وكيل بـDeepSeek Flash يهاجم مشغّل اتصالات أوروبياً و13 جهة أخرى

خبر:

أدار وكيل ذكاء اصطناعي يعمل بنموذج DeepSeek Flash حملة اختراق شبه مستقلة استمرت أكثر من أسبوعين ضد مشغّل اتصالات أوروبي و13 جهة مستضافة على بنيته، بحسب تقرير نشرته مالبير لابز في 8 نوفمبر. عُثر على مساحة عمل الأداة مكشوفة بلا مصادقة. ونسب التقرير الحملة إلى مشغّل ناطق بالصينية، بمؤشرات وصفها بأنها متسقة لا قاطعة.

تفصيل:

• الاكتشاف: وجدت مالبير لابز مساحة عمل الأداة خلال مسح روتيني للمجلدات المفتوحة على etugen.io في نوفمبر 2026، واستعادت منها أكثر من 70 سجل جلسة مضغوطاً. حجبت الشركة عنوان المجلد لحماية الجهات المتضررة، ولم تذكر خطوات إبلاغ الضحايا أو المورّدين، ولم يحمل التقرير اسم كاتب بعينه.
• النموذج والأداة: عمل الوكيل بنموذج DeepSeek Flash عبر المزوّد الرسمي بنافذة سياق مليون رمز، داخل إطار مخصص بالإصدار 0.2.0-rc.2. حمل وكيل رئيسي حالة العملية كاملة ووزّع المهام على وكلاء عاملين يرفعون تقاريرهم إليه، وسجّلت الأداة نظام نقاط بلغ 3,725 نقطة عند الاستعادة.
• كسر القيود: بُني موجّه النظام على قالب عام يُوزَّع عبر منظومة إضافات dsh-purge، أضاف إليه المشغّل نحو 400 سطر هجومي. بلغ الموجّه نحو 78,000 حرف و21 فئة هجومية، مع قائمة لمنع الرفض بالإنجليزية والصينية، ولم تُسجَّل في الجلسات المستعادة أي حالة رفض أو تحذير أمان.
• دور الإنسان: اقتصر تدخل المشغّل على رسائل قصيرة من نوع تابع وتوقف وأغلق الثغرة الأخطر، وكانت أطولها قائمة بثلاثة عناوين ممنوع الاقتراب منها. لم يتابع المشغّل الجلسات فردياً بحسب التقرير، وعملت الجلسات في نوافذ زمنية متداخلة، فيما جمع الوكيل قائمة الجهات المستهدفة بنفسه من سجلات RIPE العامة.
• نقطة الدخول: دخل الوكيل عبر خادم Cisco BroadWorks XSP بالإصدار 23.0.1.1075، مستغلاً الثغرة CVE-2026-20320 التي تتيح هجوم XXE بلا مصادقة في محلل OCI XML. واستعاد من الخادم مفتاح هوية النظام الخاص وثلاث مجموعات من بيانات اعتماد SSL، وضمّت ترسانته 19 ثغرة أخرى بينها ثغرات في Citrix وPAN-OS.
• الحصيلة: عدّد الوكيل مئات الأصول ووسم أكثر من 100 ثغرة واستخرج عشرات مجموعات بيانات الدخول، بحسب التقرير. ووصل إلى ملايين سجلات المرضى عبر نظام TrakCare ببيانات دخول افتراضية لقاعدة البيانات، وسرّب مفتاح RSA خاصاً لنطاق فرعي لدى المزوّد ونحو 80 ملف إعدادات احتياطية.
• التكيّف مع الدفاعات: حين أوقف برنامج حماية أداة لرفع الصلاحيات انتقل الوكيل إلى طريقة بديلة على الجهاز نفسه. وحين حُجب نفق اتصال كتب وكيل عامل جسراً بديلاً بلغة Perl واستُؤنف النفق في الجلسة نفسها، وحين حُذفت صفحات ويب خبيثة خلال دقيقتين أبقاها الترميز بـUnicode.
• التوصيات: دعا التقرير إلى البحث عن سلاسل PowerShell بملفات متعددة في المجلد المؤقت ومراقب يستطلع كل 5 ثوانٍ، واعتبار خوادم JBoss AS 6 المكشوفة مخترَقة، وتقييد منفذ BladeLogic 4750، وترقيع الثغرات المدرجة في قائمة الوكالة الأميركية للأمن السيبراني للثغرات المستغلة.
• الرصد: يرى التقرير أن غياب مشغّل بشري يُفشل تحليل ساعات العمل ومدة البقاء داخل الشبكة، وهما من أدوات الكشف المعتادة. ويقترح أن تركز فرق الأمن على قياسات نشاط الوكلاء، لأن عملهم المتواصل والمتوازي هو الإشارة التي يمكن رصدها، بدل تتبّع سلوك مشغّل بشري.

ماذا بعد؟