ИИ как инструмент кибератаки в Центральной Азии
Специалисты по кибербезопасности зафиксировали случай, когда хакерская группировка использовала инструменты искусственного интеллекта для проведения целенаправленной операции против государственных структур Центральной Азии. По данным сингапурской компании CloudSEK, злоумышленники похитили более 2000 документов, проходивших через систему Министерства обороны Таджикистана. Следы атаки компания связала с группировкой Silent Lynx, которую исследователи ранее относили к Казахстану.
Что именно оказалось в руках хакеров
Среди похищенных материалов — запросы на разрешение полетов, записи о переводах военнослужащих и отчеты о строительстве в приграничных районах. В отчете от 11 ноября CloudSEK указала, что восстановила картину операции по записям на сервере, который хакеры по неосторожности оставили открытым для публичного доступа. Именно эта ошибка позволила исследователям детально описать механику атаки.
Как работал ИИ-агент Hermes
Примерно в середине августа группировка начала применять Hermes Agent — инструмент на базе открытого исходного кода — для поиска потенциальных целей. Спустя несколько недель хакеры получили доступ к электронной системе документооборота Таджикистана через учетную запись сотрудника железной дороги. Далее Hermes самостоятельно написал программу для сбора и систематизации документов перед их передачей. Записи на сервере содержали инструкции, предписывающие агенту действовать скрытно.
По словам CloudSEK, схема принципиально отличалась от традиционного взлома: вместо ручного ввода команд оператор ставил задачу перед Hermes, а тот планировал атаки, писал правила, запускал их, вел заметки и готовил отчеты. Это указывает на рост автоматизации в деятельности хакерских групп и снижение порога входа для сложных операций.
Атрибуция и ее пределы
Сходство с инструментами, применявшимися в предыдущих атаках, дало CloudSEK высокую степень уверенности в том, что сервер принадлежал оператору Silent Lynx. Связь с Казахстаном компания установила со средней уверенностью, ссылаясь на записи на русском языке и подключение к домашнему интернету в стране. Ранее исследователи также отмечали, что группировка активна в местные рабочие часы. При этом собранные доказательства не позволяют утверждать, действовала ли группа по поручению казахстанских властей.
Более широкая кампания против региона
В октябре исследователи Recorded Future и Cisco Talos описали масштабную кампанию против правительств стран Центральной Азии. Silent Lynx использовала перехваченные официальные почтовые аккаунты для доступа к государственным компьютерам. Открытые рабочие файлы помогли проследить интерес группы к ведомствам, располагающим информацией о региональной дипломатии и природных ресурсах.
- В январе 2025 года индийская компания Seqrite дала группировке название Silent Lynx.
- Исследователи Seqrite выявили рассылку с перехваченного аккаунта сотрудника Национального банка Кыргызской Республики.
- Вложение содержало вредоносную программу и имитацию приглашения на заседание ООН.
Для Центральной Азии эти находки важны с точки зрения региональной киберустойчивости: государственные системы документооборота и оборонные ведомства остаются уязвимыми, а применение ИИ-агентов делает атаки быстрее и дешевле. Вопрос атрибуции при этом остается чувствительным: технические признаки указывают на инфраструктуру в конкретной стране, но не доказывают государственного заказчика.
Дереккөз: Times of Central Asia
Фото: Image: @depositphotos / Times of Central Asia
