FBI تحذر من إطار العمل ARTEX المدعوم بالذكاء الاصطناعي المستخدم في هجمات سيبرانية عالمية

أصدر FBI تحذيراً من أن قراصنة يستخدمون إطار عمل اختبار الاختراق المدعوم بالذكاء الاصطناعي يُعرف باسم ARTEX لأتمتة هجمات سيبرانية ضد مؤسسات حول العالم، بما في ذلك اختراق حديث لسلسلة توريد ConnectWise طال بيئات عملاء Microsoft 365.

وقالت الوكالة في نشرة تحذيرية عاجلة صدرت في 15 نوفمبر إن عدة جهات تهديد سلحت إطار العمل مفتوح المصدر منذ أغسطس 2026 على الأقل، مستهدفة قطاعات مثل المال والحكومة والتقنية والدفاع والرعاية الصحية.

وبحسب نشرة FBI: «يقلل ARTEX بشكل كبير الوقت اللازم لتسلسل تقنيات الهجوم، إذ تنتقل بعض الاختراقات من الاستهداف الأولي إلى الوصول المميز في أقل من ثلاث ساعات». ويتيح إطار العمل لجهات التهديد ذات المهارات التقنية المحدودة تنفيذ عمليات معقدة متعددة الأهداف في وقت واحد، ما يسرّع وتيرة الهجوم ويوسّع نطاق العمليات.

وARTEX إطار عمل مستقل لاختبار الاختراق طُوّر بلغة Go، ويستخدم وكلاء ذكاء اصطناعي لإجراء الاستطلاع وتحديد الثغرات واستغلال الأنظمة ورفع الصلاحيات وتسريب البيانات بأقل تدخل بشري.

ولا يعتمد ARTEX على نموذج ذكاء اصطناعي خاص به، بل يتكامل مع نماذج لغوية كبيرة (LLMs) خارجية، منها Anthropic Claude وOpenAI GPT وDeepSeek وGLM وGrok وKimi. ويمكن للمهاجمين إدخال أهدافهم في ARTEX الذي يحولها إلى أوامر ينفذها وكلاء ذكاء اصطناعي متخصصون، ما يتيح أتمتة أنشطة الاختراق عبر مؤسسات متعددة.

وأشار FBI إلى أن إطار العمل بارع بشكل خاص في كشف الثغرات في الأنظمة التي يجري إغفالها، مثل بوابات الشركاء وتطبيقات الموظفين والخدمات القديمة والتكاملات مع أطراف ثالثة. ورغم أن هذه الهجمات الآلية قد تولّد كميات كبيرة من حركة المرور المشبوهة التي تطلق تنبيهات أمنية، فإن تنفيذها السريع غالباً ما يترك للمدافعين وقتاً غير كافٍ للرد قبل وقوع الاختراق.

وكان ARTEX قد صدر أصلاً على GitHub في يوليو 2026 من مطوّر يُعرف باسم Autumn-27، ثم أُزيل مستودعه في 8 أكتوبر بعد تقارير عن إساءة استخدامه من جهات تهديد. لكن FBI يلاحظ أن إطار العمل لا يزال متاحاً عبر نسخ مجتمعية متفرعة ونسخ مؤرشفة وإصدارات محلية وإصدار تجاري يُسمى ARTEX PRO.

ومع مطلع نوفمبر، حدد باحثون أكثر من 1600 وحدة تحكم ARTEX مكشوفة علناً، ويُعتقد أن العدد الفعلي للعمليات المنشورة أعلى بكثير. وتتضمن نشرة FBI المكونة من 13 صفحة مؤشرات اختراق مرتبطة بحملات ARTEX معروفة، مثل عناوين IP وبنية القيادة والتحكم ونشاط شبكي مشبوه.

وفي جهد منفصل، أصدر باحث الأمن السيبراني MalwareMustDie حزمة توقيعات مفتوحة المصدر لكشف ARTEX لمساعدة المدافعين في تحديد الهجمات التي تستخدم إطار العمل. وتضم حزمة الكشف قواعد ومؤشرات لأدوات مراقبة أمنية وكشف تهديدات متعددة، وتعالج الطلبات الشبكية المشبوهة وإساءة استخدام الهوية والنشاط السحابي والملفات الخبيثة وأنماط الهجوم الآلي.

