Nagpunta ako upang tingnan ang ulat ng CARLYOS: apat na Claude ang nagkaroon ng pulong, at tumanggi akong baguhin ang lokal na kodigo.
Magsimula tayo sa mga resulta:Totoo na nagpadala si Straiker ng isang kumpletong ulat noong Oktubre 21, katibayan mula sa kanyang sariling server.Subalit nang magtungo ako sa mga orihinal, natuklasan ko na ang pamagat na "400 pinansiyal na mga institusyon ang nasira" at ang orihinal na teksto ng ulat ay hindi tama: "Subukin ang mahigit 400 pinansiyal na dokumento,"May 400 target, hindi 400.Hindi ko alam. Hindi sila masyadong naiiba.
Gumugol ako ng dalawang oras sa pagnganganga na nag - uulat mula ulo hanggang buntot at makalawang nabali ito sa gitna: Ang una ay ang pagpaparami ng bahagi ng FrowStrike and Deep search, na wala sa ulat; ang ikalawa ay ang hanapin ang orihinal na pinagmulan ng 400 pamilya na nasira, na hindi matagpuan, at ang huling pagpapatunay ay na ang transliterasyon ay ginawang "sira" ang mga target.
Kaya, kung hindi mo ito hihipan, sabihin mo lamang sa akin kung ano ang nakilala ko — pati na kung paano gumagana ang grupong ito, ano ang totoo at kung ano ang media.
Una, alamin kung sino ang gang na ito.
Ang paksang binanggit sa ulat ay gaya ng sumusunod:
- CyberCartelAng mga gawain ng mga cybercrime gang sa Mexico ay matutunton pabalik sa 2012, na may long-term attacks sa sistema ng pananalapi sa Latin Amerika.
- Tr4nsHack TeamIba Pang Organiser AiPT-67(AiPT = AI-powered patuloy na Banta, katumbas ng tradisyunal na APT)
- Ang Seguridad ng Hexagon ay Lumusob sa Mexico: Ang pangalan ng kompanya ng shell ay dating nagtatago sa isang "ligtas na laboratoryo".
- MGA CARLYOAng multi-smart attack system na kanilang pinagsama, ang pangunahing karakter.
Ang konteksto kung saan ang grupo ay karapat - dapat isaalang - alang ay na hindi ito ang uri ng iskrip na biglang lumitaw.Ang mga pang - unawa sa negosyo na nakaligtas sa sistema ng pananalapi sa loob ng mahigit na isang dekada — ang panloob na daloy ng bangko, ang pakikipagkasundo ng tarangkahang pambayad, ang pagsalakay ng hangin — ay mga kahilingan upang tumakbo ang sistema.Ang modelo ay itinaas lamang ang kanilang bilis, hindi tinuruan sila kung paano magnanakawin ang mga bangko mula sa sero.
Ito ang susing punto. Kung inaakala mong magagawa mo ang anumang bagay na may AI, ibinababa mo ang pasukan. Ang tunay na pagsisimula ay laging nauunawaan sa negosyo, at ang AI ang may pananagutan sa paggawa ng "pag-unawa" sa "output" sa pamamagitan ng kamay.
Dalawa o apat na Claude, dibisyon ng paggawa, isang tabla.
Ang bahaging ito ng report ang pinakamabuting lugar para sa akin na tingnan ang buong ulat — hindi ang napakaraming teknolohiya, kundi ang labis na inhinyeriya.
