یک عامل تهدید با بهره‌گیری از سه چارچوب (Harness) هوش مصنوعی متن‌باز، صدها خرده‌فروش آنلاین و سازمان بزرگ را هدف قرار داده است. این حملات منجر به سرقت بیش از ۶۰۰,۰۰۰ رکورد کارت اعتباری و نصب اسکیمرهای دیجیتال (Skimmers) با هزینه‌ای بسیار پایین شده است.
جزئیات عملیات و ابزارهای مورد استفاده
بر اساس گزارش شرکت امنیتی Gambit، این مهاجم که به زبان چینی مسلط بوده، از سه ابزار AI برای اجرای حملات تقریباً خودکار استفاده کرده است:
- Hermes: به عنوان ارکستراتور (Orchestrator) کمپین عمل کرده و وظایف چندمرحله‌ای را مدیریت می‌کرد. این ابزار از مدل Claude Opus 4.6 استفاده می‌کرد و دارای ۱۲۱ مهارت بود که ۷۸ مورد از آن‌ها مربوط به تکنیک‌های حمله بود.
- Strix: یک ابزار متن‌باز تست نفوذ (Penetration Testing) که برای شناسایی آسیب‌پذیری‌ها در سازمان‌های هدف از مدل‌های GLM 5.2 و DeepSeek v4 Pro استفاده می‌کرد.
- Cairn: ابزاری خودکار برای اجرای نفوذ که پس از شناسایی هدف توسط Strix، وظیفه دستیابی به اهدافی مانند استقرار Shell یا دسترسی Admin را بر عهده داشت و بر پایه مدل DeepSeek v4.1 Flash اجرا می‌شد.
تحلیل فنی زنجیره حمله
این عامل تهدید با استفاده از OpenRouter به مدل‌های مختلف AI دسترسی پیدا کرده است. در یکی از موارد، AI با شناسایی یک آسیب‌پذیری SQL Injection، موفق به دریافت رمز یک‌بار مصرف (OTP) و دسترسی به پنل وب شد. سپس با آپلود یک Web Shell و سوءاستفاده از پیکربندی نادرست قوانین sudo، دسترسی‌های خود را ارتقا داده (Privilege Escalation) و در نهایت ۴۶ Secret مربوط به AWS را استخراج کرد.
تاثیرات و خسارات
در بازه زمانی ۱۰ تا ۱۵ سپتامبر، حداقل ۱۰۵ حمله شناسایی شد که منجر به نفوذ به ۲۷ شرکت، از جمله یک شرکت هتلداری Fortune 500 و یک خط هوایی بزرگ آمریکایی گردید. علاوه بر سرقت داده‌ها، مهاجم با تزریق کدهای JavaScript به فایل‌های موجود در صفحات پرداخت (Checkout)، اسکیمرهای سرقت کارت را فعال کرد.
چالش جدید برای تیم‌های SOC و CISOها
این کمپین نشان می‌دهد که «پنجره زمان برای اصلاح» (Remediation Clock) به شدت کوتاه شده است. سرعت حملات توسط عوامل AI به گونه‌ای است که اکسپلویت‌ها تنها چند ساعت پس از افشای آسیب‌پذیری اجرا می‌شوند. در این وضعیت، سرعت وصله کردن (Patching) به تنهایی کافی نیست و تمرکز باید بر روی تاب‌آوری سرویس‌ها و سرعت بازیابی (Recovery) باشد.
