По данным аналитиков SOCRadar, за новой кибератакой на Украину стоит русскоязычный брокер начального доступа под псевдонимом CyberXero, действующий с июля 2023 года.
Злоумышленники организовали две параллельные кампании: автоматизированную глобальную атаку на сайты, работающие на WordPress и электронных торговых платформах, а также целенаправленную ручную операцию против украинских энергетических и коммунальных предприятий. Среди целей — поставщик тепла в Харькове.
В результате автоматизированного сканирования хакеры украли более 628 тысяч записей с персональными данными украинцев. Нарушения безопасности также зафиксированы в Польше, Нидерландах и Китае, сообщают аналитики SOCRadar.
Как хакеры используют искусственный интеллект
Особенностью этой атаки стало применение нейросети Claude Code вместе с кластером из 51 специализированного ИИ-агента. Дополнительно злоумышленники привлекли автономную систему PentAGI для автоматического создания вредоносного кода.
Чтобы обойти защитные ограничения искусственного интеллекта, хакеры используют специальные формулировки контекста, убеждая нейросеть, что она проводит «авторизованное тестирование собственной системы на проникновение». Если ИИ-модель отказывается выполнять задачу, злоумышленники открывают новую сессию с теми же инструкциями и повторяют запрос, пока не получают нужный результат.
«Если ИИ-модель отказывается выполнять задачу, хакеры просто открывают новую сессию с теми же инструкциями и повторяют запрос, пока не получают нужный результат», — говорится в отчёте SOCRadar.
Специалисты по кибербезопасности рекомендуют всем организациям, использующим WordPress, Magento или PrestaShop, срочно проверить списки администраторов, наличие сторонних вебшеллов и подозрительных учётных записей в своих системах.