Tôi đi kiểm tra báo cáo của CARLYOS: Bốn người Claudes có cuộc họp, và từ chối thay đổi mật mã địa phương.

Hãy bắt đầu với kết quả:Đúng là Straiker đã gửi một báo cáo đầy đủ về ngày 21 tháng 10, bằng chứng từ máy chủ của hắn.Nhưng khi tôi tìm đến bản gốc, tôi phát hiện ra rằng cái tựa đề "400 tổ chức tài chính đã bị phá vỡ" và văn bản gốc của báo cáo không đúng: "Cuộc tấn công hơn 400 tài liệu tài chính,"Có 400 mục tiêu, không phải 400.Tôi không biết. Chúng không khác nhau.

Tôi đã mất hai giờ nhai báo cáo đó từ đầu này sang đuôi kia và lật nó hai lần ở giữa: Đầu tiên là sao chép một phần của đám đông Strike và DeepSek, không có trong báo cáo; thứ hai là tìm kiếm nguồn gốc của 400 gia đình đã bị phá vỡ, mà không thể tìm thấy, và sự xác nhận cuối cùng là sự chuyển đổi các mục tiêu thành "chia tay."

Vì vậy, nếu bạn không làm hỏng nó, chỉ cần cho tôi biết những gì tôi đã xác định — bao gồm cách mà nhóm này hoạt động, những gì là thực và những gì là truyền thông.

Đầu tiên, tìm xem băng này là ai.

Chủ đề được nêu trong báo cáo là:

• NameHoạt động của các băng nhóm tội phạm mạng ở Mexico có thể được truy ra từ năm 2012, với các cuộc tấn công dài hạn vào hệ thống tài chính Mỹ Latin.
• Tr4nsHack TeamBộ quản lý khác AiPT-67(AiPT = các mối đe dọa dai dẳng, tương ứng với AT truyền thống)
• NameTên của công ty vỏ bọc thường ẩn mình trong một phòng thí nghiệm an toàn.
• CALYOSHệ thống tấn công đa thông minh họ lắp ráp lại, nhân vật chính.

bối cảnh mà nhóm này xứng đáng được chọn ra là nó không phải là loại kịch bản mà đột nhiên xuất hiện.Sự hiểu biết về thương mại đã tồn tại trong hệ thống tài chính hơn một thập kỷ — dòng chảy nội bộ của ngân hàng, sự hòa giải của cửa ra vào, mục tiêu của gió — là điều kiện tiên quyết để hệ thống chạy.Mô hình vừa tăng tốc, không dạy họ cách cướp ngân hàng từ số 0.

Đây là điểm mấu chốt. Nếu bạn nghĩ rằng bạn có thể làm bất cứ điều gì với AI, bạn hạ thấp ngưỡng. Giới hạn thực sự luôn luôn được hiểu trong kinh doanh, và AI chịu trách nhiệm biến "hiểu biết" thành "bị loại bỏ" bằng tay.

Hai hay bốn người Claude, chia lao động, một tấm ván.

Phần báo cáo này là nơi tốt nhất để tôi xem xét toàn bộ báo cáo — không có quá nhiều kỹ thuật, nhưng có nhiều kỹ thuật.

Trung tâm của hệ thống được gọi là "Người chỉ huy." Môi trường phát triển tích hợp Về cơ bản, nó là một người đàn ông gõ vào một biên tập viên AI và gọi điện thoại. CARLIY0S.py Văn lệnh. Văn lệnh để chuyển Athipic API sang phụ thông tin của bốn ký tự cố định:

Bộ mã	Mẫu sau	Cái gì?
SRIKER	claude-opus-4-7	Thực hiện trực tiếp: viết mã, sử dụng chữ viết, ghi các văn lệnh tự động mà không cần tham khảo nền có thẩm quyền
GOST	claude-opus-4-8	Phân tích cấu trúc: OSINT Verification, nhận diện cấu trúc, đường mật
Fable	claude-fable-5(chưa xác nhận)	Suy nghĩ theo chiều ngang: khoảng cách logic kinh doanh, cách tiếp cận khác thường
MAXIMUS	claude-opus-5	Kết quả của cuộc tranh luận

Xem bước thông minh nhất trong thiết kế này:Thay vì có một mô hình đến với một công thức, ba cầu thủ sẽ được tách khỏi nhau, và trọng tài thứ tư sẽ tiếp quản.