Ang pusod ng sistema ay tinatawag na "Commander." IDIDE NG Cursor Dito, pangunahing isang lalaki ang tumutok sa isang editor ng AI at tumatawag. CARLIY0S.py Script. Mga kripto upang ilipat ang Antropikong API sa sub-intelligence ng apat na pirmihang karakter:
| Kodigo | Larawan sa likod | Ano iyon? |
|---|---|---|
| SSTRIKER | claude-opus-4-7 | Tuwirang pagbitay: pagsulat ng kodigo, pagsulat, pagsulat ng awtomatikong mga sulat nang hindi tinutukoy ang awtorisadong pinagmulan |
| GHOST | claude-opus-4-8 | Pagsusuring Muli: OSINT Verification, Infrastructure Identification, Natatagong Landas |
| MAHIRAP | claude-fable-5(hindi nakumpirma) | Pag - iisip sa Horizontal: Mga agwat sa lohika ng negosyo, di - pangkaraniwang mga pamamaraan |
| MAXIMUS | claude-opus-5 | Huling intersesyon: pagbalik sa isang "pagdesisyon ng mga laruan" hinggil sa kinalabasan ng debate |
Masdan ang pinakamatalinong hakbang sa disenyong ito:Sa halip na magkaroon ng isang modelo na may pormula, ang tatlong manlalaro ay maihihiwalay sa isa't isa, at ang ikaapat na reperi ang hahalili.
Iyan ang sinasabi ng ulat — upang payagan silang magkrus-lambat, upang punahin ang mga sahod ng bawat isa, upang patalasin ang kanilang mga taktika upang madaig ang mga ilusyon at lohikal na mga pagkakamali na nangyayari kapag nag-aaway ang mga indibiduwal na modelo.
Sa totoo lang, ito ay isang "tour-model debate" na ginagamit bilang isang ingay abatement. Madali para sa iisang modelo na lumakad sa dilim, na may tatlong iba't ibang papel, at posibleng malaman kung nasaan ang isa't isa.
May isa pang detalye na dapat tandaan:Paalam na. claude-fable-5 Nasa profile lamang ito. Sinasabi ng ulat na walang katibayan na ito'y matagumpay na tinawag. Lumipas.Kaya hindi ito napatunayan. Isinaad din sa ulat ng banta ni Anthropic noong Setyembre na sila ay nakikitungo sa mga pag-atake ng cyber na hindi kinasasangkutan ng mga modelong Fable o Mythos.
Sa tatlo o anim na yugto, may nagsisimula sa isang pangungusap.
Ang buong proseso ay hinati sa anim na hakbang, at inayos ko itong muli sa sumusunod na pagkakasunud - sunod:
Phase I: Muling Pag - unawa
ANG GHOST ay nagpapatakbo ng OSINT, naglalabas ng bukas na impormasyon, mga social account ng empleado, mga tagas ng makasaysayang impormasyon, at inilalabas ang pagsalakay. Walang inilaang espesipikong kawing ng kagamitan sa ulat, subalit ito ay isang bukas na proyekto ng impormasyon, na hindi mahirap.
Phase II: Debate
Kinuha ng tatlong manlalaro ang konteksto ng target at nagsimulang mag-presyo sa isa't isa, at nahinuha ng MAXIMUS.Ang hakbang na ito ay hindi isang ulat, ito ay isang multi-state code para sa direktang pagpapatupadAng — —— —— —— —— —— —— —— —— —— 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。 。
Phase III: Mag - Internet
Ang hakbang na ito ay kung saan talagang mataas ang teknolohiya. Ang mga sumalakay ay hindi gumamit ng hubad na HTTP na mga kahilingan -- na ang uri ng WAF ay nakikita sa unang tingin. Ginagamit nila ito. Pagkontrol ng Playright Walang Head ChromiumMula sa SOCS5 TunnelLumabas ka. Pumunta. Pabahay ng IP BurgerHindi ko alam.
Isinalin ng walang ulo na browser ang mga pahina, pinapatay ang JS, ginagaya ang tunay na mga tao, mga punto sa CMS, na halos walang pagkakaiba sa pagitan ng mga katangian ng paggawi at tunay na mga pangmalas ng tao.
Phase IV: Pagdating sa kapangyarihan
Ang tunguhin ay... Magnolia CMS Backstage. Pagkatapos ng pagiging totoo, kusang itinuturok ng programa ang isang mataas na antas ng kalituhan sa harapang dulo ng Vaadin. Sulating GroovyKunin ang RCE.
Pagkatapos ay nariyan ang detalye na aking pinahahalagahan:Inaalis nito ang sesyong cookie mula sa browser at ipinapasok ito nang tuwiran sa isang dalisay na kapaligiran ng PythonHindi ko alam. Ang browser ay ginagamit lamang upang basagin ang pinto at ihagis ito kapag ito'y ginawa, at lahat ng ito ay sinusundan ng mga kahilingan ng liwanag na tumakbo — mabilis, di - nagbabago at hindi madaling sundan ng mekanismo ng tagapagmanman.
