تحقیقات اخیر نشان‌دهنده ظهور یک کمپین سایبری پیشرفته است که در آن مهاجمان از ترکیب مدل‌های مختلف هوش مصنوعی (AI) و ابزارهای تست نفوذ برای خودکارسازی حملات استفاده می‌کنند. این کمپین که فراتر از محدوده‌های جغرافیایی خاص عمل کرده، سازمان‌هایی در بخش‌های مختلف از جمله امور مالی، خدمات پیامکی، ارزهای دیجیتال، خرده‌فروشی و خدمات آموزشی را هدف قرار داده است.
زیرساخت و ابزارهای عملیاتی مهاجمان
مهاجمان از یک ساختار پیچیده شامل سرورهای کاری (Work Servers) و سرورهای پرش (Jump Servers) برای مدیریت عملیات خود استفاده کرده‌اند. یکی از ابزارهای کلیدی در این حملات، فریم‌ورک ARTEX است؛ یک چارچوب تست نفوذ مبتنی بر هوش مصنوعی که از معماری Planner-and-Worker بهره می‌برد. در این مدل، یک ایجنت هوش مصنوعی اهداف نفوذ را به وظایف کوچک‌تر تقسیم کرده و ایجنت‌های دیگر وظیفه اجرا و مستندسازی آن‌ها را بر عهده دارند.
برای حفظ پیوستگی عملیات، مهاجمان از اسکریپت‌های سفارشی برای همگام‌سازی (Synchronization) دستورالعمل‌ها، یادداشت‌ها و ابزارها بین حساب‌های مختلف استفاده می‌کردند. این کار باعث می‌شد که بافت عملیات (Context) در طول جلسات مختلف هوش مصنوعی و بین سرورهای مختلف حفظ شود.
استراتژی استفاده از مدل‌های چندگانه (Multi-Model Orchestration)
نکته بسیار قابل توجه در این کمپین، استفاده از رویکرد مدیریت چندگانه مدل‌های زبانی بزرگ (LLM) است. مهاجمان وظایف مختلف را بین مدل‌های مختلف تقسیم می‌کردند تا دقت و کارایی حملات افزایش یابد:
- DeepSeek: به عنوان موتور اصلی برای اجرای جریان کاری ARTEX و انجام تحقیقات اولیه.
- GLM: برای بازبینی (Review) یافته‌های مدل‌های دیگر و شناسایی شکاف‌های احتمالی در سطح حمله (Attack Surface).
- Grok: برای انجام وظایف پژوهشی و تحلیل‌های تکمیلی در سرورهای پرش.
این ساختار که نوعی “بازبینی همتا” (Peer Review) بین مدل‌های هوش مصنوعی ایجاد می‌کند، به مهاجمان اجازه می‌دهد تا نتایج خود را به صورت خودکار اعتبارسنجی و اصلاح کنند.
اهداف و انگیزه‌های مالی
تحلیل تاریخچه دستورات (Prompts) نشان می‌دهد که هدف اصلی این حملات، استخراج داده‌های حساس شخصی (PII)، شماره تلفن‌ها و اطلاعات تراکنش‌های مالی بوده است. مهاجمان به دنبال یافتن آسیب‌پذیری‌هایی بودند که امکان دسترسی به درگاه‌های پرداخت، کلیدهای API و داده‌های مشتریان را فراهم کند. همچنین، درخواست‌ها برای ترجمه جداول داده‌ها به زبان چینی نشان‌دهنده تمایل مهاجمان برای آماده‌سازی داده‌های سرقت شده جهت فروش در بازارهای سیاه (Underground Marketplaces) است. با توجه به زبان و تنظیمات زمانی استفاده شده، احتمالاً عامل تهدید (Threat Actor) یک اپراتور مسلط به زبان چینی است.