ويُنصح المؤسسات بتأمين التطبيقات المتصلة بالإنترنت وتقييد الوصول إلى واجهات إدارة السحابة ومراجعة أذونات التطبيقات وسجلات المصادقة وتطبيق حدود معدل الطلبات على واجهات API الحساسة. ويوصي FBI أيضاً بمراقبة أي دفعات غير معتادة من الطلبات الآلية والنشاط السحابي المشبوه والتغيرات غير المتوقعة في بيانات الاعتماد أو الصلاحيات وعمليات نقل البيانات الكبيرة.

وتُشجَّع المؤسسات التي تكتشف نشاطاً مشبوهاً مرتبطاً بـ ARTEX على إبلاغ FBI أو مركز شكاوى الجرائم الإلكترونية (IC3) بنتائجها.

وتورد النشرة عدة هجمات سيبرانية سبق الإبلاغ عنها استُخدم فيها ARTEX، منها هجوم سلسلة التوريد على ConnectWise Cloud Backup في أكتوبر الذي أتاح وصولاً غير مصرح به إلى بيئات عملاء Microsoft 365. وقد طال هذا الهجوم هويات تطبيقات تستخدمها خدمة النسخ الاحتياطي السحابي لدى ConnectWise، ما مكّن المهاجمين من المصادقة على مستأجري العملاء باستخدام أذونات ممنوحة سابقاً.

وأبلغت شركة الأمن السيبراني Huntress عن اختراق 162 مستأجراً على الأقل نتيجة هذا الهجوم. وعزت Microsoft الحملة إلى جهة تهديد مرتبطة بدولة الصين تُعرف باسم Storm-0940، استخدمت ARTEX لتعزيز الاستطلاع ورشّ كلمات المرور وإساءة استخدام أذونات التطبيقات السحابية.

وبعد اختراق هويات تطبيقات ConnectWise، استخدم المهاجمون ARTEX لمحاولة المصادقة على أكثر من 2250 مستأجراً تابعاً لـ Microsoft 365، وأدت بعض الاختراقات إلى تعديل بيانات الاعتماد ومحاولات إنشاء وصول مستمر.

وأشار FBI أيضاً إلى هجمات على مؤسسات مالية كورية جنوبية كشفت معلومات شخصية تعود إلى نحو 67000 فرد. وفي هذه الحملة، جمعت جهة تهديد ناطقة بالصينية بين ARTEX ووكلاء Claude Code لاستهداف عدة بنوك، منها Shinhan Bank وKB Kookmin Bank وHana Bank.

واكتشف باحثون في CrowdStrike البنية التحتية المكشوفة للمهاجم، والتي احتوت ملفات إعداد ARTEX وسجلات جلسات Claude Code وسجلات أخرى توثق الاختراقات. وفي تحقيق منفصل، أوقفت الشرطة الكورية الجنوبية سبعة مشتبهين مرتبطين بهجمات على أكثر من 90 مؤسسة، ويُقال إن ARTEX استُخدم في معظم الاختراقات.

وأشارت السلطات إلى أن العصابة سرقت نحو 8.2 مليون سجل بيانات من مؤسسات متنوعة، منها مستشفيات ومؤسسات تعليمية وشركات. وأبلغت CrowdStrike مؤخراً عن أن مجموعة تجسس سيبراني صينية تُتابع باسم Vapor Panda استخدمت ARTEX في هجمات آلية استهدفت أكثر من 200 مؤسسة في 14 دولة.

وقد طالت هذه الحملة تسع مؤسسات على الأقل، حيث أجرى وكلاء الذكاء الاصطناعي استطلاعاً واستغلوا ثغرات ونشروا web shells وسرقوا بيانات اعتماد وسلكوا مسارات هجوم مختلفة عندما فشلت المحاولات الأولية.

المصدر: BleepingComputer