تحقیقات امنیتی نشان می‌دهد که یک عامل تهدید (Threat actor) با طراحی یک سیستم خودکار، در حال بهره‌برداری از موتور جستجوی FOFA برای شناسایی و سرقت کلیدهای API حساس مدل‌های هوش مصنوعی از جمله OpenAI و DeepSeek است. این عملیات که تحت عنوان Operation Ghost-Campus شناخته می‌شود، از بیش از ۱۴۰۰ حساب کاربری جعلی برای دور زدن محدودیت‌های جستجو و یافتن اطلاعات حساس در سرورهای دارای پیکربندی اشتباه (Misconfigured) استفاده می‌کند.
مکانیسم حمله و خودکارسازی عملیات
این عامل تهدید با استفاده از یک سیستم ایمیل “Catch-all” روی دامنه melocc.cc، فرآیند ثبت‌نام در FOFA را کاملاً خودکار کرده است. این سیستم قادر است در عرض چند ثانیه، حساب کاربری ایجاد، ایمیل تایید را دریافت و لینک فعال‌سازی را کلیک کند. با چرخش (Rotation) میان ۱۴۳۸ حساب کاربری مختلف، مهاجم می‌تواند روزانه ده‌ها هزار پرس‌وجو (Query) رایگان انجام دهد تا فایل‌های حساس مانند .env، تنظیمات Docker و مخازن (Repositories) ناسازگار با امنیت را جستجو کند.
پس از یافتن سرورهای هدف، عامل تهدید از عبارات منظم (Regular Expressions) برای استخراج کلیدها استفاده می‌کند:
- برای OpenAI: کلیدهایی که با الگوی “sk-proj-” شروع می‌شوند را شناسایی و صحت آن‌ها را از طریق api.openai.com بررسی می‌کند.
- برای DeepSeek: کلیدهایی با الگوی sk-[a-f0-9]{32} را استخراج کرده و موجودی حساب را نیز کنترل می‌کند.
پیامدهای امنیتی و سوءاستفاده از منابع
کلیدهای سرقت شده برای تأمین توان پردازشی رایگان در ابزارهایی مانند “Pi — AI Coding Assistant” استفاده می‌شوند. این موضوع می‌تواند منجر به هزینه‌های سنگین و غیرمنتظره برای سازمان‌های قربانی شود، چرا که فعالیت‌های مهاجم در گزارش‌های مصرف (Usage Logs) به نام سازمان ثبت خواهد شد. علاوه بر این، در این کمپین نمونه‌هایی از سرقت داده‌های شخصی دانشجویان نیز مشاهده شده است که نشان‌دهنده گسترش دامنه حملات از سرقت اعتبار (Credential Theft) به جمع‌آوری داده‌های هویتی است.
توصیه‌های امنیتی برای مدیران SOC و CISO
برای مقابله با این نوع تهدیدات، اقدامات زیر توصیه می‌شود:
- مدیریت کلیدها: هرگز کلیدهای API را در فایل‌های .env، مخازن عمومی (Public Repositories) یا پوشه‌های قابل دسترس از طریق وب قرار ندهید.
- چرخش کلیدها: در صورت احتمال لو رفتن، بلافاصله کلیدهای خود را باطل (Revoke) و کلیدهای جدید جایگزین کنید.
- کنترل هزینه‌ها: برای حساب‌های هوش مصنوعی، محدودیت‌های بودجه (Spending Limits) تعیین کنید.
- پایش مداوم: گزارش‌های مصرف و لاگ‌های دسترسی را برای شناسایی فعالیت‌های غیرعادی یا جهش‌های ناگهانی در مصرف بررسی کنید.
شاخص‌های آلودگی (IoCs)
- دامنه اصلی: melocc.cc
- زیردامنه های ایمیل: mail.melocc.cc, api.melocc.cc, pop.melocc.cc, imap.melocc.cc, smtp.melocc.cc
- آدرس IP کنترل پنل: 134.175.71(.)194
- الگوی کلید DeepSeek: sk-[a-f0-9]{32}
