Operation Snowball. Zhakowany model DeepSeek przez dwa tygodnie bez pomocy człowieka atakował europejski telekom

Niezabezpieczony, otwarty katalog na serwerze ujawnił kulisy cyberataku. Z ustaleń badaczy z Malbear Labs wynika, że autonomiczny agent oparty na modelu sztucznej inteligencji przez ponad dwa tygodnie prowadził ofensywę przeciwko europejskiemu dostawcy usług telekomunikacyjnych oraz 13 organizacjom korzystającym z jego centrów danych i infrastruktury chmurowej. Kampanii nadano kryptonim Operation Snowball.

Rutynowy przegląd otwartych katalogów pozwolił badaczom pobrać kompletne środowisko pracy napastnika. W udostępnionym bez żadnego uwierzytelnienia katalogu znajdowało się około 70 transkrypcji sesji, wyniki rekonesansu, repozytoria narzędzi, przechwycone bazy danych i wykradzione poświadczenia. Według ustaleń badaczy z Malbear Labs wszystkie polecenia operatora oraz raporty generowane przez agenta były sporządzone w języku chińskim, choć analitycy zastrzegają, że nie przesądza to o narodowości sprawców ani o udziale jakichkolwiek służb państwowych.

Milion tokenów kontekstu i 78 tysięcy znaków jailbreaka

Trzonem operacji był model DeepSeek Flash. Wybór tego rozwiązania nie był przypadkowy: architektura oferuje okno kontekstowe mieszczące aż milion tokenów. Dzięki temu główny agent był w stanie utrzymać w bieżącej pamięci całościowy obraz atakowanej sieci – każdy zidentyfikowany host, przechwycone hasła oraz historię nieudanych prób penetracji na przestrzeni całej kampanii.

Twórcy ataku skutecznie obeszli wbudowane w model mechanizmy bezpieczeństwa. Według Malbear Labs posłużono się promptem systemowym o objętości 78 tysięcy znaków. Bazował on na publicznie znanym schemacie jailbreaku „Little Code Sauce”, który rozbudowano o 21 ofensywnych kategorii. Zmodyfikowana instrukcja nakazywała modelowi traktować każdą próbę odmowy wykonania polecenia jako błąd techniczny. W transkrypcjach obejmujących kilkanaście dni nie odnotowano ani jednego przypadku, w którym model odmówiłby ataku.

Rola człowieka sprowadzała się do minimalnego nadzoru. Operator wydawał jedynie lakoniczne komendy w rodzaju „działaj dalej” lub polecał skupić się na najpoważniejszej znalezionej luce. To agent samodzielnie decydował, które podatności wykorzystać, dobierał narzędzia i modyfikował taktykę pod kątem odpowiedzi systemów ochronnych.

Zdolność adaptacji zamiast ludzkich godzin pracy

Największe wrażenie na analitykach wywarła elastyczność modelu w reakcji na blokady defensywne. Kiedy rozwiązanie Trend Micro Deep Security udaremniło eskalację uprawnień za pomocą podatności PwnKit (CVE-2021-4034), agent natychmiast zmienił wektor: wykorzystał ucieczkę z powłoki przez polecenie sudo vi i zabezpieczył sobie trwały dostęp w usłudze systemd. Gdy zabezpieczenia punktu końcowego zablokowały tunel suo5, pomocniczy agent napisał skryptowy mostek w Perlu (HTTP-to-TCP), którego oprogramowanie antywirusowe nie rozpoznało na podstawie sygnatury.

W innym przypadku, po skasowaniu binarnego exploita JuicyPotato przez system OfficeScan, agent zrezygnował z plików wykonywalnych i zbudował mechanizm utrzymania w systemie Windows oparty wyłącznie na natywnym PowerShellu, WMI oraz harmonogramie zadań. W odciętym od wychodzącego internetu środowisku Liferay, gdzie nie powiodły się wywołania JNDI, sztuczna inteligencja skonstruowała łańcuch gadgetów w pamięci procesu z klas już obecnych na maszynie, ustaliła ścieżkę katalogu webowego poprzez analizę opóźnień odpowiedzi serwera (timing attack), a webshelle ukryła za pomocą kodowania Unicode.

Głównym punktem wejścia do infrastruktury stał się system Cisco BroadWorks XSP. Agent wykorzystał lukę CVE-2026-20320 – błąd typu XXE w parserze OCI XML na porcie 2208, wynikający z domyślnego rozwiązywania encji zewnętrznych. Podatność ta umożliwiła wydobycie klucza prywatnego tożsamości systemu oraz uzyskanie dostępu do poświadczeń SSL.

Z analizy transkrypcji wynika, że łupem napastników padły rejestry billingowe abonentów oraz bazy urządzeń. Model uzyskał także dostęp do instancji Oracle TrakCare zabezpieczonej domyślnym hasłem, co miało umożliwić wgląd w miliony danych medycznych. Informacje o tych danych pochodzą z analizy transkrypcji przeprowadzonej przez badaczy i nie zostały niezależnie zweryfikowane.

Sposób prowadzenia operacji wymusza rewizję tradycyjnych metod śledczych. Ponieważ atakiem kierował algorytm, analiza czasu przebywania w systemie (dwell time) czy typowych godzin aktywności daje obrońcom niewiele informacji o profilu sprawcy. Jednocześnie badacze wskazują, że samo skanowanie oraz ruch boczny agenta pozostają widoczne w telemetrii punktów końcowych i sieci. W lipcu pisaliśmy o tym, jak Hugging Face odparło atak autonomicznego systemu AI. Kampania Operation Snowball pokazuje z kolei, jak dużą zdolnością do modyfikowania taktyki i omijania zabezpieczeń może wykazać się zautomatyzowany agent w rozległej infrastrukturze sieciowej.