Kibernetinėje atakoje prieš Pietų Korėjos finansų įstaigas naudoti DI agentai – ką nustatė „CrowdStrike“

Sekite TechNaujienos Google

Kibernetinio saugumo bendrovė „CrowdStrike“ išanalizavo atakas prieš Pietų Korėjos finansų sektorių ir rado aiškių įrodymų, kad užpuolikas kartu su tradiciniais įsilaužimo įrankiais naudojo agentinį dirbtinį intelektą. Tyrėjai aptiko „ARTEX“ konfigūracijas, „Claude Code“ sesijų istoriją ir kitus failus, atskleidžiančius, kaip buvo organizuojamos atakos.

Kampanija buvo aktyvi nuo rugsėjo pabaigos iki spalio pradžios. „CrowdStrike“ teigia, kad buvo taikomasi į kelias Pietų Korėjos finansų organizacijas, o iš dalies jų buvo išnešti duomenys. Užpuoliko tapatybė nepatvirtinta, tačiau tyrėjai vidutiniu pasitikėjimu vertina, kad jis greičiausiai kalba kiniškai ir buvo finansiškai motyvuotas.

Visa techninė analizė paskelbta „CrowdStrike“ tyrime.

Kaip DI buvo įtrauktas į ataką

Pagrindinis įrankis buvo „ARTEX“ – Kinijoje sukurtas atvirojo kodo agentinis įsiskverbimo testavimo įrankis. Tokios priemonės savaime nėra kenkėjiškos: jos gali būti naudojamos saugumo specialistų, ieškančių pažeidžiamumų savo sistemose. Problema atsiranda tada, kai tas pats automatizavimas naudojamas realiai atakai.

Naujausi straipsniai

2 min. skaitymo • prieš 1 val

„Google“ išleido lengvą DI modelį telefonams – tekstą, vaizdus, garsą ir vaizdo įrašus apdoroja lokaliai

3 min. skaitymo • prieš 1 val

„Microsoft“ pristatė „Surface Laptop Ultra“ su „Nvidia RTX Spark“ – dideli DI modeliai veiks tiesiai kompiuteryje

3 min. skaitymo • prieš 1 val

Ukraina dronais gabena maistą į okupuotus Oleškus – žmonės liko beveik atkirsti nuo pagalbos

Visi naujausi straipsniai →

„CrowdStrike“ rado infrastruktūrą, kurioje „ARTEX“ buvo sujungtas su dideliais kalbos modeliais. Tyrėjų duomenimis, pagrindinis modelio backend’as buvo „DeepSeek v4.1-flash“, o papildomose „Claude Code“ sesijose naudoti ir kiti modeliai.

Sesijų istorijoje taip pat matyti, kad užpuolikas klausė, kur parduodami nutekinti Korėjos duomenys, ir ieškojo „Telegram“ grupių, susijusių su tokių duomenų prekyba. Vienoje sesijoje jis net paprašė sukurti saugumo tyrėjo CV, kuriame būtų panaudoti atakų rezultatai.

TechNaujienos.lt jau rašė, kodėl nutekinti duomenys gali būti panaudoti tolesnėms atakoms prieš žmones. Naujas atvejis rodo, kad prie tradicinių rizikų dabar prisideda ir greitesnis automatizavimas.

Ką DI agentai pakeičia kibernetinėse atakose

Svarbiausias pokytis nėra tai, kad DI staiga išmoko „nulaužti banką“ vienu mygtuku. „CrowdStrike“ analizė rodo kitą tendenciją: užpuolikas gali automatizuoti daug smulkių veiksmų, kuriems anksčiau reikėjo daugiau rankinio darbo.

Agentas gali padėti rinkti informaciją, tikrinti pažeidžiamumus, generuoti komandas, tvarkyti rezultatus ar planuoti kitą žingsnį. Kiekvienas atskiras veiksmas gali būti gerai žinomas kibernetinio saugumo specialistams, tačiau jų sujungimas į greitą automatinę grandinę leidžia vienam žmogui veikti didesniu tempu.

Tai svarbu ir įmonėms. Gynybos sistemos turi reaguoti ne tik į sudėtingesnes atakas, bet ir į didesnį jų kiekį. Jei DI sumažina užpuolikui reikalingą laiką, pažeidžiamumo langas po naujos klaidos atradimo gali trumpėti.

„CrowdStrike“ pabrėžia, kad ši kampanija kol kas nepriskirta jokiai žinomai grupei. Todėl iš turimų duomenų negalima daryti išvados, kad ataką vykdė Kinijos valstybė ar konkreti organizacija. Patikimiausia išvada yra siauresnė: realioje finansinio sektoriaus atakoje jau naudojamas agentinis DI kartu su įprastais puolimo metodais.