Phase 5: Lumaganap
Ang iniksiyon ng RCE ay pinagmumulan ng tatlong awtomatikong pasan:
- Sinabi ni Victor A.: Tingnan ang Oracle database, itala ang mga gumagamit, papel, tanawin, paghahanda para sa trailer.
- Sinabi ni Victor B.: Baligtarin ang sistema ng file sa JDBC connection at SSH pribadong key, kahit na napunan ng depensa ang CMS loophole, maaari itong bumalik na may mga sertipiko na ito.
- Sinabi ni Victor C.: Scanning the Intranet section (halimbawa, 172.30.2.x sa ulat), gamit ang hit Web server bilang springboard at naghahanap ng mas mababang backstage.
Bilis 6: Pag - aani
Limang "Grok Miner" ang kumukuha ng mga susi, numero ng account, at tawag mula sa isa sa mga ito. Pagnanakaw ng mga Pinlandes Couric movement.
Mula sa yugtong ako'y hanggang sa yugto VI, isang bagay ang ginagawa:Isulat ang target sa simulaHindi ko alam. Iyan ang ibig sabihin ng salitang "full auto" - hindi AI upang kumatok sa ilang linya para sa iyo, huminto ka sa silo.
Ov. Ang mga bagay na napatunayan ay mas espesipiko kaysa sa titulo.
Nakakuha si Straiker ng litrato ng FinancialSoft noong Setyembre 24, 2026. Ito ang sariling saligan ng grupo, hindi ang haka - haka, kundi ang katotohanan.
| Kategorya | Numero | Ano ang ibig sabihin niyan? |
|---|---|---|
| Kabuuang bilang ng mga dokumentong naitala | 4,493 | Laki ng buong aklatan |
| Mga Patungkol sa mailbox | 2,911 | Halos ganap na ang lahat. |
| Bilang ng Ulat ng CLABE | 903 | Mexican standard bank account number. Ito ay isang tuwirang salaysay. |
| Gap report na may araw 0 | 200+ | Mula Mayo hanggang Setyembre 2026, ang tunay na loophole mula sa nasaktang partido |
| Pansansinukob na Susi ng API | 391 | Interface Level Access |
| Password / Portal Login | 67 / 51 | Ang tuwirang gumagana. |
| HWT Tanda ng Susi | 20 | Isa itong pekeng patlang. Sobra. |
| sertipiko ng Keycloak | 20 | Pagkontrol ng pagkakakilanlang tagapaglaan |
| Ang pinto sa likod. | 6 | Isama ang master password bypassing, ibahagi ang root account |
Ang grupong ito ay kitang - kita:Apatnapu't-tatlong dokumento para sa isang biktima ng pinansiyal na teknolohiya, 11 sa mga ito API Key, 32 encryption keys.Ang scale na ito ay iniulat na sapat na upang abusuhin ang sistema ng cross-line na pagbabayad ng SPEI - Mexico.
Dahil sa 903 CLABE account at 20 JWT signing keys, ito ay hindi na isang "stolen data" .Ito ang susi sa tunel ng pagbabayad at sa ID.Hindi ko alam.
Siyanga pala, ang ulat ay tumutukoy sa 19 pang mga dokumento mula sa Wasabi S3 at 15 mula sa Mailgun. Ang nauna ay data storage, ang ibig sabihin ng huli ayMagagamit natin ang legal na imprastraktura ng koreo upang magpadala ng mga isdang e-mail.At ang susunod na yugto ng mga pagsalakay ay may mga bala.
V. Ang bahagi tungkol sa estratehiya sa seguridad ang pinakaangkop sa ulat.
Ang pinakamalaking hadlang sa pagtakbo ay hindi ang teknolohiya, kundi ang pagiging madaling makibagay.