Đó là những gì bản báo cáo nói - để cho phép họ kiểm tra chéo nhau, để chỉ trích các chuyến hàng của nhau, để mài sắc chiến thuật của họ để vượt qua ảo ảnh và những lỗi hợp lý xảy ra khi mô hình chiến đấu một mình.

Thành thật mà nói, đó là một "cuộc tranh luận đa mẫu" được sử dụng như một sự giảm thiểu tiếng ồn. Rất dễ dàng cho một mô hình đơn lẻ bước vào bóng tối, với ba vai trò khác nhau, và có thể tìm ra nơi ở của nhau.

Còn một chi tiết nữa để đánh dấu:Fablee, cái đó. claude-fable-5 Chỉ trong hồ sơ thôi. Báo cáo nói không có bằng chứng nó đã được gọi thành công. Cho qua.Vậy là chưa được chứng minh. Báo cáo đe dọa của Atropic vào tháng 9 cũng cho biết rằng họ đang đối mặt với các cuộc tấn công mạng mà không có liên quan đến Fable hay Mythos.

Trong ba hay sáu giai đoạn, ai đó bắt đầu bằng một câu.

Toàn bộ quá trình được chia thành sáu bước, và tôi sắp xếp lại theo thứ tự sau:

Giai đoạn thứ I:

GOST điều hành OSINT, lật ngược thông tin mở, các tài khoản xã hội nhân viên, thông tin lịch sử rò rỉ, và đưa ra các khuôn mặt tấn công. Không có chuỗi công cụ cụ cụ thể nào được cung cấp trong báo cáo, nhưng đây là một dự án thông tin mở, không khó.

Giai đoạn II: Nghị quyết

Ba người chơi lấy bối cảnh của mục tiêu và bắt đầu xịt thuốc lá cho nhau, và MAXIMUS đi đến kết luận.Bước này không phải là một báo cáo, nó là một mã đa bang để thực hiện trực tiếp-- --- --- --- --- --- --- -

Giai đoạn III:

Bước này là nơi công nghệ thực sự cao. Những kẻ tấn công không sử dụng những yêu cầu khỏa thân của HTTP -- loại WAF có thể nhìn thấy ngay từ lần đầu tiên. Họ dùng nó. Điều khiển máy phát nhạc không có đầu ChromiumTừ Đường hầm SOCS5Ra ngoài. Đi đi. Nhân viên nhà ở cho Burger IPTôi không biết.

Trình duyệt không đầu trình diễn trang, thực hiện JS, mô phỏng người thật, điểm trong CMS, hầu như không có sự khác biệt giữa tính cách hành vi và xem người thật.

Giai đoạn IV: Truy cập vào quyền lực

Mục tiêu là... Name Sân khấu hậu trường. Sau khi xác nhận được, chương trình sẽ tự động tiêm một mức độ nhầm lẫn cao vào đầu trước của Vaadin. Văn lệnh GroovyLấy RCE.

Và có những chi tiết tôi đánh giá cao:Nó gỡ bỏ cookie phiên chạy ra khỏi trình duyệt và chèn trực tiếp vào môi trường yêu cầu Python tinh khiếtTôi không biết. Trình duyệt chỉ được sử dụng để phá vỡ cửa và ném nó khi nó được thực hiện, và tất cả các yêu cầu ánh sáng để chạy — nhanh, ổn định và không dễ dàng theo sau bởi cơ chế phát hiện của trình duyệt.

Giai đoạn 5: Tản ra

Việc tiêm RCE gây ra 3 vụ tự động:

• Victor A.: quét cơ sở dữ liệu Nhà tiên tri, liệt kê người dùng, vai trò, xem, chuẩn bị cho xe moóc.
• Victor B.: Bật/tắt hệ thống tập tin tới kết nối JCBC và phím riêng SSH, ngay cả khi hệ thống phòng thủ đã lấp đầy lỗ hổng CMS, nó có thể trở lại với các chứng nhận này.
• Victor C.: Đang quét phần Intranet (chẳng hạn, 182.30.30x trong báo cáo), dùng máy chủ tấn công mạng làm bàn đạp và tìm hậu trường thấp hơn.

