Singaporelainen tietoturvayhtiö CloudSEK julkaisi keskiviikkona 11. marraskuuta raportin vakoiluoperaatiosta. Uutistoimisto Reutersin mukaan yhtiö sai tiedot palvelimelta, jonka hakkerit olivat vahingossa jättäneet avoimeksi internetiin.

Reutersin mukaan CloudSEK sanoo ryhmän vieneen Tadžikistanista yli 2 000 kansalliseen turvallisuuteen liittyvää asiakirjaa. The Times of Central Asia kertoo raporttiin viitaten, että asiakirjat olivat kulkeneet Tadžikistanin puolustusministeriön kautta. Niissä oli lehden mukaan esimerkiksi lentolupapyyntöjä, tietoja sotilashenkilöstön siirroista ja raportteja rakentamisesta raja-alueilla.

Agentti suunnitteli murron ja kirjoitti latausohjelman

Hyökkääjät käyttivät avoimen lähdekoodin Hermes Agentia. Se on harness eli agenttia ohjaava ohjelma, joka antaa mallille työkalut ja ajaa sen työvaiheet.

”Sen sijaan, että hyökkääjä olisi kirjoittanut hakkerointikomennot käsin, hän kertoi Hermesille, mitä tehdä. Hermes suunnitteli hyökkäykset, kirjoitti säännöt, ajoi ne, piti muistiinpanoja ja kirjoitti raportit”, CloudSEK kertoi Reutersille.

CloudSEKin mukaan hakkerit käyttivät Hermesiä tiedusteluun noin elokuun puolivälistä alkaen. Pari viikkoa myöhemmin he pääsivät Tadžikistanin sähköiseen asiakirjajärjestelmään, The Times of Central Asian mukaan erään rautatietyöntekijän käyttäjätilin kautta. Sen jälkeen agentti kirjoitti ohjelman, joka latasi, järjesti ja pilkkoi tiedostot osiin siirtoa varten.

Reutersin mukaan palvelimelta löytyi myös hakkereiden agentille kirjoittamat ohjeet siitä, miten sen pitää nähdä itsensä, toimia ja viestiä heidän kanssaan. ”Olet huippuluokan hyökkäävän tietoturvan asiantuntija ja red teamer”, ohjeissa luki. Red teamer on tietoturva-ammattilainen, joka testaa organisaation järjestelmiä jäljittelemällä salaisia hyökkäyksiä. The Times of Central Asian mukaan ohjeet käskivät agenttia toimimaan salassa.

Lähteet kuvaavat Hermesiä hyökkääjien työkaluna eivätkä kerro sen haavoittuvuudesta. CloudSEKin tulkinnan mukaan löytö osoittaa, että myös kehittyneemmät, vakoiluun keskittyneet hakkerit teettävät hyökkäyksiään tekoälyllä. Reuters on aiemmin kertonut rikollisten antavan murtoja tekoälyagenttien tehtäväksi.

Yhteys Kazakstaniin on arvio

CloudSEK yhdistää palvelimen Silent Lynx -ryhmään, jonka muut tutkijat ovat kytkeneet Kazakstaniin. The Times of Central Asian mukaan yhtiö arvioi suurella varmuudella palvelimen liittyvän ryhmään, koska työkalut muistuttavat aiemmissa hyökkäyksissä käytettyjä. Hyökkääjän se kytkee Kazakstaniin kohtalaisella varmuudella venäjänkielisten tallenteiden ja kazakstanilaisen kotitalousliittymän perusteella.

Reutersin mukaan CloudSEK löysi näyttöä siitä, että hakkerit työskentelivät Kazakstanin virka-aikaan. The Times of Central Asian mukaan saman olivat havainneet jo aiemmat tutkijat.

Lehden mukaan näyttö ei osoita, toimiko ryhmä Kazakstanin hallituksen puolesta. Kazakstanin ja Tadžikistanin viranomaiset eivät vastanneet heti Reutersin kysymyksiin.