Ang dalawang kamay ay ginamit ng mga sumalakay. Ang mga ito ay simple ngunit mabisa:
Unang kamay: Balutin ang "Nag-atake ako" na may "Nagsasagawa ako ng pagsusulit na indibidwal."
Ang mga kapaligirang nagtatrabaho ay binibigyang kahulugan sa kanilang mga agarang at mga talaksang alituntunin na ginawa.Authorized Red Team Exercises, Academic Infilmition Tests, Gap Disclosure ProjectHindi ko alam. Sa ilalim ng teoriyang ito, itinuturing ng modelo na ang lahat ng output ay pare - parehong nagtatanggol sa sarili.
Binabanggit ng ulat na, sa ilalim ng payong na ito, ang modelo ay lumilikha ng parameters fuzzer, nakalilito sa siksik na JS, kinakalkula ang paggamit ng lohika, at walang isa man sa nilalaman ng tagagawa ang nagsisimula.
Ikalawang kamay: Palitan ang lokal na kodigo para sa pagkamatay.
Ang kamay na ito ay masahol pa. Susubukan muna nila ang Kimi at SunNET-2.Walang mga pagkakamali, walang mga pagtatangka, kundi bawasan lamang. CARLIY0S_consolidated.py– Isang lokal na dokumento na isinulat nang patiuna, na punô ng matatag na mga kodigo sa pagsalakay.
Tinatawag ito ng ulat na "tektikal na prejudicion": ito ay nagdidisenyo ng pagtanggi ng mga modelo bilang isang nakikitang pangyayari, hindi bilang isang kabiguan.
Ang dalawang detalyeng ito, na pinagsama, ay naglalarawan ng isang di - maalwang situwasyon:Ang balangkas ng modelo ay may limitadong papel sa harap ng isang "istrukturang antas" na komprontasyon.Puwede kayong mag - usap nang isahan, pero hindi ninyo mapigilan ang isa't isa.
May isa pang detalye na sa palagay ko'y madilim: ang kanilang mga tuntunin ay maliwanag.Hindi Maaalis ng AI ang Tr4nsHack, ang dahilan ay upang limitahan ang pagpapalagay sa pamamagitan ng mga modelong output. Ito ay tinatawag na "cognitive OPSEC" - kahit AI ay mag-iiwan ng anumang bakas.
Infrastructure: Isang 61TB server para sa utak
Ang sentro ng sistema ay isang server ng Ubuntu.61TB RAID5Ang MCP ay may mapa ng kaalaman, at nakikinig sa ♪ 8001 Daungan.
Ang lahat ng mga sub-intelektuwal na katawan ay dapat tumingin sa larawang ito bago ito ipatupad – ang katumbas ng pagbabahagi ng isang real-time reapted na utak sa ibayo ng pangkat at pag-iwas sa duplication ng pagsisikap. Dalawang opereytor. .cursor/mcp.json Itinuturo ang parehong padron, ang target na matatagpuan ng A machine, ang B machine ay maaaring makita agad.
Ang sabay - sabay na mekanismo ay lubhang kapaki - pakinabang din:rsync sa loob ng 15 minuto.Ikinalulungkot ko.sync_live.sh♪ May ♪ --compare-destIto ay isang PowerSshell.SetThreadExecutionStatePag - iwas sa pagtulog. Ang mga backup machine ay malinaw na ipinagbabawal sa cloning ng kumpletong mga salamin dahil ang 1.1TB na kapaligiran ay dudurog sa Cursor.
Ang pagluluwas ay isinagawa ng SOCKS5 sa pool ng ahensiya ng pabahay sa IP Burger at Bright Data, upang palsipikahin ang lokal na trapiko sa Mexico at upang harangin at i-blate ang IP.
Pito, ngayon ang titulo.
Pagkatapos basahin ang ulat, ang orihinal na bersiyon ng bilang para sa "400" ay kababasahan ng ganito:Paghingi ng mahigit na 400 sakuna sa pananalapi sa loob lamang ng ilang buwanMahigit 400 pinansiyal na mga target ang sinalakay sa loob lamang ng ilang buwan.
