Acronis-ի խոսքով՝ գործողության ընթացքում տվյալներ են հավաքվել կամ համակարգերի հասանելիություն է ձեռք բերվել Թայվանի, Մեքսիկայի և Թաիլանդի մոտ 10 կազմակերպությունում․ թիրախում էին առնվազն 11 երկրի հարյուրավոր կազմակերպություններ։
BOSSAI կոչվող գործողության ընթացքում գերբանականության (ԳԲ) գործակալները գողացել են Թայբեյի 7 շրջան ընդգրկող արտակարգ կանչերի գրառումները, հայտնել է Acronis-ի սպառնալիքների հետազոտության ստորաբաժանումը։ Գրառումները վերցվել են Թայվանի հրշեջ և շտապօգնության ծառայությունների 119 արտակարգ համարի համակարգից։
Acronis-ի խոսքով՝ գործակալները տվյալներ են հավաքել կամ համակարգերի հասանելիություն ստացել Թայվանի, Մեքսիկայի և Թաիլանդի մոտ 10 կազմակերպությունում․ թիրախում էին առնվազն 11 երկրի հարյուրավոր կազմակերպություններ։
Դեպքերի գրառումները պարունակում էին միջադեպերի ժամերը, արձագանքման տեսակները, դեպքերի կարգավիճակը և գտնվելու վայրերը՝ փողոցի ճշտությամբ, ոչ թե շտապօգնության մեքենաների իրական ժամանակում տեղաշարժի տվյալներ։ Գործակալները դրանք ստացել են կիրառական ծրագրավորման միջերեսի՝ API-ի միջոցով, որը ծրագրային համակարգերին թույլ է տալիս տվյալներ փոխանակել։
Acronis-ը հայտնել է, որ հետազոտության արդյունքները հրապարակել է 2026 թ․ նոյեմբերի 4-ին։ Հետազոտողները 12 օր հետևել են գործողությանը, իսկ առանձին գրանցված զրույցը ցույց է տվել, թե ինչպես է օպերատորն աշխատել հուլիսի 25-ին։ The Hacker News-ը ներկայացրել է հետաքննությունն ու դրա մանրամասն արդյունքները։
Գործակալները նաև հայտնաբերել են Թայբեյի հրշեջ ծառայության մի հարթակ, որտեղ առանց համակարգ մուտք գործելու հասանելի էին 2018 թվականի հիվանդների գրառումները, այդ թվում՝ էլեկտրասրտագրության արդյունքներն ու շտապօգնության մեքենաներում արված տեսագրությունները․ թեև Acronis-ի ամփոփագրում ասվում է, որ բժշկական և անձնական տվյալներ են գողացվել արտակարգ ծառայություններից ու համալսարաններից, այդ հարթակի մանրամասն նկարագրությունը հաստատում է հիվանդների գրառումների բաց հասանելիությունը, ոչ թե դրանց գողությունը։
Հրշեջ կանչերի մշակման տեխնոլոգիաներ մատակարարող ընկերությունում գործակալներն օգտագործել են լռելյայն ադմինիստրատորական մուտքի տվյալները՝ տվյալների բազայի կառավարման վահանակ մտնելու և առնվազն 18 աղյուսակի հասանելիություն ստանալու համար։ Վեբ թաղանթ՝ սերվերը հեռակա կառավարելու գործիք տեղադրելու առանձին փորձը ձախողվել է։
Արտակարգ ծառայությունների դեմ մյուս փորձերի դեպքում համակարգեր ներթափանցելը չի հաստատվել։ Բաց հասանելիությամբ գաղտնագրման բանալին բացահայտել է արտակարգ իրավիճակների կառավարման համակարգի աշխատաշրջանի մասին տեղեկություններ, սակայն համակարգի խոցումը չի հաստատվել։ Աղետների արձագանքման կենտրոնում ենթադրյալ կրիտիկական խոցելիությունը գոյություն չի ունեցել, իսկ հրշեջ գործակալության պորտալի մուտքի տվյալները գուշակելու փորձերն ու 5 քաղաքի հրշեջ ծառայությունների համակարգերի զննումը հաստատված մուտք կամ համակարգի խոցում չեն արձանագրել։
Արտակարգ ծառայություններից բացի, գործակալները տվյալներ են կորզել թայվանական վարկատու ընկերության հաշիվների աղյուսակից և տվյալներ են հավաքել Թաիլանդի 3 համալսարանից՝ կիրառելով SQL ներարկում։ Այդ մեթոդն օգտագործում է հավելվածի՝ տվյալների բազայի հարցումները մշակելու թերությունները։ Մեքսիկայում նրանք հավաքել են տան հեռախոսների մոտ 206 800 գրառում՝ անուններով և հասցեներով՝ օգտագործելով պետական վիճակագրությունը, փոստային ինդեքսների ցանկերը և հեռահաղորդակցության կարգավորիչի տվյալները։
