هجمات سيبرانية مدعومة بالذكاء الاصطناعي تستهدف اليابان بأتمتة وتقنيات متقدمة

كشف باحثون في الأمن السيبراني تفاصيل ثلاث هجمات سيبرانية استهدفت مؤسسات في اليابان، وأبرزوا الدور الكبير للذكاء الاصطناعي (AI) في هذه العمليات، سواء بشكل مستقل أو كدعم للمشغلين البشر.

حللت TrendAI ثلاثة بيئات خوادم مكشوفة استخدمها فاعلو التهديد لهذه العمليات السيبرانية الخبيثة، ولاحظت أن هذه الهجمات اختلفت عن الحوادث السابقة التي استخدمت ARTEX، وهو إطار اختبار اختراق بالذكاء الاصطناعي المستقل، لتحديد الأهداف في كوريا الجنوبية واليابان.

ووفقاً لباحثي الأمن باكوي ماتسوكاوا وجوزيف سي تشين: «احتوت هذه البيئات على أدوات استطلاع وهجوم، ونصوص برمجية، وقوائم أهداف، ونتائج، وسجلات، وسجلات أوامر. وتراوحت بين مساحات عمل يستخدمها مشغلون مهرة يدوياً في الغالب، ومنصات وكلاء ذكاء اصطناعي أتمتت سير العمل بالكامل، بما في ذلك القيادة والتحكم».

تضمنت الهجوم الأول استغلال CyberStrikeAI، وهي أداة اختبار اختراق مفتوحة المصدر استُخدمت سابقاً في هجمات ضد أجهزة Fortinet FortiGate. وتركز هذا النشاط في أكتوبر 2026.

استخدمت العملية المدعومة بالذكاء الاصطناعي أداة CyberStrikeAI لأتمتة جوانب متعددة من دورة حياة الهجوم، بما في ذلك الاستطلاع، واكتشاف الثغرات، والاستغلال، والقيادة والتحكم (C2)، والاستمرارية، وتسريب البيانات، وإعداد التقارير الآلي.

وشملت هذه العملية توزيع المهام بين 44 وكيلاً لإدارة جوانب مختلفة من الهجوم، بما في ذلك إنشاء نماذج وصفحات تسجيل دخول مزيفة باللغة اليابانية.

وأفاد قسم أمن المؤسسات في Trend Micro بأن ما لا يقل عن 19 مؤسسة يمكن تحديدها، منها 16 في اليابان، تعرضت لنشاط تحقق، وتلقت كل مؤسسة تقريراً بتنسيق موحد، ما يشير إلى عملية منظمة بدلاً من ملاحظات عشوائية من مشغل.

واتسمت الحالة الثانية بأنها هجوم بقيادة بشرية، بدعم من نموذج لغوي كبير (LLM) لتسريع التخطيط وتطوير الأدوات. واستهدفت الحملة منصات سير عمل الذكاء الاصطناعي وخدمات الاستدلال للحصول على كميات كبيرة من قدرة الاستدلال بتكلفة منخفضة.

واستهدف أحد الاختراقات خادم نظام معلومات جغرافي (GIS) كان مكشوفاً ببيانات اعتماد افتراضية، ما أدى إلى سرقة سجلات عقارية وتجارية، وبيانات اعتماد Windows، وبيانات البريد الإلكتروني. واستمرت هذه الحملة 24 يوماً في أغسطس وسبتمبر 2026.

وأظهرت الحالة الثالثة أن دور الذكاء الاصطناعي اقتصر على تطوير أدوات ونصوص برمجية للمشغل، ما يشير إلى نهج أكثر تقليدية لاستهداف أجهزة الحافة من Cisco وCitrix وF5 وYamaha باستخدام ثغرات معروفة وبيانات اعتماد في ملفات التكوين.

وبحسب تقارير، نفذ فاعل التهديد ست حملات على الأقل من يناير إلى أكتوبر 2026، استهدفت أجهزة VPN مكشوفة وخوادم WebLogic. ولاحظ الباحثون أن المشغل كان متمرساً، ولديه ممارسات راسخة للأتمتة وإدارة الأدلة.

ولا يوجد حالياً دليل يشير إلى أن هذه الحوادث الثلاث تشترك في مشغل واحد. ولا يزال من غير الواضح ما إذا كانت الهجمات قد أثرت على مناطق أخرى أو أي نماذج ذكاء اصطناعي استُخدمت في هذه العمليات.