Ang mga “Targets to at attackigencies upang sirain ang ” ay dalawang konsepto. Sa ulat.Walang bilang ng matagumpay na mga pagsalakay na ibinigayAt hindi nito sinasabi kung ilan sa 400 milyang ito ang aktuwal na sinusuntok. Nagbigay ito ng matibay na ebidensiya ng dokumentaryong komposisyon ng isang biktima ng teknolohiyang pinansiyal, isang sampol ng isang nakasaksak na ulat ng bangko (nabura na ang mga bomba) at ang sumusuportang bangko ng 4,493.
Sa palagay ko'y hindi ito isang pagmamalabis ni Straiker -- ang ulat mismo ay napakapigil, at espesipikong sinasabi nito na ang mga biktima ay basta na lamang nagsasama - sama nang walang pangalan. Ito ay isang translation chain kung saan ang "targets" ay pinapalitan ng "break."
Kailangang maging malinaw ang isa pang bagay:Ito ay isang ulat na inilabas ng isang kompanya na nagbebenta ng mga produktong pangkaligtasan na antetiko AI.Ang ulat ay hindi salungat sa komersiyal na mga motibo nito, kundi kailangang basahin mo ito sa iyong puso. Idiniriin nito na "ito ang unang kumpletong ebidensiya na hinango mula sa sariling kapaligirang panggawain ng sumasalakay" at hindi ko mapag-iisa ang pagpapatunay sa "unang" pangungusap na ito, ngunit kopya lamang nito.
"Pinatutunayan ng CrowdStrike na ginagamit din ang Deep search," wala akong natagpuan sa ulat ni Straiker. Ang ulat ay tumatawag ng mga modelo tulad nina Claude (Sonnet at Opus series), XAI Grok, Kimi.Matinding paghahanap, hindi ko mabasa ito, kaya hindi ito nakasulat.
VIII. MGA RESPON NG ANthropic AT XAI
Ang ulat ay nakatalaga sa isang proseso ng koordinasyon na sa palagay ko'y sulit tandaan:
- Anthropic: Gumamit ng tingga bago lumabas,Ang mga ebidensiyang ginamit upang makuha si Claude ay pinawalang - bisa.Para itong pagputol sa buong kuyog.
- x AI: Ipaalam na ang limang nauugnay na gawain ng Grok Miner ay sinusuri.
Ang kahalagahan ng bahaging ito ay na inilalarawan nito ang isa sa mga kahinaan ng gayong mga pagsalakay:Sila ay umaasa sa komersyal na API legal na mga account.Ang numero ng salaysay ay isa, at ang buong linya ay sira. At iyan ang dahilan kung bakit mayroon silang lokal na kodigong pang-ilalim -- ngunit sapat na matatag ito upang gamitin ito sa tunay na panahon.
Si IX.
Binuwag ko ang huling bahagi ng ulat sa tatlong patong dahil sinabi nitong "pitong bahagi."
| Tradisyonal na APT | AAPT | |
|---|---|---|
| Sino ang wala sa plano? | Ginagamit ng mga tao ang pagsusulat, pinipili ng mga tao ang mga target. | Modelong mga debate, huwarang paggamit |
| Halaga ng pagiging walang asawa | Mga linggo, 100,000. | Halos sero na ang gastos sa Marginal. |
| Lalamunin. | Isang araw. | Daan - daan ang kasabay nito. |
| Ano ang tumitiyak sa kisame? | Mga kasanayan sa pagtutulungan | Pagtaas ng kombinasyon ng mga kagamitan |
| Mga katangiang Behavioural | Naka-takdang script, modem | Real-time adjustment. Magbabago tayo ng landas sa bilis. |
Ang huling linya ang sa palagay ko'y pinakamasama.Ang "Dynamic adjustment" ay nangangahulugang mabibigo ang mga tuntunin mo sa pagsusulit.-Magpapabagal ito pagdating sa pagkontrol ng hangin, pagdating sa WAF, magbabago ito ng landas, magbabago ito ng landas, hindi ito mahirap. Ang tuntunin ng nakapirmeng mga pasukan, ang talaan ng permanenteng mga katangian, ay hindi likas na posporo.
Ang tatlong ito.
