Unit 42: автономный цикл атак жизнеспособен, но каждый подтверждённый успех был достигнут вручную

30 июля 2026 года подразделение Unit 42 компании Palo Alto Networks опубликовало расследование о китайскоязычном операторе, который встроил языковую модель непосредственно в сам цикл атаки: DeepSeek, работающий внутри Hermes Agent — открытого терминального агента от Nous Research — и получающий инструкции через Telegram. Оператор попытался атаковать более 460 целей и держал инструменты эксплуатации для семи треков уязвимостей, охватывающих восемь идентификаторов CVE. Почти ничего из того, что машина делала без участия человека, не привело к компромиссу — обе попытки автономной эксплуатации провалились на предварительных условиях, которые цели уже отключили. А вот то, что направлял человек, действительно дало результат: похищение данных из памяти трёх развёртываний Citrix NetScaler, подтверждённое выполнение команд на одиннадцати экземплярах Marimo notebook и работа в системе малайзийского государственного органа на протяжении нескольких дней подряд. Ни один пострадавший не назван ни в одном из цитируемых отчётов, а вся картина была восстановлена по собственным открытым серверам операторов. Полная запись с оценкой серьёзности по классификации архива и цитируемыми источниками проиндексирована в the Orca AI Incident Archive, вместе с соседними записями той же недели.

Как операция попала в поле зрения

Unit 42 не обнаружила эту кампанию. Собственный агент оператора выдал её. В ответ на команду Telegram Hermes Agent запустил HTTP-файловый сервер — python3 -m http.server 8888 — из домашнего каталога актора /home/worker, а не из изолированного промежуточного каталога. Одно поведение по умолчанию раскрыло рабочее пространство: конфигурации инструментов ИИ, ключи API, скрипты эксплойтов, списки целей, историю bash и журналы автономных сессий Hermes, которые Unit 42 позже использовала для пошаговой реконструкции цикла атаки.

Подразделение 42 (Unit 42) описывает эту утечку как непреднамеренную и отмечает, что в остальном злоумышленник не был небрежен: каталоги эксплойтов очищались после использования, а журналирование бесед в Codex было отключено, чтобы ограничить локальное хранение ответов. Инициатива по безопасности ИИ Cloud Security Alliance, которая анализировала то же раскрытие 4 августа 2026 года, сделала более острый вывод: оператор применял обычные профессиональные приёмы, но удобные настройки по умолчанию агентной платформы свели всё на нет за один шаг — и злоумышленники, переходящие на агентные платформы, наследуют их настройки по умолчанию вместе с их возможностями.

Кто является оператором, судя по имеющимся данным

Unit 42 называет актора только по псевдониму: knaithe и KnYuan. Оценка в отношении Чжухая опирается на активность на GitHub, в частности на то, что актор поддерживает 1DayNews — автоматизированный конвейер анализа уязвимостей, который агрегирует раскрытия об уязвимостях удалённого выполнения кода из 17 источников, в основном от производителей средств сетевого периметра, использует DeepSeek для фильтрации их на предмет возможности эксплуатации и рассылает оповещения через Telegram. В интервью Infosecurity Magazine 31 июля 2026 года Энди Пьяцца, старший директор по разведке угроз в Unit 42, описал этого же человека как «оппортунистического оператора эксплойтов и самопровозглашённого исследователя в области бинарной безопасности».

Ни в одном из двух упомянутых отчётов не содержится утверждений о государственной поддержке. В примечании CSA указано, что в раскрытых сведениях не выявлено индикаторов государственной поддержки, а ресурсное обеспечение и масштаб соответствуют картине, в которой один человек собрал наступательный рабочий процесс из стандартной модели рассуждений и общедоступного агентного фреймворка. Infosecurity Magazine сообщает, что цели кампании охватывали три страны, включая Китай и Малайзию.