Giai đoạn 6: Mùa gặt

Năm "Grok Miner" lấy chìa khóa, số tài khoản, và gọi từ một trong số đó. Name Nước tiểu.

Từ giai đoạn I đến giai đoạn VI, một điều được thực hiện:Ghi mục tiêu ở đầuTôi không biết. Từ "đầy đủ ô tô" có nghĩa là -- không phải AI gõ vào một vài dòng cho bạn, mà là bạn bỏ cái vòng.

v. Những điều đã xảy ra còn cụ thể hơn cả tựa đề.

Straiker đã chụp hình "The FinancialSoft" vào ngày 24 - 9 - 2026. Đây là bằng chứng của nhóm, không phải suy đoán, mà là thực tế.

Loại	Số	Nghĩa là sao?
Tổng số tài liệu được ghi lại	4,493	Cỡ thư viện
Địa chỉ thư	2,911	Sắp đầy rồi.
Số tài khoản CLABE	903	Số tài khoản ngân hàng tiêu chuẩn Mexico. Đây là tài khoản trực tiếp.
Gap báo cáo trong ngày 0	200+	Từ tháng 5 đến tháng 9 năm 2026, lỗ hổng thực sự từ bên bị thương
Phím ADI chung	391	Truy cập cấp giao diện
Mật khẩu/ Đăng nhập cổng	67 / 51	Cái hoạt động trực tiếp.
Khóa ký JWT	20	Nó là vật kỷ niệm giả. Quá nhiều.
Chứng nhận Keycloak	20	Điều khiển cấp nhà cung cấp nhân dạng
Cửa sau trống.	6	Gồm khoá mật khẩu chủ, chia sẻ tài khoản chủ

Nhóm này có thể nhìn thấy rõ nhất:Bốn mươi ba tài liệu cho một nạn nhân công nghệ tài chính, 11 trong số đó là Khóa API, 32 phím mã hóa.Hệ thống thanh toán xuyên biên giới Mexico đã được báo cáo đủ để lạm dụng SPEI.

Với 903 tài khoản CLABE và 20 phím JWT, đây không còn là "dữ liệu ăn cắp".Đây là chìa khóa của đường hầm thanh toán và căn cước.Tôi không biết.

Nhân tiện, báo cáo nói đến 19 tài liệu khác từ Wasabi S3 và 15 tài liệu từ Mailgun. Cái trước là lưu trữ dữ liệu, cái sau nghĩa làChúng ta có thể sử dụng cơ sở hạ tầng thư từ để gửi email cá.Và vòng tiếp theo có đạn dược.

V. Phần về chiến lược an ninh là phần thích hợp nhất trong báo cáo.

Trở ngại lớn nhất cho việc chạy không phải là công nghệ, mà là sự bất lực trong mô hình.

Những kẻ tấn công dùng cả hai tay. Họ đơn giản nhưng hiệu quả:

Tay đầu tiên: bọc "Tôi đang tấn công" với "Tôi đang làm một bài kiểm tra cho phép."

Môi trường làm việc được định nghĩa trong tập tin quy tắc và thời điểm của họ đã được thực hiện.Một dự án quản lý kỷ luật GapTôi không biết. Dưới giả thuyết này, mô hình xem xét tất cả các đầu ra để phục hồi việc vận chuyển phòng thủ.

Bản báo cáo nói rằng, theo ô này, mô hình tạo ra các tham số fuzzer, nhầm lẫn nén JS, tổng hợp sử dụng logic, và không có bộ lọc nội dung s của nhà sản xuất được kích hoạt.

Tay thứ hai: thay đổi mã địa phương để chết.

Tay này tệ hơn. Họ sẽ cho Kimi và SunNET-2 thử trước.Không sai lầm, không cố gắng, chỉ cắt thôi. CARLIY0S_consolidated.py- Một tài liệu được viết trước, đầy mã tấn công.