ورغم هذا الغموض، لا تقتصر الهجمات على اليابان وكوريا الجنوبية. فقد استهدف المشغل الذي يقف وراء الحالة الأولى مؤسسات في تايوان وهونغ كونغ أيضاً، بينما شملت الحالة الثالثة مؤسسات في المملكة المتحدة وفرنسا وإيطاليا وقطر وكولومبيا.

وقالت TrendAI: «زاد الذكاء الاصطناعي من القوى العاملة لدى المهاجمين، لكن العمل لا يزال يتمثل في البحث عن أبواب غير مقفلة. ولم تتغير أنواع الأبواب ونقاط الضعف التي تتركها مفتوحة. ما تغير هو القدرة على تجربة آلاف الأبواب دفعة واحدة، والتكيف مع لغة البلد المستهدف، والاستمرار دون تعب».

يتزامن هذا التطور مع ظهور حملات متعددة دمج فيها فاعلو التهديد الذكاء الاصطناعي الوكيلي في سير عمل الأمن الهجومي القائم، ما عزز قدراتهم في البحث وتطوير البرمجيات الخبيثة والهندسة الاجتماعية.

ويُستخدم الذكاء الاصطناعي بشكل متزايد لتسريع الاستطلاع، وأتمتة اتخاذ القرار، وتصنيع الهندسة الاجتماعية، ما يقلل بشكل كبير الوقت من اكتشاف الثغرة إلى استغلالها. وأشار تقرير الدفاع الرقمي لعام 2026 من Microsoft إلى أن الذكاء الاصطناعي خفض متوسط الوقت من اكتشاف الثغرة إلى تسليحها إلى أقل من 24 ساعة.

ويقلل تبني الفاعلين الخبيثين للذكاء الاصطناعي من الوقت والخبرة والتكلفة اللازمة لتحديد الثغرات واستغلالها، ما يسمح للمهاجمين والمدافعين على حد سواء بالعمل بسرعة ونطاق أكبر.

وشددت Trend Micro على أن القضية الرئيسية ليست مجرد امتلاك الفاعل ذكاءً اصطناعياً متقدماً، بل مدى فعالية استدامة هذه القدرات واستخدامها. وقالت: «لم يعد الذكاء الاصطناعي قدرة تجريبية لدى مجموعات APT؛ بل أصبح مكوناً تشغيلياً مدمجاً مباشرة في الحملات».

كما أدى تزايد الطلب على أدوات الذكاء الاصطناعي بين فاعلي التهديد إلى فرص تحقيق دخل جديدة، بما في ذلك بيع رموز جلسات مسروقة لمزودي الذكاء الاصطناعي وأدوات هجومية بالذكاء الاصطناعي، ما يزيد من تسليع الجريمة السيبرانية.

وأفادت Microsoft مؤخراً بأن فاعل تهديد مرتبطاً بدولة الصين اخترق تطبيق نسخ احتياطي سحابي من ConnectWise، مستخدماً ARTEX للوصول إلى أكثر من 2250 مستأجراً في Microsoft 365. وتوضح هذه النشاط، المنسوب إلى Storm-0940، كيف يمكن لفاعل تهديد الاستفادة من أدوات الذكاء الاصطناعي لمحاولة اختراق العديد من المؤسسات بسرعة.

وتشير تقارير إعلامية محلية من كوريا الجنوبية إلى أن السلطات حددت سبعة مشتبه بهم مرتبطين بعملية جريمة سيبرانية اخترقت أكثر من 90 مؤسسة، وتورطت بشكل أساسي في ARTEX. والعقل المدبر المزعوم، وهو شخص يبلغ 32 عاماً، عمل سابقاً في شركة أمن سيبراني، واكتسب خبرة في اختبار الاختراق.

وفي 38 حادثة، طالب فاعلو التهديد بفدية قدرها 360 مليون وون كوري (270 ألف دولار) لتجنب تسريب البيانات المسروقة، ويُعتقد أن أكثر من 8.2 مليون سجل قد تعرض للاختراق.

وتشمل الحملات الموجهة بالذكاء الاصطناعي الموثقة في الأسابيع الأخيرة هجمات متنوعة تستخدم تقنيات وأدوات متقدمة، ما يظهر تطور مشهد التهديدات السيبرانية.

 

المصدر: The Hacker News