Хакери се представят за AI ботове на ChatGPT, Claude и Perplexity, за да търсят пароли и API ключове

Хакери се представят за доверени ботове с изкуствен интелект, за да търсят в уебсайтове пароли, API ключове и идентификационни данни за облачни услуги.

Кампанията използва имената на ChatGPT, Claude, Perplexity и други AI услуги, за да прикрие автоматизирано сканиране, тествайки дали бизнесите ще пропускат заявките просто защото изглежда, че идват от познат доставчик.

Операцията подчертава слабост в начина, по който организациите разпознават автоматизираните посетители: заявената самоличност не е доказателство за произход.

Подобни тактики за имитация на AI уеб кроулери са се появявали при атаки срещу незащитени развойни сървъри, където скенерите са използвали фалшифицирани самоличности на ботове, докато са търсили чувствителни файлове.

Тук маскировката подпомага търсенето на идентификационни данни, а не обикновеното обхождане на мрежата. Изследователите от Cequence идентифицираха кампанията за злонамерено сканиране и я свързаха с един-единствен атакуващ, имитиращ около 32 AI бота.

В доклад от 28 октомври директорът по изследванията в CQ Prime Уил Глейзър заяви, че атакуващият е достигнал до 48% от защитените от Cequence организации, получаващи какъвто и да е трафик от AI ботове в рамките на един ден през октомври. Докладът описва скенер, а не новоидентифицирано семейство зловреден софтуер.

Хакери се представят за AI ботове на ChatGPT, Claude и Perplexity

Работейки от голям облачен доставчик, скенерът е редувал самоличности, свързани с OpenAI, Anthropic, Meta, Perplexity и други.

Вместо да чете нормални страници, той е изисквал конфигурационни файлове, файлове с идентификационни данни за облачни услуги, частни SSH ключове и данни за сървърната среда. Изследователите са наблюдавали списък с цели, съдържащ приблизително 90 файлови пътя.

Разграничението е от значение, тъй като тези файлове могат да осигурят достъп отвъд самия уебсайт. Предишни атаки срещу незащитени файлове на средата показаха как изтеклите идентификационни данни за облачни услуги могат да подпомогнат ескалацията на привилегии и кражбата на данни.

Констатациите на Cequence обаче установяват дейност по търсене на идентификационни данни, а не потвърдена кражба или последващо компрометиране в тази кампания. Всеки сканиращ адрес е изпращал между 50 и 190 заявки за около осем секунди, преди да продължи напред.

Атакуващият е обработвал целите индивидуално, денонощно, и първо е изисквал случайни, безсмислени пътища, за да идентифицира уебсайтове, които връщат отговори за всяка заявка.

Дейността е засегнала организации от секторите на финансовите услуги, търговията на дребно, телекомуникациите, енергетиката и софтуера от поне края на септември до края на октомври.

Имитацията е станала ясна, когато изследователите са сравнили поведението при различните заявки. Една машина е твърдяла, че представлява няколко несвързани доставчици на AI в рамките на секунди, докато скенерът е преминавал равномерно през всичките 32 самоличности.

Фалшивите самоличности на Claude също така са използвали повторно адреса за контакт на кроулера на Anthropic, дори когато са твърдели, че представляват различен агент на Claude. Споделената инфраструктура и техническите отпечатъци са свързали дейността сред различните цели.

Защо проверката на самоличността е по-важна от списъците с блокирани IP адреси

Честата смяна на инфраструктурата е затруднила защитите, базирани на адреси. Атакуващият е използвал повече от 300 облачни адреса за един ден и близо 400 през една седмица.

Нито един от адресите, наблюдавани в края на септември, не се е появил отново месец по-късно. Външните потоци от данни за заплахи са маркирали много адреси по време на тяхното използване, но дотогава скенерът обикновено вече се е бил преместил другаде.

Тази кампания включва външни лица, претендиращи, че са агенти, за разлика от излагането на показ на идентификационни данни при AI агенти, причинено от легитимни инструменти, боравещи с тайни по време на рутинна работа.

И двата проблема правят контрола на самоличността и достъпа важен, но изискват различни разследвания: защитниците трябва да разграничават фалшифицираните посетители от истинските агенти, чиито разрешения или обработка на данни създават риск.

Скенерът също така е изкривил измерванията на трафика. В няколко организации той е генерирал повече от 80% от заявките, етикетирани като трафик от AI ботове.

Това не означава, че истинските AI услуги са стартирали атаките; то показва как доверието в самоописанието на посетителя може да превърне злонамереното сканиране в привидно легитимна дейност в таблата за управление на сигурността.

Cequence препоръчва проверката на агентите да става чрез подписани заявки, публикувани диапазони от адреси или директни интеграции. Екипите трябва също така да инспектират поведението, особено заявките за файлове с идентификационни данни, и да държат тайните, тестовите системи и административните сайтове далеч от публичен достъп.

По-широките контроли за самоличност на AI агентите са насочени към собствеността и разрешенията, но едно познато име на бот само по себе си никога не трябва да оправдава достъпа.

Индикатори за компрометиране (IoC):-

Забележка: IP адресите и домейните са умишлено деактивирани (напр. [.]), за да се предотврати случайно отваряне или създаване на хипервръзки. Възстановявайте ги само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.