Agentes de ameaça vêm explorando a plataforma de inteligência artificial (IA) de código aberto Cairn para automatizar operações maliciosas contra centenas de sites em todo o mundo, informa a empresa de segurança em IA Norforge.
O Cairn é um mecanismo de resolução de problemas de uso geral, capaz de coordenar agentes de IA em direção a um objetivo definido. Ele também pode ser usado como um mecanismo autônomo de testes de penetração.
Cada tarefa no Cairn é considerada um projeto, com uma origem e um objetivo predefinido. Os agentes avançam passo a passo da origem até o objetivo, publicando suas intenções e descobertas em um quadro compartilhado (blackboard).
Após um relatório recente da Gambit Security sobre hackers que usaram três arcabouços de IA para automatizar ataques contra centenas de lojas online, a Norforge decidiu investigar mais a fundo e descobriu que alguns agentes de ameaça deixaram seus painéis abertos.
No Cairn, a empresa de segurança cibernética identificou três grupos de atividade que parecem ser maliciosos, voltados para acesso persistente e roubo financeiro.
O maior desses grupos usa o idioma chinês e reúne mais de 1.100 projetos de ataque distribuídos em 14 painéis. Ele tem como alvo infraestruturas de comércio eletrônico e de pagamentos nos EUA, no Japão e na Austrália.
Segundo a Norforge, o objetivo do agente de ameaça parece ser o acesso persistente a grandes plataformas por meio de webshells (shells web, scripts maliciosos instalados em servidores), que provavelmente serão monetizados mais tarde. A validação automatizada também foi incluída, e os alvos foram classificados por volume de tráfego e testados com o framework de automação de navegador Playwright, da Microsoft, antes de serem enviados ao Cairn.
Embora a Norforge não tenha revelado o nome de nenhuma das vítimas, a Reuters informa que esse agente de ameaça invadiu mais de 100 empresas, incluindo a fabricante de equipamentos John Deere, com sede nos EUA, e a fabricante de eletrodomésticos SharkNinja.
O segundo grupo de atividade expôs 10 painéis. Ele usa o idioma inglês e se concentra no roubo de dados de cartões de crédito e de criptomoedas, principalmente de serviços de pagamento de comerciantes, sites de pagamento do mercado cinza e plataformas farmacêuticas.
Alguns dos alvos desse grupo são sites de comércio africanos, e a Norforge acredita que o agente de ameaça tenha uma base nesse continente.
O terceiro grupo expôs um painel com 59 projetos voltados para todos os tipos de sites de comércio eletrônico, incluindo grandes plataformas comerciais com sede nos EUA. O grupo se concentra em acesso via shell, além de acesso a painéis administrativos e bancos de dados.
Segundo a empresa de segurança cibernética, os agentes de ameaça tiveram sucesso em cerca de 10% de suas tentativas. Centenas de segredos foram encontrados nos dados dos painéis expostos, dos quais 11% foram verificados como válidos.
