كشف باحثو الأمن السيبراني عن حادثة اختراق استخدم فيها مهاجم مجهول سكريبت PowerShell مشفر ومولّد عبر الذكاء الاصطناعي لاستكشاف بيئة Active Directory. وفقًا لتقرير شركة Huntress، فقد بدأ الهجوم بالوصول إلى خادم ويندوز مرتبط بالنطاق عبر بروتوكول RDP باستخدام بيانات اعتماد مسروقة مسبقًا، ثم قام المهاجم بتخزين الأدوات في مجلد C:\ProgramData\.
السكريبت كان مصممًا للبحث عن Domain Controller ورسم خريطة للمستخدمين والأجهزة والمجموعات، قبل أن ينشئ مجلدًا خاصًا ويصدر ملفات متعددة، ثم يخرج تقريرًا باسم AD_Report.html لتقييم نجاح عملية الاستكشاف. الباحثون وصفوا السكريبت بأنه “عدواني وصاخب”، حيث استخدم آلية متدرجة من خمس خطوات للعثور على الـ DC، مع مخرجات ملونة في وحدة التحكم، ما يعكس أنه نتاج تفاعل مع نموذج لغوي كبير (LLM).
مراحل الهجوم
بعد تحديد الـ Domain Controller، بدأ المهاجم بجمع بيانات شاملة عن المستخدمين، الأجهزة، الوحدات التنظيمية، والـ Trusts داخل البيئة. بعد نحو نصف ساعة، انتقل إلى استخدام أدوات إضافية مثل:
- s5cmd لإجراء عمليات ملفات جماعية.
- SharpShares لاستكشاف المشاركات الشبكية والبحث عن مستودعات بيانات يمكن الوصول إليها.
في المرحلة الأخيرة، تم تحويل البيانات إلى ملفات CSV، أرشفتها، ثم تهريبها إلى خادم خارجي، مع إنشاء ملف HTML يلخص عملية السرقة في شكل تقرير جرد لـ Active Directory.
دور الذكاء الاصطناعي
التحليل أشار إلى أن السكريبت يحمل مؤشرات واضحة على أنه مولّد عبر الذكاء الاصطناعي، مثل العناوين التوضيحية، النصوص البديلة، والشفرة المفرطة التعقيد. الباحثون رجحوا أن المهاجم اعتمد على “حقن مساعد” من نموذج لغوي كبير، بدلًا من كتابة السكريبت يدويًا.
هذا يعكس اتجاهًا متزايدًا حيث يستخدم المهاجمون أدوات الذكاء الاصطناعي لتسريع تطوير البرمجيات الخبيثة، حتى لو لم يقدم الذكاء الاصطناعي تقنيات جديدة، فإنه يخفض الحاجز أمام المهاجمين الأقل خبرة، ويمنحهم أدوات قوية بسرعة وبتكلفة منخفضة.
البعد الأوسع للهجمات المدعومة بالذكاء الاصطناعي
في تقرير منفصل، أوضحت شركة Sygnia أن الهجمات المدعومة بالذكاء الاصطناعي لا تعتمد بالضرورة على ثغرات يوم صفر أو برمجيات جديدة، بل على تسريع وتيرة الاختراقات. فقد رصدت الشركة هجومًا على بيئة AWS انتقل من الوصول الأولي إلى اختراق شامل خلال 72 ساعة فقط.
المهاجمون استغلوا بيانات اعتماد جديدة بشكل متكرر، وأجروا عمليات استكشاف، جمع أسرار، وإنشاء مفاتيح وصول وحسابات IAM، مع إخفاء أنشطتهم تحت غطاء “اختبار اختراق”. كما لجأوا إلى إجراءات ضغط على الضحايا مثل:
- حجب الوصول إلى S3
- تعطيل خدمات ECS
- إنشاء قواعد ACL لمنع الاتصال الشبكي
- تفريغ قوائم SQS
هذه الأنشطة تؤكد أن الذكاء الاصطناعي أصبح مضاعف قوة في الهجمات السيبرانية، حيث يتيح تنفيذ حملات أكثر سرعة وضررًا، مع الحفاظ على الأساليب التقليدية للهجوم.