Bản báo cáo gọi đây là "sự chuẩn bị chiến thuật" nó thiết kế sự từ bỏ mô hình như một sự kiện có thể thấy trước, chứ không phải là một thất bại.

Hai chi tiết này, kể lại cùng nhau, minh họa một tình huống không thoải mái:Khung hình của mô hình có một vai trò giới hạn trong việc đối mặt với một cuộc đối đầu về mặt cấu trúc.Bạn có thể làm cho một cuộc trò chuyện đơn lẻ từ chối trả lời, nhưng bạn không thể ngăn cản nhau đi theo hướng khác sau đó.

Còn một chi tiết nữa mà tôi nghĩ khá là tối: luật lệ của họ rất rõ ràng.Tắt chạy Tr4nsHackLý do là giới hạn quyền sử dụng thông qua các mô hình đầu ra. Thậm chí AI còn để lại dấu vết.

Cơ cấu: Máy chủ 61TB cho não

Trung tâm của hệ thống là một máy chủ Ubuntu.61TB RAID5♪ chạy bản đồ kiến thức MCP, lắng nghe ♪ 8001 Cảng.

Tất cả các cơ thể tri thức phụ phải nhìn vào bức ảnh này trước khi nó được thực hiện - tương đương với việc chia sẻ một bộ não cập nhật thời gian thực trên toàn đội và tránh sự cố gắng. Hai người điều khiển. .cursor/mcp.json Điểm cho cùng một mẫu, mục tiêu được tìm thấy bởi máy A, máy B có thể nhìn thấy ngay lập tức.

Cơ chế đồng bộ cũng rất hữu ích:Trong 15 phút.Tôi xin lỗi.sync_live.sh♪ With ♪ --compare-destLà PowerShell.SetThreadExecutionStatePhòng ngủ đông. Máy sao lưu rõ ràng bị cấm nhân bản toàn bộ gương vì môi trường 1.1TB sẽ nghiền nát con trỏ.

Việc xuất khẩu được thực hiện bởi SOCKS5 đến các cơ quan nhà đất tại IP Burger và Bright Data, để làm giả giao thông địa phương ở Mexico và để chặn và đen danh sách IP.

Bảy, bây giờ là tiêu đề.

Sau khi đọc báo cáo, phiên bản gốc của con số "400" đọc:Hỏi hơn 400 thảm họa tài chính trong vài thángHơn 400 mục tiêu tài chính bị tấn công trong vài tháng.

“ Những mục tiêu tấn công người ta và “các đặc vụ phá vỡ hệ thống này là hai khái niệm. Trong báo cáo.Không có số lần xâm nhập thành côngVà nó không nói bao nhiêu trong số 400 dặm thực sự đã được đẩy qua. Nó đưa ra bằng chứng cụ thể về thành phần tài liệu của một nạn nhân công nghệ tài chính, một mẫu báo cáo thâm nhập ngân hàng (số lượng đã bị xóa) và ngân hàng hỗ trợ 4.493.

Tôi không nghĩ đó là cường điệu bởi Straiker -- bản thân bản thân bản báo cáo này rất hạn chế, và nó nói rằng các nạn nhân đến với nhau ẩn danh. Đó là một chuỗi chuyển đổi mà "đầu mối" được thay thế bằng "chia tay".

Một điều nữa cần phải rõ ràng:Đây là báo cáo của một công ty bán các sản phẩm an toàn của CN.Báo cáo này không mâu thuẫn với động cơ thương mại, nhưng bạn phải đọc nó trong lòng. Nó nhấn mạnh rằng "đây là mảnh hoàn chỉnh đầu tiên được lấy từ môi trường làm việc của chính kẻ xâm lược" và rằng tôi không thể tự xác minh lời tuyên bố "đầu tiên", nhưng chỉ sao chép nó.

Tôi không tìm thấy gì trong báo cáo của Straiker. Bản báo cáo đòi hỏi phải có những người mẫu như Claude (Jinet and Opus), XAI Grok, Kimi.DeepSek, tôi không đọc được, nên cái này không được viết.

