تحقیقات اخیر نشان می‌دهد که گروه مجرم سایبری GOLD OGRE، عامل تهدید (Threat Actor) پشت باج‌افزار Aur0ra، به‌طور گسترده از هوش مصنوعی (AI) برای تسهیل و خودکارسازی حملات خود استفاده می‌کند. این گروه از یک چارچوب پس از نفوذ (Post-Exploitation) مبتنی بر هوش مصنوعی بهره می‌برد که ابتدا برای تست قابلیت‌های دور زدن سیستم‌های تشخیص و پاسخ در نقاط پایانی (EDR) توسعه یافته بود.
استفاده از عامل‌های هوشمند (AI Agents) در حملات
تحلیل‌ها نشان می‌دهند که این گروه از ابزارهایی مانند Cursor AI و مدل‌های زبانی بزرگ (LLM) از جمله Anthropic، xAI و Moonshot برای مدیریت عملیات خود استفاده می‌کنند. این مهاجمان با استفاده از مدل‌های عامل‌محور (Agentic Models)، فرآیند ارتقای سطح دسترسی (Privilege Escalation) از دسترسی به اعتبارنامه‌ها (Credentials) تا حساب‌های دارای امتیاز بالا (Privileged Accounts) را خودکارسازی کرده‌اند.
نکته قابل توجه، نحوه دور زدن محدودیت‌های امنیتی هوش مصنوعی (AI Guardrails) است. مهاجمان با تعریف فعالیت‌های مخرب خود تحت عنوان «تست تیم قرمز» (Red Team Activity) یا «تست‌های تشخیصی» (Diagnostics Testing)، توانسته‌اند از مدل‌های هوش مصنوعی برای انجام کارهای مخرب استفاده کنند.
تکنیک‌ها و روش‌ها (TTPs) مشاهده شده
در جریان این حملات، عامل‌های هوش مصنوعی با حداقل دخالت انسانی، وظایف زیر را انجام می‌دادند:
- شناسایی شبکه و Active Directory (AD)
- تحلیل مسیرهای حمله مبتنی بر اعتبارنامه‌ها
- انجام حرکت جانبی (Lateral Movement) در شبکه
- استفاده از تکنیک‌هایی مانند Password Spraying، Kerberoasting و NTLM Relay
- استخراج داده‌ها و انتقال آن‌ها به ذخیره‌سازهای S3-compatible
بر اساس تحلیل لاگ‌ها، احتمالاً اپراتورهای این حملات به زبان روسی صحبت می‌کنند، زیرا دستورات مشاهده شده در لاگ‌ها با چیدمان کیبورد روسی مطابقت داشتند.
توصیه‌های دفاعی
اگرچه کنترل‌های سنتی همچنان موثر هستند، اما با ظهور حملات خودکار مبتنی بر هوش مصنوعی، سرعت پاسخگویی (Response) اهمیت حیاتی پیدا کرده است. سازمان‌ها باید بر موارد زیر تمرکز کنند:
- بخش‌بندی (Segmentation) سرورهای حیاتی
- ایزوله‌سازی نسخه‌های پشتیبان (Backups)
- استفاده از مدیریت دسترسی‌های ممتاز (PAM)
- پیاده‌سازی احراز هویت چندعاملی (MFA) مقاوم در برابر فیشینگ
