გამომძალველმა ჰაკერებმა ხელოვნურ ინტელექტში 7 000 დოლარზე მეტი დახარჯეს და სერვერი დაუცველი დატოვეს

კრიმინალებმა გამოიყენეს ღია კოდის ხელოვნური ინტელექტის პროგრამირების აგენტი OpenCode, რომელიც შვიდი მომწოდებლის 154 მოდელზე იყო გამართული. მოდელებს შორის იყო Gemini, Mistral, Nemotron, Llama, Claude, GPT-5.x, Grok, Kimi, GLM, DeepSeek, MiniMax და Qwen, აგრეთვე მრავალი სხვა. ზოგიერთ მოდელს უსაფრთხოების სწავლება მოხსნილი ჰქონდა, ზოგი კი „ცენზურისგან თავისუფალ“ მოდელად იყიდებოდა.

სეკერის თქმით, თავდამსხმელმა ხელოვნური ინტელექტით ასობით სკრიპტი დაწერა და გამართა. ამან აჩვენა, როგორ შეუძლია ხელოვნურ ინტელექტს თავდამსხმელს საბაზისო წვდომის უფრო ფართო, კონკრეტულ სამიზნეზე მორგებულ ოპერაციად ქცევაში დაეხმაროს.

სეკერმა დასძინა, რომ განსაკუთრებით მნიშვნელოვანია დამანგრეველი ქმედებები. თავდამსხმელი მხოლოდ ფაილების მოპარვითა და დაშიფვრით არ შემოიფარგლა: ზოგჯერ მონაცემებსა და სარეზერვო ასლებს შლიდა, ერთ შემთხვევაში კი ტრაფიკის დასაბლოკად ფაიერვოლის წესები შეცვალა. მისი თქმით, ასეთ ვითარებაში მხოლოდ გაშიფვრის გასაღები მონაცემების აღდგენას ვერ უზრუნველყოფს.

SOCRadar-ის მკვლევრებმა ჰაკერების სამუშაო სივრცე გასულ თვეში აღმოაჩინეს. ეს იყო შვედეთში განთავსებული, საჯაროდ ხელმისაწვდომი Python-ის HTTP ფაილური სერვერი, მისამართზე 185.157.161[.]148, პორტზე 8877. მკვლევრებმა ღია დირექტორიის სურათები 25 და 26 სექტემბერს გადაიღეს.

სეკერის თქმით, ამ სურათებში 1 719 ფაილი იპოვეს, მათ შორის თავდასხმის სკრიპტები, გამომძალველი პროგრამის საწყისი კოდი, გამოძალვის ინფრასტრუქტურა და ხელოვნური ინტელექტის პროგრამირების აგენტის გარემო. ამ მასალებმა მკვლევრებს საშუალება მისცა, გაეგოთ, როგორ ამზადებდა თავდამსხმელი ოპერაციებს და როგორ ამუშავებდა მოპარულ მონაცემებს.

მასალებმა ასევე გამოაჩინა n0n, მონაცემების მოპარვისა და გამოძალვის სფეროში ახალი ჯგუფი, რომელსაც გასულ თვეში გამოჩენის შემდეგ 108 მსხვერპლი ჰყავს გამოცხადებული.

12 ოქტომბერს ჯგუფმა გაჟონვის ვებსაიტზე ერთდროულად 18 ქვეყანაში მოქმედი 38 საზღვაო, საპორტო და ლოგისტიკური ორგანიზაცია დაამატა. მკვლევრებმა მათგან სულ მცირე 21 სამხრეთკორეული საზღვაო პროგრამული უზრუნველყოფის მომწოდებლის, CyberLogitec-ის, კლიენტებს დაუკავშირეს. თუმცა კომპანიას სისტემაში შეღწევა არ დაუდასტურებია.

ჰაკერებმა საზღვაო კომპანიებს 19 ოქტომბრამდე გადახდის ვადა მისცეს. გამოსასყიდის მოთხოვნები 400 000-დან 28 მილიონ დოლარამდე მერყეობდა და ბიტკოინით გადახდას ითვალისწინებდა. ვადის გასვლის შემდეგ 38 ჩანაწერიდან არც ერთი არ იყო მონიშნული, როგორც „მოგვარებული“, და არც ერთ მისამართზე გადახდის ოპერაცია არ დაფიქსირებულა. ყველა დაზარალებული ორგანიზაციის მოპარული მონაცემები გამოქვეყნდა.