Автономная половина: два продукта, два провала

Unit 42 восстановила один полный сеанс Hermes Agent, датированный маем 2026 года, и не смогла восстановить ввод оператора помимо начальной задачи. Согласно журналам, агент выбирает собственные цели и отказывается от них без указаний.

Всё началось с Langflow и CVE-2026-33017, CVSS 9,8. Он скачал публичный proof of concept с GitHub, перечислил 84 экземпляра Langflow через китайскую поисковую систему по активам FOFA, используя запрос title="Langflow", и обнаружил один, работающий на уязвимой сборке 1.3.4. Попытка провалилась, потому что уязвимость требует либо включённого auto_login, либо публичный flow ID, а у цели не было ни того, ни другого. Вердикт самого агента, цитируемый в отчёте: «Всем трём Langflow нужен публичный flow ID, но auto_login нет — застрял. Развёртываний мало (84 живых), эксплуатируемых, вероятно, 0. Искать уязвимости большего масштаба.»

Затем он сделал то, чего его инструкция не предусматривала. Он исследовал количество развертываний по десяти семействам продуктов на FOFA, искал на GitHub популярные репозитории proof-of-concept для CVE 2026 года, отсортированные по звездам, и ранжировал кандидатов по серьезности, масштабу распространения и эксплуатируемости, прежде чем остановиться на n8n — что обосновал в журнале 258 звездами proof of concept и оценкой CVSS 10.0. По данным FOFA, n8n насчитывает 647 017 экземпляров по всему миру, 25 209 из них в Китае.

Цепочка n8n состояла из CVE-2026-21858 — произвольное чтение файлов с оценкой CVSS 10,0, исправлена в 1.121.0, а также CVE-2025-68613 — обход песочницы, ведущий к удалённому выполнению кода, с оценкой CVSS 9,9, исправлена в 1.120.4. Агент сам проверил диапазоны версий — «CVE указывает, что исправлено в 1.121.0 для AFR и в 1.120.4+ для RCE. Значит, v1.117.3 уязвима для обеих!» — затем выбрал примерно 100 адресов из 25 209, проверил около 40 из них и обнаружил три, работающих на уязвимых версиях: 1.18.0, 1.117.3 и 1.108.2.

Все три потерпели неудачу по одной и той же причине. Для эксплуатации нужна форма без аутентификации с загрузкой файлов, а формы, до которых он добирался, требовали аутентификации. Агент сказал об этом в журнале — «В этих формах включена аутентификация. Проверю другие цели» — проверил ещё более 50 китайских целей, не обнаружил общедоступных форм и остановился. Восстановленный сеанс на этом заканчивается. Unit 42 вообще не фиксирует эксплуатации в рамках автономного трека.

Где на самом деле проявился вред

Все подтверждённые воздействия в записи были получены в рамках ручного трека, выполнявшегося по стандартным рабочим процессам: перечисление FOFA, собственные сканеры на Python и прямая эксплуатация.

• Citrix NetScaler ADC и Gateway, CVE-2026-3055, CVSS 9.8 — данные похищены у трёх организаций. Unit 42 сообщает, что в трёх успешных случаях данные из памяти были извлечены с помощью чтения за границами буфера и что затем злоумышленник искал в похищенном содержимом файлы cookie аутентификации NetScaler (NSC_AAAC=), что указывает на захват сессии, а не на кражу ради самой кражи.

• Государственная структура в Малайзии — подвергалась настойчивым целевым атакам и эксплуатировалась на протяжении нескольких дней, с тем, что Unit 42 называет параметрами «подготовки памяти» (memory grooming) и максимальным числом попыток чтения, а при последующих посещениях была добавлена анонимизация через прокси. Это единственная цель, которую в отчёте рассматривают как демонстрирующую намерение, выходящее за рамки оппортунизма.

{{1}}Marimo notebooks{{/1}}, {{2}}CVE-2026-39987{{/2}}, {{3}}CVSS 9.8{{/3}} — {{4}}подтверждено выполнение команд на 11 экземплярах{{/4}}.

