NorForge detaliază peste 20 de panouri Cairn expuse, folosite în atacuri informatice bazate pe IA

Pe 19 octombrie 2026, firma de cercetare în domeniul securității NorForge a publicat În interiorul Cairn, o investigație care a identificat peste 20 de panouri de control expuse public pentru cadrul Cairn de rezolvare a problemelor bazat pe IA, despre care se crede că sunt asociate unor activități de intruziune malițioase, motivate financiar. Panourile expuse oferă o imagine detaliată asupra modului în care actorii de amenințare aleg țintele, atribuie sarcini agenților autonomi, exploatează vulnerabilități și obțin acces persistent la sistemele compromise, a declarat firma.

Raportul a fost redactat de Snorre Fagerland, cercetător fondator la NorForge, o companie deținută de angajați, fondată în 2026, cu o companie-mamă din SUA, cu sediul în Palo Alto, și o filială operațională europeană. Deoarece panourile dezvăluie identitatea țintelor, vulnerabilități nedescoperite până atunci, secrete ale conturilor, chei API și starea compromiterii, NorForge a declarat că a redactat riguros datele extrase și că nu va divulga adresele panourilor până când acestea nu vor putea fi dezafectate. Firma a adăugat că a găsit expuse în același mod și numeroase operațiuni de tip red team aparent legitime, ceea ce le-ar putea pune în pericol clienții.

Cum au ieșit la iveală panourile

NorForge a declarat că și-a început căutările după ce Gambit Security a relatat, în septembrie 2026, despre o campanie infracțională de intruziune care viza piețe online și folosea cadre de lucru pentru IA, printre care Hermes, Strix și Cairn, instrumente ale căror interfețe web sunt adesea lăsate nesecurizate pe internetul public. Căutări rapide pe motoarele Shodan și Censys au scos la iveală gazde care rulau ceea ce păreau a fi cadre de lucru pentru IA, iar NorForge a spus că Cairn s-a dovedit a fi una dintre platformele cel mai neglijate. Scanările ulterioare au arătat că noi panouri deveneau accesibile într-un timp scurt, iar informațiile despre ținte, limba și instrucțiunile indicau că multe dintre ele erau legate de aceiași actori de amenințare.

În raportul intermediar din 22 septembrie 2026 al Gambit Security, firma a declarat că un operator motivat financiar a folosit Strix pentru căutarea vulnerabilităților, Cairn pentru exploatare autonomă de la un capăt la altul și Hermes pentru orchestrare, lansând numai între 10 și 15 septembrie 105 proiecte de atac și compromițând cel puțin 27 de companii, într-o activitate care datează din iulie 2026. Gambit a raportat că au fost sustrase peste 600.000 de înregistrări de carduri de credit încă valabile de la două companii, că scripturi de skimming al cardurilor au fost confirmate pe 19 site-uri și că au fost detectate peste 100 de alte site-uri infectate, împreună cu cercetătorul Varys. De asemenea, firma a raportat o analiză a costurilor operatorului, cu o medie de 25,46 USD pentru 101 de scanări finalizate.

În interiorul cadrului Cairn

NorForge descrie Cairn mai degrabă ca pe un motor de rezolvare a problemelor bazat pe stări decât ca pe un motor autonom de testare a penetrării. Fiecare sarcină este un proiect cu un punct de pornire numit origine și un obiectiv final prestabilit, iar cadrul avansează în cicluri de fapte (descoperirile agentului) și intenții (ce a decis să facă în continuare), toate publicate pe o tablă neagră internă proiectului, pe care operatorii umani o pot completa și cu indicii. Un graf ilustrativ al unui proiect, care viza un important comerciant online din SUA, a pornit de la origine și a ajuns la obiectiv, încheindu-se în starea pe care cadrul o înregistrează drept obiectiv atins: un webshell injectat în site. O sarcină a operatorului capturată de pe un alt panou deschis a dezvăluit secrete, printre care ceea ce NorForge a descris drept acces root la propriul depozit de date al atacatorului.

