روزنامه پرشین‌سکیوریتی — ۱۱ آبان ۱۴۰۵ — تسریع حملات سایبری از طریق خودکارسازی مبتنی بر هوش مصنوعی
روایت روز
دنیای امنیت سایبری امروز با تحولی بنیادین در نحوه اجرای حملات روبروست؛ جایی که هوش مصنوعی از یک ابزار کمکی ساده به یک اپراتور فعال در زنجیره حمله تبدیل شده است. ظهور فریم‌ورک‌هایی مانند CyberStrikeAI نشان می‌دهد که تصمیم‌گیری‌های فنی در مراحل پس از نفوذ دیگر لزوماً توسط انسان صورت نمی‌گیرد، بلکه مدل‌های زبانی بزرگ (LLM) اکنون قادرند فرآیند مدیریت حمله را به صورت خودکار هدایت کنند. این روند در عملیات گروه‌های باج‌افزاری نیز مشهود است؛ برای نمونه، گروه Aur0ra با به‌کارگیری عامل‌های هوش مصنوعی، پیچیدگی‌های نفوذ و حرکت جانبی در شبکه را به گونه‌ای خودکار کرده است که نیاز به مهارت فنی بالای مهاجم کاهش و سرعت تخریب افزایش یافته است.
این خودکارسازی تنها به باج‌افزارها محدود نمی‌شود و در حملات هدفمند به زیرساخت‌های ویندوزی نیز نفوذ کرده است. ابزار ARTEX با استفاده از عامل‌های هوشمند، تکنیک‌های پیچیده‌ای نظیر Kerberoasting و نفوذ به Active Directory را در عرض چند ثانیه اجرا می‌کند، امری که پیش از این نیازمند تحلیل‌های دقیق و زمان‌بر انسانی بود. در همین راستا، بدافزار VOLTA گامی فراتر نهاده و از هوش مصنوعی برای تحلیل داده‌های سرقتی و رتبه‌بندی قربانیان بر اساس ارزش مالی آن‌ها استفاده می‌کند تا بهره‌وری حملات را به حداکثر برساند. حتی در سطح سرورهای لینوکسی دولتی، کمپین جاسوسی CL-UNK-1211 با ترکیب اسکریپت‌های تولید شده توسط هوش مصنوعی و تروجان SysGoRAT، در حال استخراج داده‌های حساس از زیرساخت‌های حیاتی است.
در کنار خودکارسازی حملات، مهاجمان در حال گسترش سطح حمله به محیط‌های توسعه و ابزارهای مدرن هستند. شناسایی ریسک‌های مسموم‌سازی پیکربندی در دستیارهای کدنویسی هوش مصنوعی هشدار می‌دهد که فایل‌های تنظیمات این ابزارها می‌توانند به دریچه‌ای برای اجرای کدهای مخرب در محیط توسعه تبدیل شوند. همچنین، گزارش‌هایی از جعل هویت ربات‌های معروفی چون ChatGPT، Claude و Perplexity برای اسکن وب‌سایت‌های سازمانی به منظور یافتن کلیدهای API و SSH منتشر شده است که نشان می‌دهد اعتماد به هویت اعلام‌شده توسط ربات‌ها در لایه‌های امنیتی یک اشتباه استراتژیک است. حتی شرکت‌های تحلیل داده‌ای مانند Chainalysis نیز هدف عامل‌های هوش مصنوعی قرار گرفته‌اند که منجر به افشای ایمیل‌های مشتریان شده است.
همزمان با پیشرفت‌های فنی، مهندسی اجتماعی نیز پیچیدگی‌های جدیدی یافته است. استفاده از صفحات جعلی Adobe Acrobat برای توزیع ابزارهای دسترسی از راه دور مانند ConnectWise ScreenConnect، به دلیل استفاده از امضاهای دیجیتال قانونی، شناسایی را برای ابزارهای امنیتی سنتی دشوار کرده است. در محیط‌های سازمانی نیز، جعل هویت پشتیبانی IT در Microsoft Teams در ترکیب با بهره‌برداری از پیکربندی‌های ناامن AD CS، منجر به سرقت گسترده داده‌ها و کنترل کامل دامنه شده است. این بحران اعتماد تنها در محیط‌های اداری نیست؛ هک اپلیکیشن‌های هشدار اضطراری در روسیه و اوکراین و ارسال هشدارهای جعلی هسته‌ای و شیمیایی، نشان‌دهنده پتانسیل تخریب روانی و اجتماعی حملات سایبری در زمان بحران است.
در لایه زیرساختی، نبرد بر سر وصله‌های امنیتی همچنان ادامه دارد. شرکت Ivanti اخیراً زنجیره‌ای از آسیب‌پذیری‌های روز صفر در محصولات Connect Secure را وصله کرد که به مهاجمان اجازه می‌داد بدون رها کردن ردپای بدافزار، به دسترسی سطح روت دست یابند. در کنار آن، شناسایی آسیب‌پذیری‌های خطرناکی نظیر تزریق کد در XunRuiCMS (CVE-2026-120348)، نقص‌های Stack-based Buffer Overflow و Use-After-Free در نرم‌افزار VStarcam و همچنین آسیب‌پذیری XSS در پروژه CloudClassroom-PHP، ضرورت به‌روزرسانی فوری سیستم‌ها را بیش از پیش نمایان می‌کند، به‌ویژه در شرایطی که اکسپلویت‌های بسیاری از این نقص‌ها به صورت عمومی منتشر شده‌اند.
مهم‌ترین نکات امروز
- بررسی و سخت‌سازی پیکربندی‌های AD CS و نظارت دقیق بر دسترسی‌های سطح بالا در Microsoft Teams.
- بازبینی فایل‌های تنظیمات دستیارهای کدنویسی AI و عدم اعتماد به هویت ربات‌های اسکنر وب.
- نصب فوری وصله‌های امنیتی Ivanti و به‌روزرسانی سیستم‌های مدیریت محتوا و نرم‌افزارهای IoT.
پیوندهای این شماره
توزیع ابزارهای Remote Access: لینک
جعل هویت پشتیبانی IT در Teams: لینک
جاسوسی سرورهای لینوکس (CL-UNK-1211): لینک
تحلیل فریم‌ورک CyberStrikeAI: لینک
وصله‌های امنیتی Ivanti: لینک
آسیب‌پذیری XunRuiCMS: لینک
باج‌افزار Aur0ra و هوش مصنوعی: لینک
عامل‌های هوش مصنوعی ARTEX: لینک