• Apache Tomcat, CVE-2026-34486, CVSS 7.5 — попытки reverse-shell на девяти серверах.

• Windows IKE VPN, CVE-2026-33824, CVSS 9.8 — обратные вызовы reverse-shell, нацеленные на три конечные точки.

• PAN-OS User-ID Authentication Portal, CVE-2026-0300, CVSS 9.8 — публичное исследовательское доказательство концепции было клонировано и так и не запущено. Unit 42 обнаружила, что код неработоспособен, а значения-заполнители не позволяют добиться выполнения.

Важны два ограничения. Жертвы не названы, поэтому личности трёх операторов NetScaler и малайзийского агентства не раскрыты. А Unit 42 сообщает, что изучила свидетельства массовой эксплуатации в отношении неизвестного числа хостов, которые фигурировали в файле, удалённом злоумышленником до анализа, — поэтому подтверждённое число является нижней границей, а не итоговым значением.

Что установлено, а что утверждается

Технические детали этого инцидента документированы на удивление хорошо для происшествия такого рода. Unit 42 изучает собственные конфигурационные файлы оператора, журналы сессий, списки целей и историю bash; список CVE, количество целей и сценарии отказов взяты из этих материалов, а не выведены из анализа сетевого трафика.

Атрибуция мягче. «Китайскоязычный», «базирующийся в Чжухае» и псевдонимы knaithe и KnYuan — это аналитические оценки, основанные на активности в GitHub, более старом личном блоге и конвейере 1DayNews. Ни обвинения, ни санкции, ни заявления правительства их не сопровождают, и ни один из цитируемых отчётов не называет пострадавшую организацию.

Одно утверждение о применении мер воздействия является пересказом из вторых рук в самом отчёте. Unit 42 передаёт, что сотрудники OpenAI подтвердили: их средства защиты на стороне провайдера отклоняли запросы, нарушавшие политику, а продолжавшиеся попытки привели к тому, что их системы безопасности пометили и отключили учётную запись, которую, по их мнению, связывают с этой кампанией, ещё до того, как Unit 42 поделилась с ними своей разведынформацией. Это поставщик описывает собственное применение мер; Unit 42 не проверяла это независимо.

Об одном пробеле стоит сказать прямо: по состоянию на 30 октября 2026 года в ходе поиска материалов для этой статьи не обнаружилось ни одного публичного заявления правительства Малайзии, MyCERT или иного национального CERT об этой кампании. Hunt.io, второй цитируемый источник для этой записи, сообщает, что 6 июля 2026 года уведомил затронутые организации и соответствующие национальные CERT и придержал публикацию на семидневный срок раскрытия — но уведомление это ещё не публичное сообщение.

Два цитируемых отчёта расходятся во мнениях относительно Claude Code.

В этой записи цитируются два расследования вендоров, опубликованные с разницей в две недели, и в них описываются разные варианты распределения инструментов. Unit 42 в публикации от 30 июля закрепляет выполнение за Hermes Agent, где DeepSeek выступает в качестве механизма рассуждений, а Claude Code рассматривает как пробный вариант. Восстановленная история — это десять записей в трёх сеансах, содержащих проверки /model, тесты подключения и один запрос npm install, которые использовались для проверки подключения и валидации прокси. Codex показывает признаки использования в каталогах разработки эксплойтов, но его журналы чатов не сохранились; на Qwen Code приходится два сеанса. Unit 42 интерпретирует этот разброс как оператора, совершающего выбор на рынке ИИ: западные инструменты он направляет через прокси по адресу code.newcli[.]com, а к DeepSeek и Qwen обращается напрямую через их нативные конечные точки API.

Hunt.io, опубликовавшая 14 июля данные из открытого каталога, который она обнаружила по адресу 112.213.124[.]132 на порту 8888, описывает обратную схему: Claude Code 2.1.165 как исполнительный механизм в постоянных сессиях с 8 по 12 июня 2026 года, а под ним DeepSeek-v4-pro выполняет рассуждения, и восстановленный файл CLAUDE.md, предписывающий Claude Code создавать, тестировать и итеративно дорабатывать клонированные фишинговые страницы.