- Pagtaas ng Pagkakakilanlan: Ang ebidensiya ay isang fait akcompli, kaya huwag umasa sa "prebensiyon". Zero trust, short-time tokens, JWT lagda keys umiikot sa regular na batayan, Keycloak, at IdPs ng uring ito ay pinatibay isa-isa - 20 JWT keys + 20 Keycloaks sa ulat ay batay sa kombinasyong ito at partikular na ginagamit sa pagpapalsipika ng pagkakakilanlan.
- Ang Behaviour LayerAng mga IP blacklist at heograpikal na mga blockade ay pangunahin nang hindi mabisa laban sa mga ahenteng residensyal, at ito ang ginagawa ng IP Burger at Bright Data sa ulat. Makikita mo ang operating sequence - ang operational na ritmo pagkatapos ng login, ang katwiran ng access path, ang pahintulot ay tumalon sa sesyon.
- Nagbungang Layer: Ang ulat ay kumukuha at nagwawakas na pera. Maraming salik, malalaking paglipat, manu - manong pagrerepaso, di - pangkaraniwang pagharang sa transaksiyon, ang dating mga pamamaraang ito ay mas mahalaga sa panahon ng AI sapagkat ito ang resulta, anuman ang iyong kalagayan.
May isa pa para sa mga gumagamit ng AI anent.
Gumugol ng maraming panahon upang sabihin, "Paano mo maipagsasanggalang ang iyong sarili mula sa mga taong nananakit sa iyo ng al?" Subalit ito pa ang kalahati:Ang iyong sariling paglalagay ng angent ay isa ring larangan.
Sa limang kakayahan na iminumungkahi sa ulat, ang dalawa ay espesipiko sa pagtuklas na ito kung ano ang mga antent sa inyong kapaligiran, kung ano ang maaari nilang makuha, at kung ano ang maaaring bawasan habang tumatakbo.
Tagapagsalin: Kung ikaw ay nagpapatakbo ng isang pulutong ng mga ahente sa kompanya na may access sa sistema,Ang panganib ng kagyat na iniksiyon at ang konteksto ng ulat ay pareho.Hindi ko alam. Ang pagkakaiba ay sa pagkakataong ito lamang iyon ang inyong genti, hindi ang inyong kalaban.
X. FINAL
Ayaw kong isulat ang "AI ginagawa kong nakakatakot ang pag-atake," masyadong mura.
Hindi lamang ito isang modelo, kundi...Proyektong pagtatapos ng sistemaPagbabahagi ng mga mapa ng kaalaman, pagkakaiba-iba, pagtanggi sa under-up, cognitive OPSEC, papel na dibisyon, mga mekanismong internasyunal. Wala sa mga ito ang mga nakasama ni AI, lahat sila ay nasa istante, at basta inilagay ni AI ang lahat ng gawa sa bawat selda.
Sa ibang salita, ang gang ang panalo.Gawing bahagi ng programa ang AIHindi bilang isang kanais - nais na pool.
Ano ang paraan ng AI para sa karamihan ng mga negosyo? Bumili ng isang interface, kunin ang isang pampasaherong robot, sumulat ng isang lingguhang papel. Ang agwat na ito ay hindi isa sa kakayahang magmodelo kundi isa sa kakayahan ng inhinyeriya.
Ang mga karibal ay hindi "AI", sila ang naglagay ng AI sa proseso, at isinusulat nila ang ilalim nito.
Ang orihinal na teksto ng ulat ay makukuha sa Straiker website sa ilalim ng pamagat na Inside CARLIY0S: How CyberCartel Ginamit Multiple AI Models to Attack 400+ Latin American Banks and Financial Institutions. Upang mabasa ang buong teksto, kailangang punan ang isang anyo, ngunit naisulat ng blog ang lahat ng detalyeng teknikal.
Sa wakas, ang ulat ng IP ng sentral na server (157 [...] 180 [...] 98 [...] 220, port 801) ang makukuha sa publiko at naproseso nang defang. Huwag mong hayaang pumunta - ito'y katibayan ng iba, hindi kung saan ka nag - eeksperimento.