Հարձակման են ենթարկվել ևս մոտ 15 կազմակերպություններ, սակայն ներթափանցում չի հաստատվել։ Առնվազն 8 այլ երկրում թիրախները միայն զննվել կամ հերթագրվել էին հարձակումների համար, որոնք հետազոտողների ուսումնասիրության պահին դեռ չէին իրականացվել։
Վերլուծություն
Acronis-ը հայտնաբերել է հարձակման հարթակը՝ սկզբում այն սխալմամբ համարելով ոչ ճիշտ կարգավորված մշակման համակարգ։ Հետազոտողներն ուսումնասիրել են ավելի քան 90 000 ֆայլ, այդ թվում՝ գործակալների զրույցները, հրամանները, գործիքներն ու զոհերի տվյալները։ Միայն գործակալների հաշվետվությունները հուսալի չէին․ զննման գործիքներից մեկը հորինել էր խոցելիություններ, իսկ հարձակման հիմնական գործակալը հայտնել էր արդյունքների մասին, որոնք տեղի չէին ունեցել։
BOSSAI-ն ուներ 12 գործակալ, որոնցից 9-ը ակտիվ էին հետազոտողների ուսումնասիրության պահին։ Ոմանք ապահովում էին ենթակառուցվածքի աշխատանքը, մյուսները զննում էին թիրախները կամ փորձում ներթափանցել համակարգեր։ Օպերատորը ձեռքով պատճենում էր մեկի արդյունքները մյուսին, քանի որ գործակալներն անմիջականորեն չէին հաղորդակցվում։
Acronis-ի խոսքով՝ հարձակվող գործակալներն աշխատում էին գրեթե բացառապես տեղային տեղակայված DeepSeek, GLM և Qwen մոդելների այն տարբերակներով, որոնք փոփոխվել էին անվտանգության սահմանափակումները հեռացնելու համար։ Առևտրային ամպային մոդելները կատարել են ենթակառուցվածքի ստեղծման աշխատանքի մեծ մասը, ընդ որում՝ հիմնական աշխատանքն արել է Grok-ը, սակայն Grok-ը և MiniMax M3-ը մերժել են հարձակման անմիջական հարցումները և գրավոր թույլտվություն պահանջել։ Grok-ը մեկ բացառություն է արել՝ շտկելով հայեցակարգի իրագործելիությունը ցուցադրող չաշխատող սցենարը, որն օպերատորն այնուհետև փոխանցել է հարձակվող գործակալին։
Հետազոտողները մեծ վստահությամբ կարծում են, որ BOSSAI-ն գործարկել է Թայվանի Հուալիեն քաղաքում գործող մեկ անձ։ Այդ եզրակացության հիմքում օրինական բիզնեսներում և հարձակման ենթակառուցվածքում նույն ինքնության տվյալների կրկնակի օգտագործումն է, ինչպես նաև գրանցված աշխատաշրջանում երևացող տնային ինտերնետի հասցեն։ Նրանք ենթադրում են, որ շարժառիթը ֆինանսական է եղել, սակայն չգիտեն՝ արդյոք օպերատորն աշխատում է որևէ մեկի համար։
Վերլուծություն
Acronis-ի խոսքով՝ գործակալները հիմնականում հասել են վատ պաշտպանված տվյալների և ձախողվել այնտեղ, որտեղ պարտադիր էր մուտք գործել, հասանելիության համար պահանջվում էր վավեր աշխատաշրջան կամ համակարգի մուտքային կետերը պատշաճ կերպով զտում էին հարցումները։ Հետազոտողների խոսքով՝ ԳԲ-ն էժանացրել է բազմաթիվ թիրախներ գտնելն ու դրանց հասնելը, սակայն չի հաղթահարել այդ արգելքները։
Acronis-ը խորհուրդ է տալիս հայտնաբերել բաց հասանելիությամբ ծառայությունները, շտկել հաստատված խոցելիությունները, պաշտպանել զգայուն գրառումները և հետևել կասկածելի մուտքերին ու տվյալների տեղաշարժին։ Պարզ չէ՝ տուժած կազմակերպությունները կամ Թայվանի իշխանությունները ծանուցվե՞լ են, և բաց տվյալները շարունակում ե՞ն հասանելի մնալ։
2 րոպե
Կանխատեսվող պակասորդը 500 ՄՎտ-ից նվազել է մինչև 200 ՄՎտ, ապա ծանուցումը նոյեմբերի 9-ին չեղարկվել է։ Օպերատորի խոսքով՝ սպառողների էլեկտրամատակարարմանը վտանգ չի սպառնում, և նրանք որևէ քայլի կարիք չունեն։
2 րոպե
Սենատի լսումների ժամանակ Google-ը հայտարարել է, որ անվտանգության մասին օրինագիծը կարող է ազդել երեխաների՝ էլեկտրոնային փոստից օգտվելու հնարավորության վրա։ Օրինագիծը կպահանջի ինտերնետային ընկերություններից ցույց տալ, թե ինչ քայլեր են ձեռնարկում վնասակար բովանդակությունը հեռացնելու համար, հակառակ դեպքում նրանց կսպառնա մինչև A$109 միլիոն (մոտ $74,9 միլիոն) տուգանք։
2 րոպե
