За даними аналітиків SOCRadar, за новою кібератакою на Україну стоїть російськомовний брокер початкового доступу під псевдонімом CyberXero, який діє з липня 2023 року.
Зловмисники організували дві паралельні кампанії: автоматизовану глобальну атаку на сайти, що працюють на WordPress та електронних торгових платформах, а також цілеспрямовану ручну операцію проти українських енергетичних і комунальних підприємств. Серед цілей — постачальник тепла у Харкові.
У результаті автоматизованого сканування хакери викрали понад 628 тисяч записів із персональними даними українців. Порушення безпеки також зафіксовано у Польщі, Нідерландах та Китаї, повідомляють аналітики SOCRadar.
Як хакери використовують штучний інтелект
Особливістю цієї атаки стало застосування нейромережі Claude Code разом із кластером із 51 спеціалізованого ІІ-агента. Додатково зловмисники залучили автономну систему PentAGI для автоматичного створення шкідливого коду.
Щоб обійти захисні обмеження штучного інтелекту, хакери використовують спеціальні формулювання контексту, переконуючи нейромережу, що вона проводить «авторизоване тестування власної системи на проникнення». Якщо ІІ-модель відмовляється виконувати завдання, зловмисники відкривають нову сесію з тими ж інструкціями і повторюють запит, доки не отримають потрібний результат.
«Якщо ІІ-модель відмовляється виконувати завдання, хакери просто відкривають нову сесію з тими ж інструкціями і повторюють запит, поки не отримають потрібний результат», — йдеться у звіті SOCRadar.
Фахівці з кібербезпеки рекомендують усім організаціям, що використовують WordPress, Magento або PrestaShop, терміново перевірити списки адміністраторів, наявність сторонніх вебшелів і підозрілих облікових записів у своїх системах.