BUGSTER применил ИИ для киберпреступных операций против индийских организаций
Злоумышленник под псевдонимом BUGSTER использовал ИИ для планирования и проведения нескольких киберпреступных операций, преимущественно против организаций в Индии. Он задействовал профили ИИ для разведки и разработки инструментов, а также скомпрометировал университетские системы. Описанный в отчёте план мошенничества с использованием VoIP не подтверждён как завершённая схема мошеннических звонков.
Разведка и атаки на университеты
BUGSTER настроил фреймворк Hermes Agent с использованием DeepSeek V4 и применял Cursor IDE для разработки, отключив механизмы безопасности, разрешения и песочницу. Профилями Hermes злоумышленник управлял через ботов в Telegram. Судя по всему, дополнительные профили предназначались для разработки, тестирования на уязвимости, проверки результатов и развёртывания.
Атакуя образовательную платформу на WordPress, принадлежащую индийскому университету, злоумышленник использовал разведывательные данные, полученные с помощью ИИ, и перечислил 12 поддоменов. Среди них были LMS, студенческий портал, административная панель и сайты на WordPress. Перечисление через REST API WordPress и карту сайта авторов выявило 13 активных идентификаторов пользователей и их настоящие имена. Это позволило обойти прямые ограничения Cloudflare на конечные точки. Затем BUGSTER создал инструмент для перебора паролей со 117 именами пользователей и 28 распространёнными паролями. В ходе кампании обнаружили как минимум одну действующую пару учётных данных для входа в WordPress.
Кроме того, злоумышленник скомпрометировал второй государственный университет в Индии и похитил базу данных MongoDB с более чем 5200 записями, в том числе персональными данными студентов. Его другая активность включала перечисление платформ электронной коммерции, создание набора инструментов на Go для сбора учётных данных, опубликованных на веб-сайтах, и сбор списков доменов для автоматизированного сканирования.
Планирование мошенничества с VoIP и взлом Wi-Fi
Профиль ИИ по имени alice давал рекомендации по созданию телекоммуникационного бизнеса, который выглядел бы легитимным, получению американской LLC и EIN, регистрации в FCC и приобретению ёмкости SIP-транков. Также профиль предлагал смешивать легитимный и мошеннический трафик, обходить механизмы аутентификации вызовов STIR/SHAKEN и использовать подмену идентификатора вызывающего абонента (Caller ID) или идентификации линии вызова (Calling Line Identification). Среди предусмотренных способов монетизации были тарифное мошенничество (toll fraud) и другие виды некорректной маршрутизации. Для снижения операционных расходов планировалась маршрутизация по минимальной стоимости (least-cost routing). Другой профиль изучал оптовых поставщиков услуг VoIP и пробелы в нормативно-правовом регулировании.
BUGSTER также разработал конвейер для взлома паролей Wi-Fi. Устройство с Kali Linux, находившееся поблизости от целевых сетей, перехватывало данные PMKID или рукопожатия EAPOL, а затем отправляло хеши через SSH-туннель на облачные экземпляры с графическими процессорами. Результаты взлома возвращались через вебхуки Discord. Эта деятельность требовала физического присутствия вблизи целевых беспроводных сетей.
Криптовалютная разведка и инструменты
В рамках разведки, связанной с криптовалютами, злоумышленник собирал через API DeBank данные о крупных держателях Ethereum и токенов. В результате он выявил 45 высокодоходных «китов» для возможного целевого воздействия в будущем.
Инфраструктура BUGSTER включала C2-сервер с обратным шеллом для Windows на Python, полезную нагрузку PowerShell, доставляемую через VBScript, инструменты SSH и Netcat, а также несколько вариантов шелла для Windows.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
