كشف باحثون في شركة الأمن السيبراني "سينسيس" (Censys) عن رصد أكثر من 800 نسخة مستقلة من أداة ذكاء اصطناعي صينية تحمل اسم "أرتيكس" (Artex)، متاحة على الإنترنت دون كلمات مرور، ما يتيح لأي جهة الوصول إليها واستغلالها في شن هجمات إلكترونية.
أداة مفتوحة المصدر تتحول لتهديد
تعد "أرتيكس" منصة مفتوحة المصدر لاختبار الاختراق بصورة مستقلة، وتعتمد على وكلاء ذكاء اصطناعي قادرين على فحص الأنظمة والشبكات تلقائيًا، ورصد نقاط الضعف، وتنفيذ مراحل متعددة من الهجمات الإلكترونية مع تدخل بشري محدود. ظهرت الأداة علنًا لأول مرة في يوليو الماضي، وارتبط استخدامها منذ ذلك الحين بعدد من الهجمات السيبرانية.
ووصفت مايكروسوفت الأداة سابقًا بأنها منظومة من وكلاء الذكاء الاصطناعي القادرة على تنفيذ هجمات إلكترونية تبدأ بمرحلة الاستطلاع وجمع المعلومات، وصولًا إلى سرقة البيانات وإخراجها من الأنظمة المستهدفة.
مئات النسخ مكشوفة دون حماية
أوضح سيلاس كاتلر، الباحث الأمني الرئيسي في "سينسيس" ومعد التقرير، أن وجود هذه النسخ لا يعني بالضرورة تشغيلها جميعها لأغراض خبيثة، إذ يستخدم عدد منها في اختبارات أمنية مصرح بها. غير أنه أشار إلى أن أسباب إتاحة مئات النسخ عبر الإنترنت لا تزال غير واضحة، خصوصًا أن تشغيل الأداة لا يتطلب أصلًا أن تكون خوادمها متصلة بالإنترنت بصورة مفتوحة.
كشفت عمليات الفحص أيضًا عن إمكانية الوصول إلى مكونات هجومية، من بينها ما يعرف بـ "إمبلانتس" (Implants)، وهي برمجيات خبيثة مخفية تستخدم لاختراق شبكات الضحايا والحفاظ على وجود مستمر داخلها.
ارتباط بهجمات على القطاع المالي الكوري وشركة "كونكتوايز"
ربطت شركات أمن سيبراني استخدام "أرتيكس" بهجمات واسعة النطاق، من بينها استهداف القطاع المالي في كوريا الجنوبية خلال سبتمبر الماضي. نسبت شركة "كراود سترايك" (CrowdStrike) الهجمات إلى مخترق يتحدث الصينية، استخدم إحدى نسخ الأداة في تنفيذ عملياته.
في أكتوبر الماضي، ارتبط استخدام الأداة بهجوم استهدف شركة "كونكتوايز" (ConnectWise) المتخصصة في خدمات دعم تكنولوجيا المعلومات، وأتاح لمخترقين مرتبطين بالصين التجسس على آلاف المؤسسات التي تستضيف بياناتها عبر خدمات مايكروسوفت السحابية. وأكدت مايكروسوفت أن سرعة تنفيذ العمليات الهجومية شكلت تحديًا كبيرًا أمام المدافعين، بسبب قدرة الأداة على أتمتة مراحل متعددة من الهجوم.
ثغرات بسيطة وراء اختراقات معقدة
رغم التطور التقني للأداة، اعتمد عدد من الهجمات المرتبطة بها على استغلال ثغرات أمنية بسيطة نسبيًا، مثل تخمين كلمات المرور الضعيفة أو المعروفة مسبقًا، واستهداف أنظمة لا تستخدم المصادقة متعددة العوامل (MFA). تكشف هذه الهجمات أن امتلاك أدوات اختراق متقدمة لا يعني بالضرورة الاعتماد على ثغرات معقدة، إذ يمكن أن تكون أخطاء الإعداد الأمني وضعف إجراءات الحماية كافية لفتح الطريق أمام المهاجمين.
تحول إلى نموذج مغلق المصدر
في أعقاب هذه التطورات، أعلنت الجهة المطورة لأداة "أرتيكس" التوجه نحو تحويلها إلى برنامج مغلق المصدر، بما يحد من إتاحة الإصدارات الجديدة ويقصر الوصول إليها على العملاء الذين يدفعون مقابل استخدامها. ومع ذلك، لا تزال عشرات النسخ من الشيفرة المصدرية للأداة متاحة على منصات مشاركة الأكواد البرمجية، ما يعني استمرار إمكانية استخدامها في تنفيذ هجمات إلكترونية.
