استفاده از هوش مصنوعی برای جایگزینی وظایف دستی انسانی مانند تحقیق، مستندسازی و تحلیل کد در حال گسترش است. روند فعلی نشان می‌دهد که سازمان‌ها از کمک‌های ساده AI فراتر رفته و اکنون توالی‌های پیچیده‌ای از عملیات را به این سیستم‌ها می‌سپارند. این روند در حوزه امنیت سایبری نیز مشاهده می‌شود؛ ابزارهایی مانند Vulnhuntr برای شناسایی آسیب‌پذیری‌های کد و GhidraMCP برای مهندسی معکوس (Reverse Engineering) از مدل‌های زبانی بزرگ (LLM) بهره می‌برند.
شناسایی و تحلیل ابزار ARTEX
ابزار ARTEX یک سیستم نفوذ خودکار (Autonomous Penetration Testing) است که در آن چندین Agent پس از دریافت هدف و اهداف نهایی از کاربر، به بررسی دارایی‌ها پرداخته، ابزارهای مناسب را انتخاب کرده و عملیات را اجرا می‌کنند. برخلاف ابزارهای سنتی، ARTEX اقدامات بعدی خود را بر اساس نتایج مراحل قبلی تعیین می‌کند.
در بررسی‌های اخیر، یک کنسول وب مربوط به ARTEX در اینترنت شناسایی شد. ردیابی زیرساخت‌های مرتبط با این کنسول منجر به کشف داده‌های عملیاتی در برخی میزبان‌ها شد که با رفتارهای یک عامل تهدید (Threat Actor) مطابقت داشت. تحلیل‌ها نشان داد که این ابزار تنها برای اهداف آموزشی نیست و در حملات واقعی به کار گرفته شده است.
شواهد حملات واقعی و نتایج PoC
تحقیقات روی زیرساخت‌های ARTEX منجر به شناسایی حدود ۹۰۰ آدرس IP در دسترس بود که بخش بزرگی از آن‌ها در ایالات متحده، چین، هنگ‌کنگ و سنگاپور توزیع شده بودند. در برخی از این سیستم‌ها، فایل‌های مربوط به اکتشاف شبکه داخلی، دسترسی‌های غیرمجاز، Pivoting و Payloadهای تکمیلی یافت شد. برخی از یافته‌های کلیدی عبارتند از:
- کانال‌های فرماندهی: یافتن Web Shell و سیستم‌های Reverse RDP Relay.
- تکنیک‌های دسترسی: تلاش برای برقراری ارتباطات RDP با استفاده از متد Pass-the-Hash.
- اکتشاف زیرساخت: اسکن شبکه‌های Kubernetes Pod و استخراج Secrets از JVM Heap Dumps.
در محیط‌های آزمایشگاهی (PoC)، ARTEX توانست بدون دخالت انسان و تنها با یک دستور ساده مانند «به هدف نفوذ کن»، اهداف خود را محقق کند. در یک مورد، سیستم از طریق آسیب‌پذیری File Upload به اجرای برنامه (RCE) دست یافت و در موردی دیگر، با بهره‌برداری از Apache ActiveMQ، توانست از طریق دسترسی اولیه، عملیات جابه‌جایی جانبی (Lateral Movement) را روی چهار میزبان داخلی اجرا کند.
چالش‌های شناسایی و استراتژی‌های دفاعی
شناسایی فعالیت‌های ARTEX دشوار است زیرا این ابزار از User-Agentهای متغیری استفاده می‌کند (مانند curl یا norma/0.4) و در بسیاری از ارتباطات غیر-HTTP، هیچ ردی از User-Agent باقی نمی‌ماند. بنابراین، تکیه بر شناسایی مبتنی بر امضا (Signature-based) کافی نیست.
برای مقابله با حملات خودکار مبتنی بر AI، سازمان‌ها باید استراتژی‌های زیر را اتخاذ کنند:
- کاهش سطح حمله (Attack Surface): شناسایی و بستن سرویس‌های غیرضروری که در اینترنت در دسترس هستند.
- مانیتورینگ پیشرفته: استقرار سیستم‌های EDR برای نظارت بر اجرای فایل‌ها و پروسه‌ها در سرورها و کلاینت‌ها.
- تحلیل همبسته (Correlation): ایجاد چارچوب تحلیل مبتنی بر XDR برای تطبیق لاگ‌های وب، شبکه و احراز هویت با نتایج شناسایی در Endpointها.
- کنترل دسترسی: محدود کردن دسترسی‌های حساب‌های کاربری و دسترسی به شبکه داخلی به حداقل سطح مورد نیاز (Least Privilege).
