Злоумышленники использовали ИИ для поиска уязвимостей и атак на веб-сервисы
JPCERT/CC расследовал серию инцидентов несанкционированного доступа к организациям в Японии и выявил несколько серверов, связанных с поиском известных уязвимостей с помощью ИИ и атаками на веб-сервисы и другие системы через API. По имеющимся данным, злоумышленники применяли ИИ для поиска уязвимостей и автоматизации атак, в том числе на сервисы для пользователей за пределами Японии.
Одной из ключевых техник был анализ пакетов приложений Android (APK) для выявления конечных точек API и проверки их на уязвимости, включая подделку запросов на стороне сервера (SSRF). На одном из серверов, связанных с атаками, находились APK, извлечённые данные приложений и свидетельства тестирования API. На другом обнаружили несколько APK, а также Blutter, который позволяет проводить обратную разработку заранее скомпилированных приложений Flutter, и jadx для анализа приложений Android. Каталоги вроде apk_extract/ и файлы, включая strings_libapp.txt, указывают на то, что злоумышленники, вероятно, извлекали и изучали строки и содержимое нативных библиотек.
Расследование также выявило инфраструктуру с инструментами и файлами, связанными с атаками на веб-приложения, базы данных MySQL, серверы Jenkins и почтовые шлюзы. JPCERT/CC обнаружил свидетельства попыток обхода систем обнаружения и реагирования на инциденты на конечных точках (EDR), а также веб-шеллы, которые, по имеющимся данным, развернули во внутренних сетях целевых организаций. Исследователи связывают эти действия с попытками получить или сохранить доступ к внутренним средам после компрометации сервисов, доступных из внешней сети.
Обратная разработка приложений Flutter может раскрыть конечные точки API, встроенные учётные данные, закрытые ключи, механизмы аутентификации и логику подписания запросов. Для анализа libapp.so, воспроизведения подписей запросов и создания автономных клиентов, которые обращаются к API продуктивных систем без легитимного приложения, злоумышленники могут использовать Blutter, Frida, LIEF и Capstone. Встроенные закрытые ключи и другие секреты аутентификации создают риск несанкционированного доступа к API и злоупотребления ими.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
