شبکه‌ی ۱۰٫۰۰۰ سروری که فعالیت مخرب هوش مصنوعی چین را پنهان می‌کند

شبکه‌ی «ایستگاه‌های انتقال» که فعالیت مخرب هوش مصنوعی چین را می‌پوشاند

پژوهشگران امنیتی بیش از ۱۰٫۰۰۰ سرور پروکسی شناسایی کردند که فعالیت مخرب هوش مصنوعی با منشأ چین را پنهان می‌کنند. شرکت Team Cymru این سرورها را «ایستگاه انتقال» (transfer station) می‌نامد: پروکسی‌های API که در محیط‌های سازمانی برای کش‌کردن پرس‌وجوها و کاهش هزینه‌ی توکن به کار می‌روند.

سازوکار سوءاستفاده

شبکه‌های مجرمانه از این سرورها برای پنهان‌کردن فعالیت حساب‌های هک‌شده، مخفی‌کردن موقعیت مکانی کاربر و راه‌اندازی سرویس‌های غیرقانونی — از جمله اپ‌های تولید تصویر برهنه — استفاده می‌کنند. این سرورها کشِ قانونی هوش مصنوعی را در میانه می‌ربایند و پرس‌وجوهای غیرمجاز را به آن تزریق می‌کنند.

نمونه‌گیری از ۱۰۰ سرور

بررسی ۱۰۰ سرور نمونه نشان داد بیشترِ ترافیک بازپخش‌شده از چین به سمت سرویس‌های هوش مصنوعی غربی است. بخشی از آن‌ها محدودیت‌های منطقه‌ای را دور می‌زنند و برخی حملات «تقطیر» (distillation) علیه آزمایشگاه‌های پیشرو اجرا می‌کنند.

چه کسی هزینه می‌دهد؟

بیشترِ این سرورها روی نرم‌افزارهای متن‌بازِ دروازه‌ی هوش مصنوعی اجرا می‌شوند و تأمین مالی‌شان از سوی ارائه‌دهندگان غیرقانونی است: فروشندگان پروکسی خانگی و فروشندگان حساب‌های به‌سرقت‌رفته.

مهم‌ترین نقض‌ها، هک‌ها و حوادث

اختلال گسترده‌ی BGP با منشأ ایران در بیش از ۱۰۰ کشور

یک سیستم خودگردانِ (AS) ایرانی باعث یک حادثه‌ی گسترده‌ی BGP شد که دسترسی اینترنت را در بیش از ۱۰۰ کشور تحت تأثیر قرار داد.

نشت اسناد فنی ۷۰ پروژه‌ی نیروی دریایی روسیه

گروه هکری اوکراینی Ukrainian Militant مستندات فنی بیش از ۷۰ پروژه‌ی نیروی دریایی روسیه را منتشر کرد؛ شامل جزئیات زیردریایی، ناوجنگی، سامانه‌های ناوبری و سونار.

ادعای ShinyHunters درباره‌ی نفوذ به FBI

گروه ShinyHunters ادعا می‌کند داده‌ی تقریباً همه‌ی مأموران و متقاضیان شغل FBI را دزدیده است. این گروه پورتال استخدام FBI را تخریب (deface) کرد و خواستار اصلاح یک هشدار امنیتی ظرف یک هفته شد، وگرنه داده‌ها را منتشر می‌کند.

نفوذ از راه اپ شخص‌ثالث در BigCommerce

پلتفرم تجارت الکترونیک BigCommerce از نفوذ به یک اپ شخص‌ثالث خبر داد. مهاجمان اعتبارنامه‌های دسترسیِ اپ Ribon را دزدیدند و بین ۱۳ تا ۱۷ سپتامبر اسکریپت مخرب به فروشگاه‌های آنلاین تزریق کردند؛ داده‌ی مشتریان چند فروشگاه افشا شد.

نقض داده در دانشگاه لودویگ ماکسیمیلیان مونیخ

این دانشگاه از یک حادثه‌ی امنیتی خبر داد که احتمال سرقت اطلاعات شخصی، مالی و بیمه‌ی درمانی دانشجویان را در بر دارد.

حکم دادگاه علیه برداشت انبوه داده‌ی لینکدین

دادگاهی در کالیفرنیا به شرکت‌های ProAPIs و Netswift دستور داد برداشت انبوه پروفایل‌های لینکدین را متوقف کنند؛ داده‌هایی که برای جمع‌آوری اطلاعات پروفایل و فعالیت کاربران استفاده می‌شد.

