Дослідники виявили атаку на бразильську систему соціального забезпечення, у якій зловмисники використали автономного ШІ-агента Manus AI. Він допомагав аналізувати скомпрометоване середовище, збирати облікові дані та викрадати цифрові сертифікати.
Атака була спрямована на системи INSS — установи, що адмініструє пенсії, лікарняні, виплати у зв’язку з материнством та інші види соціального забезпечення.
Викрали дані 40 держслужбовців
За даними дослідників Cybernews, зловмисники отримали 375 пар логінів і паролів, які належали 40 працівникам INSS, Dataprev та Previdência.
Для доступу до однієї з машин INSS використали вже відомі слабкі облікові дані та Windows Remote Management. Далі Manus AI допомагав нападникам аналізувати систему та шукати цінну інформацію.
Під загрозою могли опинитися дані 214 млн бразильців
Окремо зловмисники викрали цифрові сертифікати ICP-Brazil A3, які використовуються для автентифікації та цифрових підписів у державній інфраструктурі.
Дослідники також виявили підміну сертифіката центру сертифікації. Це потенційно дозволило атакувальникам перехоплювати та змінювати частину вебтрафіку держслужбовців за схемою man-in-the-middle.
Ця можливість була використана проти VPN-панелі Dataprev. Коли співробітники намагалися увійти до системи, їхні облікові дані могли перехоплюватися через контрольований зловмисниками HTTPS-проксі.
ШІ як інструмент для атаки
Manus AI працював на сервері керування, розміщеному в Google Cloud Platform, а після його блокування зловмисники розгорнули резервну інфраструктуру в Microsoft Azure.
Дослідники виявили на сервері файл Agents.md з інструкціями для Manus AI та описом поточного стану кампанії. Сам агент використовувався для автоматизованого аналізу скомпрометованої машини та пошуку потрібних даних.
Якщо б атака завершилася повністю, зловмисники потенційно могли отримати доступ до систем із персональними даними понад 214 млн бразильців. Це створило б ризик масштабного шахрайства із соціальними виплатами, кредитного шахрайства та крадіжки особистості.
Дослідники повідомили про інцидент бразильський CERT та звернулися до INSS.