Исследователи обнаружили атаку на бразильскую систему социального обеспечения, в которой злоумышленники использовали автономного ИИ-агента Manus AI. Он помогал анализировать скомпрометированную среду, собирать учетные данные и похищать цифровые сертификаты.
Атака была направлена на системы INSS — учреждения, которые администрируют пенсии, больничные, выплаты по беременности и другие виды социального обеспечения.
Украдены данные 40 госслужащих
По данным исследователей Cybernews, злоумышленники получили 375 пар логинов и паролей, которые принадлежали 40 сотрудникам INSS, Dataprev и Previdência.
Для доступа к одной из машин INSS использовали уже известные слабые учетные данные и Windows Remote Management. Далее Manus AI помогал нападавшим анализировать систему и искать ценную информацию.
Под угрозой могли оказаться данные 214 млн бразильцев
Отдельно злоумышленники похитили цифровые сертификаты ICP-Brazil A3, которые используются для аутентификации и цифровых подписей в государственной инфраструктуре.
Исследователи также обнаружили подмену сертификата центра сертификации. Это потенциально позволило атакующим перехватывать и изменять часть веб-трафика госслужащих по схеме man-in-the-middle.
Эта возможность была использована против VPN-панели Dataprev. Когда сотрудники пытались войти в систему, их учетные данные могли перехватываться через контролируемый злоумышленниками HTTPS-прокси.
ИИ как инструмент для атаки
Manus AI работал на сервере управления, размещенном в Google Cloud Platform, а после его блокировки злоумышленники развернули резервную инфраструктуру в Microsoft Azure.
Исследователи обнаружили на сервере файл Agents.md с инструкциями для Manus AI и описанием текущего состояния кампании. Сам агент использовался для автоматизированного анализа скомпрометированной машины и поиска нужных данных.
Если бы атака завершилась полностью, злоумышленники потенциально могли получить доступ к системам с персональными данными более 214 млн бразильцев. Это создало бы риск масштабного мошенничества с социальными выплатами, кредитного мошенничества и кражи личных данных.
Исследователи сообщили об инциденте бразильскому CERT и обратились в INSS.