Trei grupuri de activitate

Cel mai mare grup, desemnat AIA0001, folosește limba chineză și cuprinde 14 panouri găzduite prin AS56594, Cgi Global Limited; NorForge consideră, cu un grad ridicat de încredere, că este malițios. Grupul are peste 1.100 de proiecte de atac, fiind de departe actorul expus cel mai activ identificat de firmă. NorForge a raportat că acesta vizează organizații aflate în principal în SUA, Japonia și Australia, aparent cu scopul de a obține acces persistent la infrastructura de comerț electronic și de plăți, pentru a o monetiza ulterior. Potrivit firmei, activitatea tuturor panourilor expuse părea motivată financiar, fără indicii evidente de intruziuni sponsorizate de un stat.

O sarcină automatizată tipică AIA0001, tradusă de NorForge, enumeră site-uri de cumpărături reale, confirmate, din patru țări (SUA, Canada, Japonia și Australia), cu un trafic cuprins între 200.000 și 1,5 milioane; acestea au fost validate în prealabil cu cadrul de automatizare a browserului Playwright de la Microsoft pentru a confirma că se pot plasa comenzi. Obiectivul declarat este identificarea executării de cod la distanță fără autentificare, cu priorități precum injecția SQL în pagina de autentificare, punctele finale fără autentificare, încărcarea fișierelor, deserializarea, ocolirea autentificării și preluarea conturilor; sarcina livrează un payload de tip shell pentru încărcarea fișierelor, nu un webshell care execută comenzi. NorForge a declarat că fluxul de alimentare se bazează pe automatizare extinsă, inclusiv pe un normalizator de domenii comun, dar cu erori, care elimină un „w” în plus din prefixul www, transformând „wholesale” în „holesale”; acest lucru a făcut ca panourile asociate să fie ușor de identificat.

Într-un scurt interval în care o gazdă AIA0001 a pornit un server web pe un port cu număr mare pentru testare în afara canalului principal, NorForge a explorat directorul unui proces worker al agentului și a inventariat instrumentele folosite, printre care Playwright și Chromium, payloaduri cu lanțuri de gadgeturi PHPGGC, o demonstrație de concept și un laborator de validare bazat pe Docker pentru vulnerabilitatea StyleSmuggler din Magento, identificată prin CVE-2026-75650, OWASP Amass, dnsrecon, instrumentul de fuzzing web ffuf, Nmap și lista de parole rockyou. O actualizare a unei sarcini a agentului a indicat că mediul containerului Kali fusese reutilizat dintr-un cadru de competiție Tencent tsec pentru teste de penetrare; NorForge a declarat că, aproape sigur, este vorba despre infractori care reutilizează instrumente existente și că nu există niciun motiv să se creadă că Tencent a avut vreo legătură cu operațiunea. Toate sarcinile AIA0001 observate au fost efectuate de un worker numit claudecode_deepseek-v4.1-flash, ceea ce, potrivit companiei, ar putea însemna că este vorba despre un mediu de execuție Claude Code care folosește modelul chinezesc DeepSeek 4.1 Flash, lansat în septembrie 2026.

În lipsa datelor reale privind utilizarea tokenurilor, NorForge a estimat costul mediu al unei sarcini AIA0001 la aproximativ 5 USD, incluzând proiectele nereușite care se încheie prematur, în timp ce proiectele care depășesc 1.000 de intenții și fapte ar putea costa peste 100 USD. Compania a subliniat că aceste cifre sunt foarte incerte și că valorile reale ar putea diferi semnificativ, dar a concluzionat că operațiunile sunt totuși relativ ieftine.

Un al doilea grup, AIA0002, folosește limba engleză în cele 10 panouri găzduite prin AS20473, The Constant Company, în majoritatea cazurilor pe instanțe VPS Vultr; grupul este evaluat cu un grad ridicat de certitudine ca fiind rău intenționat, deși există mai puțină certitudine în privința unor linkuri către panouri, iar multe dintre acestea au devenit inaccesibile de la începutul investigației. Operatorii discută deschis despre furtul de carduri de credit și criptomonede și despre încărcarea datelor furate pe gazde aflate sub controlul lor, includ în sarcinile lor date de conectare SSH la gazde de staging din infrastructura backend și adesea nu oferă instrucțiuni tehnice inițiale, în afară de directive precum „obțineți datele cardurilor de credit” sau „obțineți criptomonede”. Înregistrările proiectelor arată workeri numiți pi_openrouter_deepseek, ceea ce sugerează folosirea cadrului de agent de programare Pi cu modele DeepSeek prin OpenRouter, un gateway API terț pentru modele. Potrivit NorForge, țintele sunt în principal servicii de plată pentru comercianți, site-uri de plăți de pe piața gri și site-uri farmaceutice, inclusiv un site de carding în mod evident infracțional, iar mai multe site-uri comerciale africane sugerează că actorul ar putea avea sediul pe acel continent. Actorul folosește și Cairn ca motor de servicii cu scop general, de exemplu pentru a transfera fonduri între portofele cripto.