فناوری، هوش مصنوعی و حریم خصوصی

جریمه‌ی ۴۰۳ میلیون یورویی گوگل بابت داده‌ی موقعیت مکانی

کمیسیون حفاظت داده‌ی ایرلند گوگل را به‌دلیل نقض GDPR در مدیریت داده‌ی موقعیت مکانی ۴۰۳ میلیون یورو جریمه کرد. بر اساس این حکم، گوگل با پیچیده‌کردن تنظیمات حساب، کاربران را به اشتراک‌گذاری موقعیت مکانی سوق می‌داده است؛ تحقیقات شش سال طول کشید.

مشکل زباله‌ی الکترونیکی مراکز داده‌ی هوش مصنوعی

برآوردها می‌گوید مراکز داده‌ی هوش مصنوعی تا سال ۲۰۵۰ بین ۳۹۵ تا ۶۱۷ میلیون تن زباله‌ی الکترونیکی تولید می‌کنند — حجمی که اگر در کانتینر بگذاری، شش بار دور زمین می‌چرخد.

سلطه‌ی CDNهای آمریکایی بر ترافیک جنوب شرق آسیا

ارائه‌دهندگان CDN آمریکایی بیش از ۹۵٪ ترافیک جنوب شرق آسیا را در اختیار دارند.

قابلیت تشخیص جعل هویت در iOS 27

اپل قابلیت Impersonation Risk Detection را معرفی کرد که به کاربر اجازه می‌دهد داده‌هایی مانند تاریخچه‌ی دانلود، خریدها و آمار ایمیل و تماس را با اپ‌های شخص‌ثالث به اشتراک بگذارد تا کلاهبرداری‌های مهندسی اجتماعی شناسایی شوند.

Cloud Rebuild در ویندوز

مایکروسافت قابلیت Cloud Rebuild را معرفی کرد که نصب مجدد کامل سیستم‌عامل را بدون رسانه‌ی بوت و بدون نیاز به سیستم‌عاملِ سالم ممکن می‌کند.

دولت، سیاست و مقررات

پیشنهاد اتحادیه اروپا برای معافیت شرکت‌های AI از قواعد داده

ریاست دوره‌ای ایرلند بر اتحادیه اروپا پیشنهادی ارائه کرده که به شرکت‌های هوش مصنوعی دسترسی بی‌قیدوشرط به داده می‌دهد و عملاً آن‌ها را از قواعد GDPR معاف می‌کند — یعنی سلب حقوق حریم خصوصی شهروندان اروپایی. استرالیا هم معافیت‌های مشابهی در حوزه‌ی کپی‌رایت برای آموزش مدل‌ها دنبال می‌کند.

سازوکار پیشنهادی آمریکا برای اطلاع‌رسانی حوادث ایمنی AI به چین

آمریکا سازوکاری پیشنهاد داده تا حوادث ایمنی هوش مصنوعی را که ممکن است امنیت ملی را تهدید کند به چین اطلاع دهد.

برنامه‌ی CyberLEGION لهستان با ۳٫۵۰۰ شرکت‌کننده

نیروهای مسلح لهستان برنامه‌ای راه انداختند که متخصصان امنیت سایبری و دانشگاهیان را به ارتش وصل می‌کند؛ بیش از ۳٫۵۰۰ نفر برای آموزش و رزمایش ثبت‌نام کرده‌اند.

درخواست نمایندگان اروپا برای تحقیق درباره‌ی متا

نمایندگان پارلمان اروپا خواستار تحقیق درباره‌ی متا شدند؛ بیش از ۱۰۰ حساب اینستاگرام در جریان اعتراضات ضددولتی آلبانی تعلیق شده بود — موضوعی که به منافع تجاری خانواده‌ی ترامپ گره خورده است.

سایر تحولات

• اختصاص بیش از ۱٫۷ میلیون دلار از سوی NIST به هشت ایالت آمریکا برای رفع کمبود نیروی متخصص امنیت سایبری (NIST)
• طرح قانونی برای ارزیابی ساختار نیروی انسانی CISA، پس از کاهش یک‌سومِ کارکنان در دولت ترامپ (دفتر نماینده Walkinshaw)
• تقویت همکاری دفاعی کانادا و ژاپن، از جمله در حوزه‌ی دفاع سایبری (دولت کانادا)

دستگیری‌ها، جرایم سایبری و اطلاعات تهدید

انهدام پلتفرم فیشینگ EvilTokens

ائتلافی از شرکت‌های فناوری پلتفرم فیشینگ‌به‌عنوان‌سرویسِ EvilTokens را که از فوریه‌ی ۲۰۲۶ فعال بود از کار انداختند. مایکروسافت گزارش داد بیش از ۱۲٫۰۰۰ حساب ایمیل در سراسر جهان به خطر افتاده و برای سرقت داده و حملات BEC استفاده شده است. مایکروسافت دامنه‌ها و سرورها را ضبط کرد و پلیس بریتانیا دو مظنون را بازداشت کرد.

