Tölvuþrjótar notuðu gervigreindarlíkön í alþjóðlegum árásum

Kínverskumælandi tölvuþrjótur stóð fyrir alþjóðlegri árásarherferð með því að tengja nokkur gervigreindarkóðunartól við ARTEX, sem er sjálfvirkt kerfi fyrir öryggisprófanir. Zscaler ↗ 3.06% ThreatLabz segir að árásaraðilinn hafi stillt DeepSeek, GLM og Grok líkönin þannig að þau skiptu með sér verkefnum og yfirfóru vinnu hvers annars. Niðurstöðurnar, sem birtar voru 21. október, sýna að herferðin, sem fyrst varð þekkt fyrir árásir á suður-kóreska banka, náði einnig til stofnana í um 19 löndum og svæðum, þar á meðal Bandaríkjunum, Bretlandi, Japan, Indlandi, Nígeríu og Sameinuðu arabísku furstadæmunum.gbhackers.com

Vinnuflæði með mörgum líkönum

ThreatLabz rakti starfsemina út frá sérsniðinni ARTEX uppsetningu. Hún innihélt stillingar fyrir gervigreindaraðstoðarmenn, samstillingarforskriftir, verkfæri fyrir netbeiningu og feril yfir Claude Code skipanir frá 4. ágúst til 4. október 2026, að sögn Zscaler. „ARTEX var stillt til að nota DeepSeek líkan í gegnum gátt sem er samhæf við OpenAI, en aðrar stillingar tilgreindu einnig DeepSeek, GLM og Grok,“ sagði rannsakandinn Seongsu Park við The Hacker News.thehackernews.com+1

Í skipununum sá DeepSeek um fyrstu rannsóknina og GLM yfirfór niðurstöðurnar. Grok fékk rannsóknarverkefni á miðlara í gegnum brúarþjónustu sem heitir grok2api, og Codex var sett upp til að taka við vistuðum athugasemdum svo hægt væri að flytja vinnu á milli lota, samkvæmt ThreatLabz. Ein skipunin hljóðaði svo: „Þegar DeepSeek segist hafa kannað alla fleti árásarinnar og ég segi til um að hefja GLM yfirferð, þá á GLM að yfirfara fyrri vinnu DeepSeek.“ ARTEX ílát árásaraðilans innihélt algeng tölvuþrjótaverkfæri eins og Nmap, SQLmap, Nuclei, JADX og Frida. Sönnunargögn voru vistuð í Backblaze ↘ 6.96% B2 geymslu.zscaler.com

Zscaler varaði við því að stillingarnar sýni aðeins hvaða líkön var óskað eftir. Þar sem ekki var hægt að staðfesta hvaða líkan svaraði hverri lotu, gætu sumar lotur hafa notað Claude líkön frá Anthropic.

Skotmörk og hvatir

Í skipununum var minnst á stefnumótaöpp, SMS þjónustuveitur, dulritunar- og greiðsluvettvanga, fjárhættuspilasíður, smásala, menntunarþjónustu og flutningafyrirtæki. Áherslan var á símanúmer, persónuupplýsingar og API lykla fyrir greiðslugáttir. Árásaraðilinn spurði einnig hvar stolin kóresk gögn séu venjulega seld, að sögn ThreatLabz. Zscaler benti á að gögnin sýni tilraunir til rannsókna, ekki staðfest innbrot hjá öllum skotmörkum.zscaler.com

Skýrsla sama fyrirtækis frá 14. október tengdi herferðina við þjófnað á gögnum um 67.000 manns frá suður-kóreskum fjármálafyrirtækjum. Hún eignaði starfsemina, með nokkurri vissu, kínverskumælandi aðila sem er drifinn áfram af fjárhagslegum hvötum.zscaler.com

Vaxandi ARTEX vandamál

Uppljóstrunin kemur á sama tíma og misnotkun á ARTEX eykst. Á miðvikudag tengdi Microsoft ↘ 2.16% kínverskan ríkisstyrktan hóp, sem þeir kalla Storm-0940, við innbrot í aðfangakeðju ConnectWise Cloud Backup og sagði að hópurinn notaði ARTEX til að flýta fyrir lykilorðaárásum og OAuth misnotkun, að því er The Hacker News greindi frá. Microsoft sagði að hópurinn hafi reynt að skrá sig inn á meira en 2.250 Microsoft 365 leigjendur með 2.900 tilraunum á mínútu, samkvæmt Cyber Security News. Sá miðill benti einnig á að rannsóknir Zscaler og Microsoft sýndu ekki að árásirnar tvær deili sama aðila. Recorded Future, sem er í eigu Mastercard ↗ 1.21%, fylgist með hópnum sem beinist að Kóreu undir nafninu TAG-217, og CrowdStrike ↘ 0.39% fann sérstaklega opna Claude Code ferla á netþjónum árásaraðilans, samkvæmt GBHackers.gbhackers.com+2

Eftir árásirnar í Suður-Kóreu var ARTEX verkefnið gert lokað. Opinberar útgáfur eru enn aðgengilegar, benti The Hacker News á.thehackernews.com