جوجل: قراصنة مدعومون حكومياً يستغلون “جيمناي” للاستطلاع ودعم الهجمات

كشفت جوجل رصدها لمجموعة تجسس سيبراني مرتبطة بكوريا الشمالية، تُعرف باسم UNC2970، وهي تستخدم نموذج الذكاء الاصطناعي التوليدي Gemini، في إطار عمليات الاستطلاع وجمع المعلومات حول أهدافها. يأتي هذا الاكتشاف في وقت تتزايد فيه الأدلة على قيام جهات فاعلة بالتهديدات باستغلال أدوات الذكاء الاصطناعي لتسريع مراحل الهجوم السيبراني المختلفة.

وبحسب تقرير صادر عن فريق Google Threat Intelligence Group (GTIG)، قامت المجموعة باستغلال Gemini لتركيب المعلومات المتاحة للجمهور (OSINT) وإنشاء ملفات تعريفية لأهداف ذات قيمة عالية، بهدف دعم تخطيط الحملات وعمليات الاستطلاع. وشملت هذه الملفات البحث عن معلومات حول شركات كبرى في مجال الأمن السيبراني والدفاع، وتحديد الأدوار الوظيفية التقنية المحددة ومرتباتها.

استغلال الذكاء الاصطناعي في التجسس السيبراني

يشير فريق ذكاء التهديدات التابع لجوجل إلى أن هذا النشاط يمثل طمسًا للحدود الفاصلة بين البحث المهني الروتيني والاستطلاع الخبيث. وقد مكّن هذا الاستغلال الجهة الحكومية من صياغة شخصيات تصيد احتيالي مخصصة وتحديد الأهداف الضعيفة لتحقيق الاختراق الأولي.

تُعرف UNC2970 بأنها مجموعة قرصنة كورية شمالية تتداخل مع مجموعات أخرى مثل Lazarus Group وDiamond Sleet وHidden Cobra. واشتهرت هذه المجموعة بحملتها طويلة الأمد المعروفة باسم Operation Dream Job، حيث استهدفت قطاعات الطيران والدفاع والطاقة عن طريق نشر برمجيات خبيثة تحت ذريعة تقديم فرص عمل.

وأوضح GTIG أن UNC2970 تركز “باستمرار” على استهداف قطاع الدفاع وانتحال شخصية مسؤولي التوظيف في الشركات ضمن حملاتها. تضمنت عمليات بناء الملفات التعريفية للأهداف البحث عن “معلومات حول شركات كبرى في مجال الأمن السيبراني والدفاع، وتحديد الأدوار الوظيفية التقنية المحددة ومرتباتها”.

التهديدات المتزايدة والمتنوعة

لا تقتصر UNC2970 على كونها الجهة الوحيدة التي أساءت استخدام Gemini لتعزيز قدراتها والانتقال من مرحلة الاستطلاع الأولية إلى الاستهداف النشط بشكل أسرع. وقد أدمجت فرق قرصنة أخرى هذه الأداة في سير عملها، بما في ذلك:

• UNC6418 (غير محدد الجهة): أجرت جمع معلومات استخباراتية مستهدفة، بحثت تحديدًا عن بيانات اعتماد حسابات حساسة وعناوين بريد إلكتروني.
• Temp.HEX أو Mustang Panda (الصين): قامت بتجميع ملفات تعريفية عن أفراد محددين، بما في ذلك أهداف في باكستان، وجمعت بيانات تشغيلية وهيكلية حول منظمات انفصالية في بلدان مختلفة.
• APT31 أو Judgement Panda (الصين): عملت على أتمتة تحليل الثغرات وإنشاء خطط اختبار مستهدفة، مدعيةً أنها باحثة أمنية.
• APT41 (الصين): استخرجت تفسيرات من صفحات README.md للأدوات مفتوحة المصدر، بالإضافة إلى استكشاف الأخطاء وإصلاحها وتصحيح شفرات الاستغلال.
• UNC795 (الصين): قامت باستكشاف الأخطاء وإصلاحها، وإجراء البحوث، وتطوير قنابل الويب (web shells) وأدوات الفحص لخوادم الويب PHP.
• APT42 (إيران): سهلت عمليات الاستطلاع والهندسة الاجتماعية المستهدفة من خلال صياغة شخصيات تشجع على التفاعل مع الأهداف، بالإضافة إلى تطوير أداة استخلاص خرائط جوجل قائمة على Python، وتطوير نظام إدارة بطاقات SIM باستخدام Rust، والبحث في استخدام دليل إثبات مفهوم (PoC) لثغرة WinRAR (CVE-2025-8088).

