یک سرور عملیاتی متعلق به عامل‌های تهدید (Threat Actors) با نام‌های مستعار BlackHatSect0r و DXQRTXX به دلیل یک خطای ابتدایی در کنترل دسترسی (Access Control)، در فضای اینترنت لو رفته است. این سرور محیط کاری گروهی فرانسوی‌زبان را افشا کرده که بین مه ۲۰۲۶ تا اوت ۲۰۲۶ فعال بوده‌اند.
محتویات سرور افشا شده
این سرور فراتر از یک دیتابیس ساده، شامل یک اکوسیستم کامل برای حملات بود که موارد زیر را در بر می‌گرفت:
- کدهای منبع (Source Code) در حال توسعه و ابزارهای اختصاصی Command-and-Control (C2).
- بیش از ۱۶,۰۰۰ رکورد شامل دسترسی‌های دیتابیس، حساب‌های SMTP و کلیدهای API و AWS.
- لیستی از حدود ۴۹۸,۰۰۰ URL هدف، که صدها زیردامنه دولتی فرانسه را شامل می‌شد.
- خروجی‌های چت تلگرام، داده‌های شناسایی (Reconnaissance) و ابزارهای کلاهبرداری مالی.
اتوماسیون حملات با استفاده از هوش مصنوعی
یکی از نکات برجسته این کشف، استفاده این گروه از یک عامل AI به نام Hermes (مبتنی بر مدل DeepSeek) بود. اپراتورها با تغییر متغیر محیطی HERMES_DISABLE_SAFETY=1، محدودیت‌های ایمنی مدل را حذف کرده بودند تا از آن برای کارهای زیر استفاده کنند:
- اسکن زیرساخت‌ها و شناسایی اسرار (Secret Discovery).
- آماده‌سازی متون فیشینگ و اتوماسیون گردش‌کار حملات.
- گزارش‌دهی خودکار در تلگرام.
ابزارهای فنی و متدهای حمله
این گروه از یک فریم‌ورک C2 اختصاصی به نام GHOST C2 v6.0 (نوشته شده با زبان Go) استفاده می‌کردند که دارای ماژول‌هایی برای استخراج اعتبارنامه‌ها و مدیریت Reverse-Shell بود. همچنین یک “موتور شناسایی” (Discovery Engine) مبتنی بر پایتون برای جستجوی مداوم اهداف جدید از طریق سوابق Certificate Transparency و DNS استفاده می‌شد.
تحلیل‌ها نشان می‌دهد که این حملات بر پایه زیرو دِی (Zero-Day) نبوده‌اند، بلکه بر روی نقاط ضعف رایج متمرکز بودند، از جمله:
- فایل‌های
.envلو رفته. - پیکربندی‌های ضعیف JWT (استفاده از مقدار “secret” به عنوان کلید امضا).
- دسترسی‌های باز به فضای ذخیره‌سازی ابری.
توصیه‌های امنیتی برای مدیران SOC و CISOها
این حادثه نشان می‌دهد که AI چگونه می‌تواند خطاهای امنیتی ساده را در مقیاس وسیع تکثیر کند. اقدامات زیر توصیه می‌شود:
- حسابرسی (Audit) زیرساخت‌ها: بررسی دقیق فایل‌های پیکربندی، مخازن کد و آرتیفکت‌های CI/CD برای جلوگیری از افشای اسرار.
- چرخش اعتبارنامه‌ها (Credential Rotation): در صورت شناسایی نشت، اعتبارنامه‌ها باید جایگزین شوند، نه فقط حذف.
- بهبود مدیریت توکن‌ها: جایگزینی Secretهای پیش‌فرض JWT و انتقال توابع تولید توکن به سمت سرور (Server-side).
- مانیتورینگ: رصد سیستم‌ها برای یافتن آثار ابزارهای AI مشکوک مانند دایرکتوری‌های
.hermesیا فایل‌هایSOUL.md.