ჯგუფის რამდენიმე სავარაუდო მსხვერპლი n0n-ის გაჟონვის ვებსაიტზე მონიშნულია წარწერით „პატიოსანი, მონაცემები განადგურებულია“, რაც მიანიშნებს, რომ ორგანიზაციებმა გამოსასყიდი გადაიხადეს. თუმცა SOCRadar-ს ბლოკჩეინზე არც ერთი ასეთი გადახდა არ დაუდასტურებია. კიბერუსაფრთხოების კომპანია ჯგუფს „აგრესიულობის“ მიხედვით 10-დან 10 ქულას, ხოლო „მომაკვდინებლობის“ მიხედვით 10-დან ნულ ქულას ანიჭებს.

ვარაუდობენ, რომ ჯგუფი რუსეთში მოქმედებს. თუმცა SOCRadar-ის მიერ აღმოჩენილი სერვერი, რომელიც მკვლევრებმა ერთ ოპერატორს ან მცირე ჯგუფს მიაკუთვნეს, თავდასხმების გეოგრაფიულ ან ეროვნულ კუთვნილებაზე დამაჯერებელ მტკიცებულებას არ იძლეოდა.

სერვერზე დოკუმენტირებული ყველა შემთხვევა ერთსა და იმავე სქემას მიჰყვებოდა. თავდამსხმელები თავდაპირველი წვდომის შემდეგ სისტემაში დამკვიდრებასა და ანგარიშის მონაცემების შეგროვებას იწყებდნენ. ამისთვის ისინი მომსახურებად შენიღბულ ფარულ ადმინისტრატორის ანგარიშებს, ფარულ პროქსიებს, მოპარულ ანგარიშის მონაცემებსა და სესიის ნიშნებს, საფოსტო ყუთებს და ელექტრონული ფოსტით მიღებულ მრავალფაქტორიანი ავთენტიფიკაციის კოდებს იყენებდნენ.

შემდეგ კრიმინალები მგრძნობიარე მონაცემებს აგროვებდნენ და თავდამსხმელის ცენტრალურ საცავში აგზავნიდნენ. ზემოქმედების ხასიათი ორგანიზაციის მიხედვით იცვლებოდა: მონაცემების მოპარვა, დაშიფვრა, განადგურება ან ქსელის შეფერხება.

ნიდერლანდებში მოქმედ ფინანსური მომსახურების კომპანია Transcom-ში შეღწევის შემდეგ, ჰაკერებმა გამოსასყიდის დამატებითი შეტყობინება PayPal-ის უსაფრთხოების გუნდს პირდაპირ გაუგზავნეს, მიუხედავად იმისა, რომ გატეხილი მონაცემები მხოლოდ Transcom-ის ქსელში ინახებოდა.

დაბოლოს, ჰაკერები გამოსასყიდის მოთხოვნებს აგზავნიან, გაჟონვის ვებსაიტზე ათვლის საათს ათავსებენ და მსხვერპლთათვის მოლაპარაკებების ოთახებსა და ელექტრონული ფოსტის მისამართებს ქმნიან. თუ ორგანიზაციები არ იხდიან, ისინი მოპარულ ფაილებს აქვეყნებენ ან სარეზერვო ასლებს ანადგურებენ. ზოგჯერ n0n დაზარალებულ კომპანიებზე ზეწოლის გასაძლიერებლად ავტომატურ გაფრთხილებებს უგზავნის მათი მომსახურების მომწოდებლებს, კლიენტებსა და მედიასაშუალებებს.

აგრესიული ტაქტიკის მიუხედავად, ამ შემთხვევის თავდამსხმელს, ისევე როგორც სხვა უყურადღებო კრიმინალებს, რომლებზეც The Register წარსულშიც წერდა, უსაფრთხოების ელემენტარული წესების დაცვა უჭირს.

სეკერის თქმით, თვალშისაცემია განსხვავება ოპერაციულ ამბიციასა და უსაფრთხოების დისციპლინას შორის. თავდამსხმელმა ხელოვნური ინტელექტის მომსახურებებში ათასობით დოლარი დახარჯა, მაშინ როცა საკუთარი სამუშაო სივრცე დაუცველი დატოვა. ფაილების ჩამკეტში მყარად ჩაწერილი დაშიფვრის გასაღებებიც იყო, ხოლო მტკიცებულებები მიუთითებდა, რომ ისინი სხვადასხვა მსხვერპლთან ხელახლა გამოიყენეს. სეკერის თქმით, ოპერაციას შეიძლება დიდი დამანგრეველი შესაძლებლობები ჰქონდეს, მაგრამ მაინც დაუშვას ფუნდამენტური შეცდომები.

თემებიენსარ სეკერიChiBiTekFanaticsn0nSOCRadarThe RegisterGeminiMistralNemotronOpenCode

გამოქვეყნდა 31 ოქტომბერი, 2026