای به‌دست آوردن رمز یک‌بار مصرف (OTP) به صورت Plaintext.
- دسترسی به پنل وب و آپلود Web Shell.
- افزایش سطح دسترسی (Privilege Escalation) از طریق یک قانون sudo پیکربندی نشده.
- دسترسی به اعتبارنامه‌های (Credentials) سرویس AWS.
تاثیرات و متدهای سرقت داده‌ها
سرعت بالای حملات باعث شده تا نفوذهای موفق معمولاً در کمتر از یک روز و گاهی در چند ساعت اتفاق بیفتد. این کمپین منجر به خروج بیش از ۶۰۰,۰۰۰ رکورد کارت اعتباری از دو شرکت شد. همچنین اسکریپت‌های Skimmer روی ۱۹ وب‌سایت تایید شده و بیش از ۱۰۰ سایت دیگر نیز آلوده شده‌اند.
روش‌های استقرار این Skimmerها شامل موارد زیر بوده است:
- الحاق کد مخرب به کتابخانه‌های JavaScript قانونی.
- قرار دادن اسکریپت‌ها در صفحات Checkout.
- مسموم کردن (Poisoning) محتوای AWS S3.
- تغییر محتوای پایگاه داده.
در یک مورد، مهاجم از یک Cron Job استفاده کرده بود تا هر دو دقیقه فایل آسیب‌دیده را بررسی کرده و در صورت پاکسازی توسط تیم IT، مجدداً کد مخرب را جایگزین کند. علاوه بر سرقت، این عامل تهدید از قابلیتی تحت عنوان Database Wipe After Extraction برای پاکسازی داده‌های پرداخت از پایگاه‌های داده Magento پس از دانلود اطلاعات استفاده کرده است تا ردپای خود را بپوشاند.
