ИИ-агенты помогли украсть у магазинов данные 600 тысяч банковских карт

Всего 5 дней ушло у злоумышленника на запуск 105 проектов атак, от которых пострадали как минимум 27 компаний. Среди них оказались сеть отелей из списка Fortune 500, крупная американская авиакомпания, дистрибьютор промышленных товаров и интернет-магазин одежды. Такая продуктивность киберпрестуника, по данным расследования Gambit Security, связана с использованием ИИ-агентов. 

Экспертам удалось получить доступ к серверу оператора и восстановить по его содержимому ход кампании. На нём нашли сведения о более чем 600 тысячах банковских карт, похищенных у двух компаний. Проверка одной цели обходилась оператору примерно в 25 долларов. Общие расходы на модели для совершения кибератаки оцениваются в 12–18 тысяч долларов.

Злоумышленник использовал три инструмента с открытым исходным кодом. Strix искал уязвимости, Cairn проводил атаки, а Hermes координировал работу агентов. Агенты выполняли почти все этапы самостоятельно и могли работать с десятками компаний в день.

В одном из изученных случаев ИИ-агент обошёл многофакторную аутентификацию, получил доступ к административной панели и запустил код на сервере. Затем агент проник во внутреннюю сеть компании, добрался до облачных секретов и базы интернет-магазина на Magento. Там он нашёл ключ шифрования и получил с его помощью номера карт.

Скрипты для кражи платёжных данных исследователи обнаружили на сайтах у 19 из как минимум 27 выбранных целей. Их добавляли в файлы JavaScript, подключали к страницам оплаты или размещали в облачном хранилище. В одном случае агент настроил автоматическое восстановление скрипта после удаления. На другом сервере нашли указания удалять данные после кражи и очищать следы атак. В следующем случае агент создал временные таблицы, а затем удалил 180 файлов, включая резервные копии администраторов.

Исследователи считают, что кампания затронула больше организаций, чем удалось подтвердить. Многим пострадавшим они уже помогли отключить инфраструктуру злоумышленников.