كما أشارت جوجل إلى اكتشاف برمجية خبيثة تسمى HONESTCUE، تستفيد من واجهة برمجة تطبيقات Gemini لتفويض إنشاء وظائف للمرحلة التالية. بالإضافة إلى ذلك، تم اكتشاف مجموعة تصيد احتيالي تم إنشاؤها بواسطة الذكاء الاصطناعي، تحمل الاسم الرمزي COINBAIT، والتي تم بناؤها باستخدام Lovable AI وتنتحل صفة منصة تداول للعملات المشفرة بهدف سرقة بيانات الاعتماد. وقد تم عزو بعض جوانب النشاط المتعلق بـ COINBAIT إلى مجموعة تهديدات ذات دوافع مالية تُعرف باسم UNC5356.

وذكرت جوجل أن HONESTCUE هو إطار عمل للتنزيل والإطلاق يرسل استعلامًا عبر واجهة برمجة تطبيقات Google Gemini ويستقبل شفرة مصدر C# كاستجابة. وأوضحت أنه بدلاً من الاستفادة من نموذج لغوي كبير لتحديث نفسه، تستدعي HONESTCUE واجهة برمجة تطبيقات Gemini لإنشاء شفرة تقوم بتشغيل وظائف “المرحلة الثانية”، والتي تقوم بتنزيل وتنفيذ جزء آخر من البرمجيات الخبيثة.

تستخدم المرحلة الثانوية عديمة الملفات من HONESTCUE شفرة مصدر C# المستلمة من واجهة برمجة تطبيقات Gemini، وتستخدم إطار عمل .NET CSharpCodeProvider الشرعي لتجميع وتنفيذ الحمولة مباشرة في الذاكرة، مما لا يترك أي آثار على القرص.

كما لفتت جوجل الانتباه إلى موجة حديثة من حملات ClickFix، التي تستفيد من ميزة المشاركة العامة لخدمات الذكاء الاصطناعي التوليدي لاستضافة تعليمات تبدو واقعية لإصلاح مشكلة شائعة في الكمبيوتر، بهدف النهائي هو تسليم برمجيات خبيثة لسرقة المعلومات. تم رصد هذا النشاط في ديسمبر 2025 بواسطة Huntress.

أخيرًا، ذكرت الشركة أنها حددت وقامت بتعطيل هجمات استخلاص النماذج (model extraction attacks) التي تهدف إلى الاستعلام بشكل منهجي عن نموذج تعلم آلي خاص لاستخلاص المعلومات وبناء نموذج بديل يعكس سلوك الهدف. في هجوم واسع النطاق من هذا النوع، استهدف أكثر من 100,000 استعلام Gemini بسلسلة من الأسئلة التي تهدف إلى تكرار قدرة النموذج على الاستدلال عبر مجموعة واسعة من المهام بلغات غير الإنجليزية.

في الشهر الماضي، طورت Praetorian دليل إثبات مفهوم لهجوم استخلاص، حيث حقق نموذج مطابق معدل دقة بلغ 80.1% ببساطة عن طريق إرسال سلسلة من 1,000 استعلام إلى واجهة برمجة تطبيقات الضحية وتسجيل المخرجات وتدريبه لمدة 20 حقبة (epochs).

وتعتقد الباحثة الأمنية فريدة شفيق أنه “تفترض العديد من المؤسسات أن الحفاظ على سرية أوزان النموذج كافٍ للحماية. لكن هذا يخلق إحساسًا زائفًا بالأمان. في الواقع، السلوك هو النموذج. كل زوج من الاستعلامات والاستجابات يمثل مثالًا تدريبيًا لنموذج بديل. يتم الكشف عن سلوك النموذج من خلال كل استجابة لواجهة برمجة التطبيقات”.