گروه باج‌افزاری Aur0ra چگونه عامل‌های هوش مصنوعی را به خدمت گرفت؟

در دنیای تهدیدات سایبری، همیشه تصور می‌شد که هکرها خودشان دست‌به‌کیبورد هستند و مرحله‌به‌مرحله پیش می‌روند. اما گزارش تازه‌ای نشان می‌دهد که گروه باج‌افزاری Aur0را (Aur0ra) بخش عمده‌ای از کار نفوذ را به عامل‌های هوش مصنوعی سپرده است؛ روشی که مرزهای امنیت سایبری را جابه‌جا می‌کند. 🔓

🤖 هوش مصنوعی در نقش هکر

بر اساس یافته‌های شرکت امنیتی Sophos، گروهی که با نام رمز GOLD OGRE شناخته می‌شود، از عامل‌های هوش مصنوعی برای حرکت در شبکه‌های قربانیان، جمع‌آوری اطلاعات ورود و رسیدن به سطح دسترسی مدیر دامنه (Domain Administrator) استفاده کرده است. محققان در اواخر ماه اوت، ردپاهایی از دستیار برنامه‌نویسی Cursor AI پیدا کردند که نشان می‌داد مهاجمان لاگین‌های VPN، دسترسی پروکسی، اهداف و مقاصد خود را مستقیماً در اختیار این عامل‌ها قرار داده‌اند.

عامل‌های هوش مصنوعی پس از دریافت این اطلاعات، بدون نیاز به دخالت مداوم انسان، شبکه و Active Directory را نقشه‌برداری کردند، در اشتراک‌های شبکه، اسناد و نسخه‌های پشتیبان به دنبال رمز عبور گشتند و به صورت جانبی در شبکه جابه‌جا شدند. در برخی شبکه‌ها، این عامل‌ها موفق به کسب دسترسی مدیریت دامنه شدند و نام سه تن از این قربانیان بعداً در سایت نشت اطلاعات Aur0را منتشر شد. البته مرحلهٔ نهایی یعنی نفوذ اصلی و استقرار باج‌افزار همچنان تحت کنترل انسانی باقی مانده بود.

⌨️ دستورهای روسی و فریب ابزارها

محققان بخشی از دستورالعمل‌هایی را که اپراتورها به زبان روسی برای عامل‌های هوش مصنوعی نوشته بودند، بازیابی کردند. در یکی از این دستورالعمل‌ها، اپراتور گفته بود شبکهٔ Windows AD نیاز به تست دارد و پیشنهاد راه‌اندازی پروکسی SOCKS5 و حساب‌های کاربری برای عامل را داده بود. در دستور دیگری آمده بود:

«دیگر سعی نکن حساب‌های مدیر دامنه را با حملهٔ Brute-force بشکنی. از روش‌ها و مسیرهای دیگر که سر و صدای کمتری دارند استفاده کن.»

همچنین در یکی دیگر از درخواست‌ها، از عامل خواسته شده بود سرورهای پشتیبان، سرورهای NAS و سیستم‌های مجازی‌سازی را در زیرساخت قربانی پیدا کند. وجود اشتباهات تایپی با حروف سیریلیک در لاگ‌های اپراتورها، نشان‌دهندهٔ روس‌زبان بودن آن‌هاست.

🛡️ دور زدن محدودیت‌های ایمنی

ابزارهای هوش مصنوعی دارای محدودیت‌های ایمنی (Guardrails) هستند که از استفادهٔ مخرب جلوگیری می‌کنند. اما مهاجمان برای دور زدن این سد، حملات خود را به عنوان «فعالیت مجاز تیم قرمز» یا «تست تشخیصی» معرفی کردند. این حملات از طریق مدل برنامه‌نویسی عامل‌محور Composer در Cursor و همچنین مدل‌هایی از شرکت‌های Anthropic، xAI و Moonshot اجرا شد. Sophos اشاره می‌کند که مهاجمان ابتدا تقریباً منحصراً از Anthropic استفاده می‌کردند، اما سپس مدل‌های دیگر را وارد کار کردند؛ تغییری که احتمالاً با انتقال تمرکز آن‌ها از ساخت ابزار به اجرای نفوذ مرتبط بوده است.

🌐 چشم‌انداز آیندهٔ تهدیدات

واحد ضدتهدید Sophos با اطمینان بالا ارزیابی می‌کند که GOLD OGRE از هوش مصنوعی برای آزمایش قابلیت فرار ابزارهایش از محصولات EDR (تشخیص و پاسخ نقطهٔ پایان) استفاده کرده و سپس فناوری مشابهی را در اختیار همکارانش برای حملات Aur0را قرار داده است. شرکت‌های Gambit Security و CloudSEK نیز تحلیل‌های مستقلی از عملیات Aur0را منتشر کرده‌اند که ظاهراً بر پایهٔ همان دایرکتوری بازِ افشاشده است. گزارش Gambit به استفاده از یک عامل Claude 4.5-Sonnet در حملات نیمه‌خودکار اشاره دارد.

محققان معتقدند بسیار محتمل است که سایر گروه‌های باج‌افزاری نیز عامل‌های هوش مصنوعی را وارد عملیات خود کنند.

🛠️ چه باید کرد؟

هوش مصنوعی می‌تواند مراحل زنجیرهٔ حمله را تسریع کند و سطح دانش فنی لازم برای انجام حمله را کاهش دهد. با این حال، Sophos تأکید می‌کند که کنترل‌های موجود همچنان مؤثرند:

• 🔄 به‌روزرسانی و وصله کردن دستگاه‌های متصل به اینترنت
• 🔐 استقرار احراز هویت چندعاملی (MFA) مقاوم در برابر فیشینگ
• 👁️ نظارت مستمر بر هشدارهای EDR
• ⚡ واکنش سریع به نشانه‌های نفوذ

دفاع موفق در برابر این تهدیدات نوین، بیش از هر چیز به سرعت واکنش تیم‌های امنیتی وابسته است. 🛡️

منبع: Help Net Security – Ransomware gang talked AI agents into doing much of its dirty work