اكتشف فريق أبحاث التهديدات في كاسبرسكي هجمات سيبرانية استهدفت مؤسسات تعليمية في أمريكا اللاتينية وإفريقيا، حيث وظّف المهاجمون الذكاء الاصطناعي لتوجيه الأنشطة داخل الشبكات المخترقة. وتتبع الباحثون مراحل الهجوم المختلفة مثل عمليات الاستطلاع، وسرقة بيانات الاعتماد، والتنقل بين الحواسيب، وجمع البيانات بما في ذلك أنشطة أفضت إلى اختراق حسابات إدارية ذات صلاحيات عالية.
استخدم المهاجمون CyberStrikeAI، وهو إطار عمل مفتوح المصدر لاختبار الاختراق يدمج بين نظام للتحكم والسيطرة ونموذج لغوي كبير. وفي هذه البيئة التقنية، يُعين المشغّل البشري الأهداف، فيما يتولى النموذج اختيار الأدوات، وإنشاء الأوامر، وتحليل نتائج تنفيذها.
وبعد ذلك، تعمل زرعة خبيثة مثبتة في الجهاز المخترق على تنفيذ تلك الأوامر، ثم إرسال النتائج إلى خادم المهاجمين. ورصدت حلول كاسبرسكي هذه الهجمات خلال الفترة الممتدة بين شهري سبتمبر وأكتوبر 2026.
وفي إحدى الحوادث التي أعاد الباحثون تتبع مسارها، بدأ المهاجمون نشاطهم يدوياً من خلال خادم SQL مخترق، حيث جمعوا المعلومات وجهزوا أدوات الاختراق، ثم توقفوا لأسبوعين قبل أن ينشروا برمجية الزرع الخبيثة لإطار عمل CyberStrikeAI.
وخلال ثلاثة إلى أربعة أيام، تطورت أنشطة المهاجمين من نشر تلك البرمجية إلى اختراق حسابات مسؤولي النطاق. وشملت المرحلة النهائية من الهجوم التنقل بين الحواسيب، وجمع بيانات الاعتماد، وتصدير قواعد البيانات، ولم تستغرق أكثر من ساعة واحدة فقط.
دارت عمليات الذكاء الاصطناعي على خادم المهاجمين بدلاً من الحواسيب المخترقة. حيث قامت برمجية الزرع الخبيثة بدور أداة تقليدية للتحكم عن بعد، وذلك دون إجرائها اتصالات مباشرة بخدمات الذكاء الاصطناعي.
واستطاع نظام الاكتشاف والاستجابة للنقاط الطرفية (Kaspersky Endpoint Detection and Response Expert) رصد سلوكيات الهجوم، ومنها استخراج بيانات الاعتماد وإنشاء مهام مجدولة خبيثة.
واستطاعت أدوات كاسبرسكي للاكتشاف عبر الشبكة رصد حركة البيانات الخاصة بنظام التحكم والسيطرة في CyberStrikeAI، فضلاً عن استعلامات مشبوهة استخدمت لتحديد نطاقات الضحايا. وأطلقت كاسبرسكي على برمجيات الزرع الخبيثة المسميات التالية: HEUR: HackTool.Win64.CyberStrike.gen، وHEUR:HackTool.Linux.CyberStrike.gen.
وقال نيكيتا نازاروف، رئيس قسم استكشاف التهديدات في كاسبرسكي: استخدم المهاجمون وكيل ذكاء اصطناعي قائم على إطار عمل CyberStrikeAI لشن سلسلة هجمات كاملة، وتعديل خطواتهم اللاحقة داخل الشبكات المخترقة. ومع ذلك، ظلّ هذا الإطار يعتمد على تقنيات وإجراءات اعتيادية، ومن ضمنها الاكتشاف والاستطلاع، واستخراج بيانات الاعتماد، والتنقل الجانبي، وجمع البيانات واستخراجها. ويؤثر الذكاء الاصطناعي على طريقة تنسيق المهاجمين لعمليات الاختراق ووتيرة تنفيذها، لكن الأدوات الأمنية ذات التهيئة الجيدة، مثل Kaspersky EDR، تظل قادرة على اكتشاف التقنيات التي يستخدمونها وإيقافها.
وجد الباحثون تعليقات باللغة الصينية في النصوص البرمجية، غير أنّ هذه الأدلة لا تقطع بهوية المهاجمين أو موقعهم. ولم تستطع كاسبرسكي ربط هذا النشاط بمجموعة تهديد معروفة، أو تأكيد أنّ المشغل نفسه يتحكم بجميع البنى التحتية المحددة.
وللمساعدة في التصدي لهذه الهجمات، توصي كاسبرسكي المؤسسات بالخطوات التالية:
* راقب سلوك النقاط الطرفية. استخدم حلول الاكتشاف والاستجابة للنقاط الطرفية، مثل منتج Kaspersky Next EDR Expert، للتحقيق في الأوامر المشبوهة، وآليات الوصول إلى بيانات الاعتماد، وآليات استمرارها، والاستجابة للأجهزة المضيفة المخترقة.
* راقب الأنشطة عبر الشبكة. احرص على تعزيز حماية النقاط الطرفية بإمكانيات الاكتشاف والاستجابة للشبكة، مثل منتج Kaspersky Anti Targeted Attack، لرصد حركة المرور المشبوهة والتحقيق في الأنشطة الممتدة عبر أنظمة متعددة.
* استعن باستخبارات التهديدات لتوجيه التحقيقات. زوّد المحللين بإمكانية الوصول إلى مؤشرات الاختراق الحالية ومعارف الاكتشاف. وتدعم بوابة Kaspersky Threat Intelligence Portal عمليات التحقيق في الملفات والبنية التحتية المشبوهة، فيما يوفر مركز Hunt Hub معلومات مرتبطة بالبحث عن التهديدات واكتشافها.
* حافظ على استمرارية المراقبة خارج ساعات العمل. إذا تعذر على الفرق الداخلية ضمان تغطية مستمرة، فيمكنك التفكير بحل مساعد مثل Kaspersky Managed Detection and Response، الذي يدعم عمليات المراقبة، والتحقيق، والاستجابة على مدار الساعة.
