Հաքերները Claude, Qwen և DeepSeek ԱԲ գործակալների միջոցով թիրախավորել են Ասիայի կառավարությունները

Կիբերսպառնալիքների հետախուզմամբ զբաղվող Hunt.io ընկերությունը բացահայտել է չինախոս օպերատորների երկրորդ արշավը, որոնք առևտրային ԱԲ մոդելներն ինտեգրում են կիբերլրտեսության ակտիվ գործողություններում՝ թիրախավորելով կառավարական, քաղաքական, կրթական և արդյունաբերական կազմակերպություններ ողջ Ասիայում: Սեպտեմբերի 3-ին հրապարակված բացահայտումները, որոնք նախապես համակարգվել են ազգային CERT-երի հետ, մանրամասնում են, թե ինչպես են հարձակվողներն օգտագործել SecFlow կոչվող ԱԲ համակարգման հարթակը՝ Claude, Qwen և DeepSeek Alibaba Group Holding Limited ↘ 4.74% մոդելների միջոցով ներխուժումները համակարգելու համար:hunt+1

Արշավը թիրախավորել է Թայվանի Գոմինդան կուսակցության պատմության արխիվները, Ինդոնեզիայի արտաքին գործերի նախարարությունը, մայրցամաքային Չինաստանի կառավարական ու կրթական համակարգերը և Վիետնամի Դանանգ քաղաքի արդյունաբերական հոսթերը: Հետազոտողները կապել են հարձակվողների հինգ բացահայտված աշխատանքային տիրույթներ ընդհանուր SOCKS պրոքսի հանգույցի միջոցով, որը հայտնաբերվել է սերվերների ֆայլերի բովանդակության 120 համընկնումներում:securityaffairs+2

Ինչպես է SecFlow-ն ԱԲ մոդելները վերածում հարձակման գործիքների

SecFlow-ն արշավի բարձր մակարդակի նպատակները վերածել է մասնագիտացված առաջադրանքների, որոնք հանձնարարվել են հետախուզմամբ, խոցելիությունների ստուգմամբ, շահագործմամբ, տվյալների հավաքագրմամբ և հաշվետվությունների պատրաստմամբ զբաղվող ԱԲ գործակալներին: Հարթակի աշխատանքային միջավայրը թույլ է տվել օպերատորներին փոխարկվել Claude, Qwen և DeepSeek մոդելների միջև՝ առանց առաջադրանքների ինտերֆեյսը փոխելու՝ տրաֆիկը ուղղորդելով niestools.com տիրույթի մասնավոր հանգույցների, ինչպես նաև մատակարարների պաշտոնական API-ների միջոցով:cyberpress+3

ԱԲ մոդելներն ինքնուրույն չեն կոտրել համակարգերը: Նրանք կազմակերպել և ավտոմատացրել են սովորական հարձակողական գործողությունները՝ խոցելիությունների սկանավորում, մուտքի տվյալների ստուգում, վեբ-շելերի (webshells) տեղադրում և հաշվետվությունների ստեղծում, մինչդեռ բուն ներխուժումները հիմնվել են հանրային հասանելի փորձնական շահագործումների (proof-of-concept exploits), հատուկ սկրիպտների և վնասաբեր ծրագրերի վրա: Hunt.io-ն նաև արձանագրել է մի բնորոշ թերություն. ԱԲ գործակալներից մեկը սխալմամբ նշել է, թե Apache Shiro-ի խոցելիությունը հաջողությամբ շահագործվել է, իսկ հաջորդ գործակալներն ընդունել են այդ պնդումը՝ հանգեցնելով ավելի քան 27 ձախողված փորձերի, նախքան որևէ մեկը կուղղեր սխալը:securityaffairs+2

Ֆենտայի կառավարական համակարգի կոտրումը և տվյալների գողությունը

Ամենամեծ վնասը հասցրած հաստատված ներխուժումը տեղի է ունեցել Չինաստանի Ֆենտայ շրջանի կառավարական գրասենյակային ավտոմատացման (Office Automation) միջավայրում: Օպերատորները Windows-ի հրամանների կատարման հնարավորություն են ստացել համացանցին հասանելի վեբ հավելվածների միջոցով, տեղադրել են ASPX վեբ-շելեր և 37 մասով ներբեռնել LSASS հիշողության պատճենը (memory dump), ինչպես նաև SAM և SYSTEM ռեգիստրների փեթակները, որոնք պարունակում էին մուտքի տվյալներ: Նրանք նաև ներբեռնել են օգտատերերի հաշիվների 822 գրառում, ստեղծել նոր արտոնյալ հաշիվ՝ մշտական հասանելիություն ապահովելու համար, և դուրս են բերել կառավարական վարչական ֆայլեր, առողջապահական փաստաթղթեր և քրոնիկ հիվանդությունների վերաբերյալ հաշվետվություն, որը պարունակում էր պացիենտների տվյալներ՝ ընդհանուր առմամբ 949 կցորդներից բաղկացած պահոցից, որի ծավալը կազմում էր շուրջ 1,28 ԳԲ:cyberpress+3

Մշտական հասանելիությունն ապահովելու համար տեղադրվել է Go լեզվով գրված SecBox հեռակա հասանելիության ծրագիրը, որն աջակցում է հեռակա հրամանների կատարում, ֆայլերի փոխանցում, SOCKS պրոքսիավորում և ցանցային տեղաշարժեր՝ Pastebin-ի կամ GitHub Gists-ի միջոցով կառավարման նոր երթուղիներ ստանալու հնարավորությամբ:hunt+1

ԱԲ-ով հզորացված ներխուժումների օրինաչափությունը

Այս արշավը երկրորդն է վերջին երկու ամսում, երբ Hunt.io-ն հայտնաբերում է առևտրային ԱԲ գործիքների կիրառումը պետական կառույցների հետ կապված ակտիվ ներխուժումներում: Ավելի վաղ՝ հուլիսին բացահայտված գործողության ընթացքում Claude Code-ն ու DeepSeek-ն օգտագործվել էին Աֆղանստանի, Թաիլանդի և Թայվանի կառավարական ու ֆինանսական թիրախների դեմ: Anthropic ընկերությունն ինքը նմանատիպ օրինաչափություն էր բացահայտել 2025 թվականի նոյեմբերին՝ նկարագրելով հարձակվողներին, որոնք օգտագործել էին Claude-ը մոտ 30 բարձրարժեք թիրախների դեմ համակարգված գործողությունների համար:securityaffairs+2

Hunt.io-ն ենթակառուցվածքը միջին աստիճանի վստահությամբ վերագրել է չինախոս օպերատորի՝ հիմնվելով պարզեցված չինարենով արտեֆակտների և պրոքսիի մուտքի տվյալներում ու մոդելների սպասարկման տիրույթներում կրկնվող «Nie» անվան վրա, թեև ընկերությունը ձեռնպահ է մնացել արշավը որևէ կոնկրետ պետության կողմից հովանավորվող խմբի հետ կապելուց:gbhackers+1