BlackHatSect0r използва базиран на DeepSeek AI агент за автоматизиране на атаки и извличане на 16 834 идентификационни данни

BlackHatSect0r && DXQRTXX е свързана с автоматизирана киберпрестъпна операция, която използва AI агент, свързан с модел на DeepSeek, за сканиране за публично достъпни тайни, тестване на откраднат достъп и предаване на резултатите към персонализирана платформа за управление.

Дейността показва как чести пропуски в сигурността могат да бъдат злоупотребени със скоростта на машина. Открит сървър на операцията съдържа 4,9 GB материали в 9 299 файла, включително платформата DXSCAN, фишинг инструменти, материали за изнудване и трезор с 16 834 идентификационни данни.

Групата е добавила в опашката 2 759 860โดмейна, достигнала е 726 989 хоста и е генерирала 1 374 300 IP адреса по време на своята кампания.

Изследователи от SOCRadar идентифицираха инфраструктурата и откриха доказателства, че френскоговорящият екип е премахнал защитите от своя агент, преди да го използва в множество кампании.

SOCRadar заявява в доклад, споделен с Cyber Security News (CSN), че операцията разчита на незащитени облачни хранилища, четими конфигурационни файлове и слаби тайни, вместо на нови уязвимости.

Въздействието надхвърля кражбата на идентификационни данни. Материалът свързва групата с предполагаема кражба на данни от публичния сектор, твърдения за изнудване, изтичане на данни от борса за криптовалута и обаждания с фалшива самоличност от името на банки, насочени към възрастни хора.

Случаят повишава спешността около автоматизацията на атаки чрез AI агенти, тъй като автоматизацията може да направи рутинните грешни конфигурации значително по-щети.

BlackHatSect0r използва базиран на DeepSeek AI агент

Групата е използвала агент Nous Research Hermes срещу модел на DeepSeek, управляван чрез 14 KB файл за самоличност, наречен SOUL.md.

Операторът е премахнал паметта за отказ на агента, деактивирал е настройките за безопасност и е настроил седем фонови работни процеса, които да продължат сканирането, събирането и докладването без постоянна човешка намеса.

DXSCAN генерира приблизително 1 200 случайни адреса на всеки десет секунди, проверява портове 80, 443 и 8080, идентифицира уеб софтуер и търси повече от 200 шаблона за идентификационни данни.

Когато открие достъпни .env файлове, облачни ключове или детайли за бази данни, той съхранява данните и изпраща доклади за жертвите на френски език чрез Telegram.

Този работен процес илюстрира опасенията, повдигнати в скорошни доклади за автономни кампании за кражба на идентификационни данни: на AI не е било нужно да изобретява новаторски експлойт, за да нанесе вреда.

Той е предоставил на операторите устойчивост, скорост и възможност за паралелно извършване на разузнаване, валидиране и събиране на данни. Екипът е рекламирал някои инструменти като zero-day, но изследването не открива потвърден пробив, базиран на нова уязвимост.

Потвърденият достъп произлиза от публични облачни контейнери, достъпни .env или Git файлове, подразбиращи се ключове за подписване или тайни, поставени в кода на браузъра. В един от случаите с борса за криптовалута, таен ключ за подписване на JWT, зададен на „secret“, е изложил на риск 418 записа за самоличност.

Пропуските в сигурността захранват кражбата на идентификационни данни

Трезорът с идентификационни данни е нараснал от 16 415 записа на 11 август до 16 834 до 18 август. Той включва общи тайни, данни за достъп до бази данни и SMTP, API ключове, AWS ключове, GitHub токени и Stripe ключове. От 230 SMTP конфигурации, 82 са били потвърдени и подготвени за евентуална повторна употреба като фишинг релета.

Същата инфраструктура е поддържала фишинг, който е насърчавал получателите да се обадят на телефонен номер, контролиран от атакуващия, вместо да кликват върху зловредна връзка.

Тази тактика може да избегне сканирането на връзки и проверките на прикачени файлове, което прави информираността на персонала и процедурите за последващо обаждане от съществено значение. Читателите, проследяващи свързани заплахи, могат да прегледат техниките за кибератаки с помощта на AI за контекст относно това как агентите разпределят работата по време на пробив.

Организациите трябва да одитират облачните си хранилища за публичен достъп за четене или писане, да премахнат .env, .git, debug и actuator крайните точки от интернет и да подменят всяка тайна, която може да е била изложена на риск.

Ключовете за подписване и материалите за генериране на токени трябва да останат на сървъра, докато подразбиращите се или лесни за отгатване стойности трябва да бъдат заменени незабавно.

Защитниците трябва също да търсят посочената инфраструктура, необичайни GHOST низове, SOUL.md, .hermes директории и неразрешена ngrok активност.

Уеб екипите могат да маркират кратки поредици от заявки за конфигурационни пътища от един източник, особено когато следват сканирания на популярни уеб портове.

Тези проверки потвърждават уроците от атаките срещу незащитени Vite сървъри, където достъпните файлове със средата могат да отворят вратата към по-широко компрометиране.

Екипите по сигурност трябва незабавно да разследват съвпадащите индикатори, да изолират системите, да запазят логовете и да прегледат активността по автентикация.

Индикатори за компрометиране (IoCs):-