Kriminel med få færdigheder brugte AI som rådgiver til hackerangreb

Sikkerhedsfirmaet Unit 42 (Palo Alto Networks) har beskrevet en kriminel, der kalder sig BUGSTER, og som brugte AI til at planlægge og gennemføre flere former for cyberkriminalitet. Ifølge Unit 42 stolede han på AI-genererede scripts og kortlægning af mål og ville ikke selv have haft de nødvendige færdigheder, før AI-værktøjerne fandtes.

BUGSTER beskriver sig selv som »gamer, OSINT, VoIP entrepreneur«.

Sådan arbejdede han

Han brugte Hermes Agent, en AI-agent der kan udføre opgaver på egen hånd, med sprogmodellen DeepSeek V4 som »hjerne«. Det hele blev styret via tre Telegram-botprofiler. Som sekundært værktøj brugte han kodeværktøjet Cursor IDE.

Begge opsætninger havde fået deres sikkerhedskontroller omgået med en såkaldt system-prompt override, altså en skjult grundinstruktion, der får AI-modellen til at se bort fra sine egne begrænsninger.

To universiteter i Indien

På det ene universitet kortlagde AI-genererede rapporter 12 underadresser, blandt andet et læringssystem, en studerendeportal og et administrationsdashboard. På universitetets WordPress-side udtrak han 13 bruger-id'er og brugte et AI-genereret værktøj til at gætte adgangskoder med 117 brugernavne og 28 almindelige adgangskoder. Det gav et gyldigt login.

Ifølge Cybersecuritynews.com, der gengiver Unit 42, udtrak han også en database med over 5.200 poster med personoplysninger om studerende og undervisere. Adgangen skete via en administratorkonto med svag adgangskode. Det er altså ikke set direkte i Unit 42's egen tekst.

Brudene udnyttede grundlæggende svagheder som eksponerede tjenester, svage adgangskoder og for lidt adgangskontrol, ikke softwarefejl eller zero-days.

Svindel og andre planer

Han kortlagde også en e-handelsplatform og udtrak API-tokens og administrator-e-mails. Desuden fik han AI-vejledning til telefonisvindel over nettet (VoIP), blandt andet om at oprette et selskab og omgå opkaldsverificeringen STIR/SHAKEN. AI'en rådede ham til at blande cirka 70 % lovlig trafik med 30 % svindeltrafik. Ifølge Unit 42 var svindlen på planlægnings- eller tidligt opsætningsstadie, og der er ingen bekræftede aktive opkald.

Han arbejdede også med knækning af Wi-Fi-adgangskoder, kortlægning af de 500 største ETH-ejere og udvikling af værktøjer til at styre fremmede computere.

Unit 42's vurdering

Unit 42 vurderer, at AI fungerede som »on-demand criminal advisor«, så han kunne opnå operationel ekspertise gennem samtale. Firmaet har set flere indbyrdes urelaterede aktører bruge kombinationen Hermes og DeepSeek og vurderer, at den er ved at blive foretrukken blandt kriminelle. Begrundelsen er, at DeepSeek-modeller er billige, lette at få adgang til og lette at jailbreake.

Vurderingerne er sikkerhedsleverandørens egne, og analysen bygger på aktørens egne logs og testscripts, så billedet kan være ufuldstændigt. Unit 42 kunne ikke se opfølgende aktivitet mod kryptomålene.