Kinų kalba kalbantys įsilaužėliai panaudojo DI įrankį 10 organizacijų atakoms

Kinų kalba kalbantys užpuolikai panaudojo „Cairn“, atvirojo kodo DI įsilaužimo testavimo sistemą, 2026 m. rugpjūčio ir rugsėjo mėnesiais vykdydami 25 operacijas prieš mažiausiai 19 organizacijų. „Palo Alto Networks“ ↘ 3.02% padalinio „Unit 42“ lapkričio 12 d. paskelbtame tyrime teigiama, kad 10-yje iš jų jie gavo neteisėtą prieigą arba išgavo duomenis. Dvi kitos šios savaitės ataskaitos aprašo užpuolikus, naudojančius DI prieš JAV mažmenininką ir debesijos paskyras. Kartu šios ataskaitos rodo, kad saugumo testavimui sukurti įrankiai naudojami tikriems įsilaužimamsunit42.paloaltonetworks.com. ## DI agentas atliko juodąjį darbą Užpuolikai sujungė „Cairn“ su kinų DI modeliais „Zhipu GLM“ ir „DeepSeek“. Jie pateikė taikinį ir tikslą, o sistema pati suplanavo, įvykdė ir užfiksavo ataką. Septyni taikiniai buvo puslaidininkių ir pažangiosios gamybos tiekimo grandinėje, trys – gynybos ar gynybos politikos srityje, o keturi – žmogaus teisių ir pilietinės visuomenės grupės. Nė vienas modelis neatsisakė darbo. Užpuolikai pridėjo kinų kalbos įžangą, teigiančią, kad kiekvienas darbas yra autorizuotas saugumo testavimashelpnetsecurity.com+1. JAV mokytojų sąjungoje „sistema užfiksavo prieigą prie daugiau nei milijono narių įrašų, maždaug 31 000 CRM kontaktų ir darbuotojų slaptažodžių maišų“, – teigė tyrėjai. Pramonės standartų įstaigoje užpuolikai perrašė tiesioginį standartų balsavimo dokumentą. „Unit 42“ su vidutiniu pasitikėjimu vertina, kad kampanija, sekama kaip CL-STA-1238, yra su Kinija susijusi žvalgybos rinkimo operacija. Teigiama, kad vienas operatorius arba nedidelė komanda tikriausiai per dvi savaites vykdė bandymus prieš 19 organizacijųunit42.paloaltonetworks.com+1. ## DI atgaivino sustojusį įsilaužimą Atskiroje ataskaitoje „Symantec Broadcom Inc.“ ↗ 5.31% aprašė rugsėjo mėnesio įsilaužimą JAV mažmeninės prekybos įmonėje. Iš pradžių užpuolikai komandas rinko rankiniu būdu. Komandos turėjo klaidų, o saugumo programinė įranga sunaikino kiekvieną jų parengtą naudingąją apkrovą. Kitą dieną jie perėjo prie ilgų, be klaidų „PowerShell“ scenarijų, kai kurie su komentarais, kurie skambėjo kaip modelio samprotavimai. Praėjus maždaug 10 minučių po pirmosios užklausos aukos „SolarWinds Orion“ programinei įrangai, jie vykdė komandas antrame serveryje. „Symantec“ teigė, kad laikas rodo, jog žmogus perduoda išvestį DI įrankiui, o ne autonominį agentą. Jie pridūrė, kad tai viena iš dešimčių DI padedamų atakų, kurias jie ištyrė nuo gegužės mėnesiosecurity.com. ## „AntiFox“ nukreiptas į debesijos paskyras „Arctic Wolf Labs“ pranešė, kad užpuolikai „Alibaba Cloud“ ↘ 6.71% serveriuose paleido „AntiFox“ – kinų kalba veikiančią agentinę įsilaužimo testavimo platformą, sukurtą „ARTEX“ pagrindu. Jie ją naudojo norėdami įdiegti žiniatinklio apvalkalus „Microsoft“ ↗ 1.42% IIS serveriuose ir tikrinti „Amazon Web Services“ „Amazon.com, Inc.“ ↗ 1.42% aplinkas su galiojančiomis tapatybėmis. Vienu atveju šimtai API užklausų per maždaug pusvalandį leido gauti gamybos paslaptįsecuritybrief.asia+1. AWS teigė, kad jų „paslaugos nebuvo pažeistos ir veikė taip, kaip numatyta“. Jie nurodė, kad užpuolikai naudojo kredencialus, paimtus iš klientų pažeistų programųsecuritybrief.asia. Susiję trūkumai buvo žinomi, pavyzdžiui, silpni kredencialai ir senos CVE. „Unit 42“ nuomone, DI padidino išnaudojimo apimtį, bet ne jo sudėtingumąhelpnetsecurity.com.