گروه Red Heron — بک‌دور روی Gitea، یوبیکوییتی، Zyxel و سرورهای AI

عاملی چینی‌زبان بک‌دورهایی را روی مخازن Gitea، تجهیزات Ubiquiti، سوییچ‌های Zyxel، سایت‌های وردپرسی و سرورهای هوش مصنوعی مستقر کرده است. GreyNoise این حملات را به سرقت داده با ابزارهایی که مدل زبانی سرهم کرده مرتبط می‌داند.

افشای اعتبارنامه‌ی ۱٫۷۸۷ سازمان بخش آب آمریکا

شرکت SpyCloud اعتبارنامه‌های به‌سرقت‌رفته‌ی ۱٫۷۸۷ سازمان بخش آب آمریکا را در فروشگاه‌های زیرزمینی شناسایی کرد.

هشدار بلژیک درباره‌ی حملات رله‌ی NFC

آژانس امنیت سایبری بلژیک درباره‌ی حملات رله‌ی NFC هشدار داد؛ مجرمان قربانی را وادار می‌کنند کارت خود را روی گوشی اسکن کند و رمز وارد کند تا تراکنش تقلبی انجام شود.

اعتراف کلاهبردار نیجریه‌ای به سرقت ۲٫۵ میلیون دلاری

اولامیده شانو به جرم کسب بیش از ۲٫۵ میلیون دلار از اخاذی جنسی و کلاهبرداری عاشقانه اعتراف کرد.

حملات زنجیره‌تأمین این هفته

• بدافزار در رجیستری Terraform (دو provider و دو ماژول Go) — نسخه‌ی Go از بدافزار npmِ Graphalgo با استفاده از Slack به‌عنوان C2 (Aikido)
• کمپین npm علیه توسعه‌دهندگان Twilio (ReversingLabs) و بدافزار کره‌ی شمالی در یک افزونه‌ی Laravel (SlowMist)
• چهار کمپین جاوااسکریپت مخرب برای ربودن کمیسیون‌های همکاری در فروش (Cloudflare)
• تحلیل CERT لهستان از حملات zero-day به روترهای MikroTik، با کمک عامل‌های مدل زبانی در پژوهش (CERT-PL)
• توزیع proxyware توسط Larva-25012 در پوشش دانلودرهای یوتیوب، ابزارهای متن‌باز و کرک نرم‌افزار (AhnLab)

گزارش‌های فنی بدافزار

Closed Quorum — نخستین ایمپلنت C2 کاملاً خودمختار مبتنی بر AI

تیم Cisco Talos تحلیل Closed Quorum را منتشر کرد؛ نخستین ایمپلنت فرمان‌و‌کنترل کاملاً خودمختار مبتنی بر هوش مصنوعی. آثار توسعه‌دهنده به پست‌هایی در انجمن‌های مجرمانه از سال ۲۰۲۵ مرتبط است.

PAYLOAD — باج‌افزار از راه Group Policy، بدون فایل اجرایی

کسپرسکی شیءهای خط‌مشی گروهی (GPO) مخربی را شناسایی کرد که قفل‌کننده‌ی صفحه را بدون هیچ فایل باینری مستقر می‌کنند و از شناسایی مبتنی بر فایل و فرایند می‌گریزند.

TASK#STOMP — بک‌دور پاورشلی با برداشت خودکار اسناد

این بک‌دور مبتنی بر PowerShell به‌صورت خودکار اسناد را جمع می‌کند، فایل‌سیستم را پایش می‌کند، رمز WiFi و محتوای کلیپ‌بورد را می‌دزدد، اسکرین‌شات می‌گیرد و فرمان‌های راه دور را از سرورهای C2 احراز هویت‌شده می‌پذیرد.

Vidar با مبهم‌سازی مبتنی بر ماشین مجازی

ابزار سرقت اطلاعات Vidar مبهم‌سازی مبتنی بر ماشین مجازی و رمزهای جریانی سفارشی را برای پنهان‌کردن رشته‌ها اضافه کرده است.

APT، جاسوسی سایبری و عملیات اطلاعاتی

کمپین Iranopasmigirim علیه مخالفان ایرانی

پژوهشگران کمپینی از ماه ژوئن شناسایی کردند که مخالفان ایرانی را هدف می‌گیرد و ابزار سرقت اطلاعاتی به نام ParsaStealer را روی دستگاه قربانیان مستقر می‌کند.

نفوذ چین به هفت کشور عضو اتحادیه اروپا

گروهی با پشتیبانی دولت چین به سازمان‌های کشتیرانی و دریایی در چهار کشور اروپایی و نهادهای دولتی در سه کشور دیگر نفوذ کرد؛ ابزار ورود، دستگاه‌های USB آلوده بود. در همین گزارش آمده که هکرهای ایرانی بخش حمل‌ونقل و به‌ویژه شرکت‌های هواپیمایی را هدف گرفته‌اند.