Un al treilea grup, AIA0003, expune un singur panou în care sunt listate 59 de proiecte, găzduite pe AS200019, AlexHost, și folosește exclusiv limba engleză. Printre ținte se numără atât site-uri de comerț electronic mai mici, cât și platforme comerciale americane de foarte mari dimensiuni, iar proiectele încep prin a pretinde că sunt evaluări autorizate, înainte de a deveni treptat explicite în privința obținerii accesului la shell, la panoul de administrare sau la baza de date. NorForge consideră, cu un grad scăzut de certitudine, că acest actor este rău intenționat și îl descrie ca fiind mai degrabă exploratoriu.

Compromiteri confirmate și rate de succes

NorForge a verificat o intruziune revendicată accesând URL-ul shell-ului consemnat într-o sarcină finalizată care viza un furnizor important de componente hardware; URL-ul găzduia un webshell activ pentru încărcarea fișierelor. Potrivit explicației agentului, intruziunea a fost posibilă datorită accesului neautorizat de scriere la un depozit de sesiuni memcached, combinat cu deserializarea nesigură a obiectelor PHP și cu un lanț de gadgeturi exploatabil în componente vechi din Zend Framework.

Pentru campaniile observate, NorForge a estimat o rată medie de succes de aproximativ 10%, multe dintre sarcinile rămase atingând doar parțial obiectivele sau colectând informații care puteau fi folosite în încercări ulterioare. În cazul sarcinilor AIA0001 care și-au atins obiectivele, timpul mediu de la începutul proiectului până la atingerea obiectivului a fost de puțin sub 23 de ore, iar fiecare proiect a generat în medie 140 de fapte, deși un proiect a durat mai mult de cinci zile. Compania a avertizat că aceste cifre reprezintă o imagine de moment, deoarece modelele și mediile de execuție evoluează foarte rapid.

Secrete expuse și eforturi de dezactivare

Rularea scanerului de secrete Trufflehog asupra datelor provenite de la instanțele Cairn expuse a identificat literalmente sute de secrete de diferite tipuri, de la unele relativ nesemnificative până la altele extrem de grave; 11% au fost confirmate ca valide, a raportat NorForge. Panourile păreau, de asemenea, complet neprotejate, expunând ceea ce părea a fi întreaga funcționalitate administrativă a mediului de execuție, inclusiv controale pentru pornirea și oprirea proiectelor, intervenția în operațiunile în curs, introducerea de date noi, redirecționarea agenților către alte ținte și repornirea proiectelor vechi; NorForge a declarat că nu a testat dacă aceste controale funcționează fără autorizare.

În concluzie, NorForge a declarat că, în goana după rezultate rapide, atacatorii își compromit propria securitate operațională și își expun țintele unei suprafețe de atac mult mai ample decât intenționau, în timp ce echipele legitime de tip red team riscă să colecteze secretele clienților și să le publice pe internetul deschis. Raportul se încheie cu șase studii de caz redactate, care acoperă un site australian de comerț electronic, compromiterea sistemului de punct de vânzare al unui restaurant, trei retaileri americani și un retailer japonez. NorForge a declarat că a validat unul dintre cazuri: compromiterea unui retailer american de foarte mari dimensiuni, în care agentul a identificat setarea unică a cookie-ului care selecta un server backend vulnerabil.

NorForge a declarat că lucrează împreună cu Reuters pentru a-i notifica pe cei care par să fi fost victime ale unei compromiteri și încearcă să determine eliminarea panourilor Cairn implicate; compania a precizat că acest demers depinde în mare măsură de modul în care furnizorii de găzduire răspund solicitărilor de eliminare. Firma a publicat indicatori de compromitere redactați pentru panouri și servere de pregătire și a declarat că va furniza, la cerere, lista integrală cercetătorilor legitimi în domeniul securității.