Оба отчёта описывают агентский фреймворк, оставленный в режиме обслуживания каталога на порту 8888. В них фигурируют разные наборы жертв: подтверждённые вторжения Hunt.io — в Афганистане, Таиланде и на Тайване, причём фишинг был организован против двух государственных органов США; подтверждённые жертвы Unit 42 — три неназванных оператора Citrix и малайзийская государственная структура, причём автономное зондирование было направлено в основном на китайскую внутреннюю инфраструктуру. Ни один отчёт не ссылается на другой, и ни архив, ни один из вендоров не опубликовали сверку. При совместном чтении они подтверждают один вывод, а не два: в июне и июле 2026 года в среде этого оператора велась работа по вторжению с участием LLM. Какая модель занимала какое место в стеке — и описывают ли два отчёта одного оператора или двух — опубликованными материалами не установлено.

Что изменилось после

Поскольку раскрытие дало доказательства, наиболее конкретное изменение касается не жертв, а действующего лица. Unit 42 сообщает, что передала результаты членам Cyber Threat Alliance, а на её странице стоит отметка об обновлении от 11 августа 2026 года — через двенадцать дней после публикации. Для клиентов Palo Alto она перечисляет правила анализа поверхности атаки Cortex Xpanse для открытых наружу Langflow, n8n и устройств Citrix ADC, а также набор сигнатур Threat Prevention.

Для уязвимых продуктов исправления появились раньше, чем началась кампания. n8n выпустила версии 1.120.4 и 1.121.0 с исправлениями для двух уязвимостей ещё до восстановленной сессии, и агент сам определил эти границы версий по самим рекомендациям. В заметке CSA от 4 августа рекомендуется, чтобы операторы NetScaler, подверженные CVE-2026-3055, сменили файлы cookie аутентификации сеансов NSC_AAAC и проверили аутентифицированные сеансы на предмет аномалий, поскольку злоумышленник явно охотился за этим cookie; кроме того, всем, у кого есть подозрение на подверженность уязвимости Marimo, следует исходить из того, что выполнение команд уже могло произойти.

Каталог CISA Known Exploited Vulnerabilities, просмотренный напрямую 30 октября 2026 года, показывает, насколько эта информация была публичной ещё до того, как о ней сообщили: CVE-2025-68613 был добавлен 11 марта 2026 года, CVE-2026-33017 — 25 марта, CVE-2026-3055 — 30 марта, CVE-2026-39987 — 23 апреля, а CVE-2026-0300 — 6 мая; все — до публикации Unit 42. CVE-2026-34486 появился следом 4 августа, а CVE-2026-33824 — 18 августа. CVE-2026-21858 — связанная с n8n часть неудавшейся автономной цепочки, отвечающая за чтение файлов, — в каталоге вообще не фигурирует.

Почему маржа — это и есть находка

Вывод Unit 42 состоит не в том, что кампания увенчалась успехом, а в том, что она почти преуспела. Эксплуатация была остановлена конфигурацией на стороне цели — отсутствием auto_login и аутентифицированными формами, — и в отчёте утверждается, что «цели с более слабыми конфигурациями по умолчанию были бы уязвимы». Общая оценка такова: автономные циклы атак операционно жизнеспособны, а запас до неудачи был небольшим.

Независимая интерпретация CSA указывает на ту же асимметрию под другим углом: автономная разведка и триаж масштабировались гораздо легче, чем автономная эксплуатация, а подтверждённые результаты, пригодные для превращения в оружие, зависели от работы под руководством человека, надстроенной над разведкой агента. Обе интерпретации охватывают кампанию одного оператора. В записи нет утверждения, что автономный цикл уже самостоятельно захватил систему.