ارتباط کیت BlueMoon با سومین گروه APT چینی

شرکت Volexity کیت اکسپلویت BlueMoon را به گروه UTA0565 هم مرتبط دانست. این کیت با سوءاستفاده از دو zero-day کروم و یک zero-day ویندوز، بدافزار را از راه لینک‌های مخرب مرورگر مستقر می‌کند.

Operation Talked — اسکن اینترنت علیه صنایع دفاعی اوکراین

یک عامل روس از ژوئن ۲۰۲۵ اینترنت را برای یافتن اهداف در بخش دفاعی و هوافضای اوکراین اسکن می‌کرده است. شرکت SOCRadar به‌دلیل پیکربندی نادرست، بیش از ۸٫۴۰۰ فایل C2 لو‌رفته از این عملیات کشف کرد.

Storm-1516 علیه کشورهای بالتیک

گروه اطلاعات‌پراکنیِ روسی Storm-1516 کشورهای بالتیک را با روایت‌های ضد اتحادیه اروپا هدف گرفت و اوکراین را مسئول حوادث پهپادی معرفی کرد.

گزارش ۴۴ صفحه‌ای درباره‌ی Contagious Interview

شرکت Atlassian گزارشی ۴۴ صفحه‌ای درباره‌ی کمپین‌های بدافزاریِ «مصاحبه‌ی شغلی جعلی» کره‌ی شمالی منتشر کرد.

آسیب‌پذیری‌ها و پژوهش امنیتی

دو آسیب‌پذیری در حال سوءاستفاده در Check Point

Check Point یک آسیب‌پذیری پیمایش دایرکتوری (CVE-2026-93616) را در Security Management Server وصله کرد که اجرای اسکریپت دلخواه بدون احراز هویت را ممکن می‌کرد. آسیب‌پذیری دوم (CVE-2026-85102) در VPN سایت‌به‌سایت هم در حملات واقعی مورد سوءاستفاده است.

zero-day فعال در F5 BIG-IP

شرکت F5 یک zero-day در حال سوءاستفاده (CVE-2026-94127) را در Access Policy Manager وصله کرد که اجرای کد مخرب بدون احراز هویت را ممکن می‌کند؛ بهره‌برداری نیازمند پیکربندی خاصی از سیاست دسترسی و OAuth است.

zero-day در Arista VeloCloud Orchestrator

Arista یک zero-day (CVE-2026-93952) را وصله کرد که دسترسی بدون احراز هویت به توابع داخلی را ممکن می‌کرد.

دو آسیب‌پذیری D-Link با اکسپلویت عمومی

D-Link درباره‌ی دو آسیب‌پذیری با کد اثبات مفهوم عمومی هشدار داد: CVE-2026-86296 (سرریز پشته در DIR-822A) و CVE-2026-93958 (حملات از راه دور بدون احراز هویت روی R95).

ربودن توکن دستیار هوش مصنوعیِ متا

متا آسیب‌پذیری‌ای را وصله کرد که به مهاجم اجازه می‌داد توکن دستیار Muse را بدزدد و خود را جای کاربر جا بزند.

ربودن پهپادهای DJI از راه بلوتوث

عبدالرحمن یوسف آسیب‌پذیری بلوتوثی کشف کرد که اجرای فرمان روی رابط WiFi را بدون احراز هویت ممکن می‌کند و امکان تغییر پیکربندی و دسترسی به شبکه‌ی داخلی را می‌دهد. DJI پیش‌تر وصله کرده و حالا کد اثبات مفهوم منتشر شده است.

به‌روزرسانی‌های امنیتی این هفته

وصله‌های منتشرشده برای: Adobe، Arista، Atlassian، D-Link، Dell، Gigabyte، Oracle، Ubuntu

صنعت امنیت اطلاعات

گزارش‌های تهدید و روند

گزارش‌های منتشرشده‌ی این هفته: Databarracks، ENISA، Forescout، Internet Society، Microsoft

ابزارهای تازه

• CAIRN — جعبه‌ابزار Cisco Talos برای شناسایی و ردیابی آثار هوش مصنوعی در بدافزار (توضیح)
• cryptoptic — اسکنر فهرست‌برداری از توابع رمزنگاری در مخازن کد
• EntraTrace — مستندسازی رفتار ابزارهای تهاجمی در Microsoft Entra ID
• Altar — مدل هوش مصنوعی با وزن باز و کالیبره‌شده برای امنیت سایبری (توضیح)
• ویدئوهای کنفرانس Microsoft BlueHat 2026

منبع

Risky Bulletin — Network of 10,000 AI servers masks Chinese malicious activity