VIII. NHỮNG CÂU CHUYỆN CỦA MỘT CÂU VÀ XAI

Báo cáo này dành cho một quá trình phối hợp mà tôi nghĩ là đáng nhớ:

• Chất nhuộm: đã có đầu mối trước khi được thảBằng chứng dùng để truy cập Claude đã bị thu hồi.Giống như cắt cả đàn vậy.
• x Al:: thông báo rằng năm hoạt động liên quan đến Grok Miner đang được điều tra.

Giá trị của phần này là nó minh họa một trong những yếu điểm của những cuộc tấn công như:Chúng phụ thuộc vào các tài khoản pháp lý thương mại của CN.Số tài khoản là một, và toàn bộ dòng bị hỏng. Và đó là lý do tại sao họ có mã gốc địa phương -- nhưng nó đủ cứng để sử dụng nó trong thời gian thực.

IX. chính xác là thay đổi

Tôi đã chia phần cuối của báo cáo thành 3 lớp vì nó ghi là "7 điểm."

	Name	AiPT
Ai nằm ngoài kế hoạch?	Người ta dùng chữ viết, người ta chọn mục tiêu.	Tranh luận mô hình, sử dụng mô hình
Chi phí đơn	Vài tuần, 100,000.	Chi phí lề là gần 0.
Nuốt đi.	Mỗi ngày một lần.	Hàng trăm cùng một lúc.
Điều gì quyết định trần nhà?	Kĩ năng đội ngũ	Mức độ tích hợp công cụ
Đặc điểm ứng xử	Văn lệnh cố định, bộ điều giải	Điều chỉnh thời gian thực. Chúng ta sẽ thay đổi lộ trình ở tốc độ.

Dòng cuối cùng là những gì tôi nghĩ là tệ nhất."Sự thích nghi hài hước" có nghĩa là các quy tắc thử nghiệm của bạn sẽ thất bại.- Nó sẽ chậm lại khi nói đến kiểm soát gió, khi nói tới WAF, nó sẽ thay đổi đường đi, nó sẽ thay đổi đường đi, không khó. Quy tắc của ngưỡng cố định, danh sách đen của các đặc điểm cố định, không phải là một sự trùng hợp tự nhiên.

Vì vậy, nó là ba.

1. Cấp nhận diệnChứng cứ là một bản tóm tắt cổ điển, vì vậy đừng trông mong vào "prainting". Zero tín nhiệm, thời gian ngắn, phím ký hiệu JWT quay trên một cơ sở thường xuyên, Keycloak, và IP của loại này được tăng cường cá nhân - 20 phím JWT + 20 keycloaks trong báo cáo được dựa trên tổ hợp này và được đặc biệt sử dụng để làm giả danh tính.
2. Lớp ứng xửIP danh sách đen và phong tỏa địa lý phần lớn không hiệu quả đối với các đặc vụ dân cư, và đây là những gì IP Burger và Bright Data làm trong báo cáo. Bạn có thể thấy chuỗi hoạt động - nhịp độ hoạt động sau khi đăng nhập, tính hợp lý của đường dẫn truy cập, sự cho phép nhảy vào phiên chạy.
3. Lớp kết quả: Tài khoản chiếm ưu thế và kết thúc bằng tiền mặt. Nhiều yếu tố, chuyển nhượng lớn, đánh giá bằng tay, ngăn chặn giao dịch bất thường, những phương pháp cũ này có giá trị hơn trong thời đại AI bởi vì chúng là kết quả, cho dù bạn vào như thế nào.

Có một người khác cho những người sử dụng Al anent.

Phải mất rất nhiều thời gian để nói, "Làm sao bạn có thể bảo vệ mình khỏi những người đánh mình bằng al?" Nhưng đó là nửa còn lại:Việc triển khai thuốc an thần của anh cũng là bình phong.

Trong năm khả năng được đề nghị trong báo cáo, có hai khả năng đặc biệt cho điều này - tìm hiểu những gen trong môi trường của bạn, những gì chúng có thể truy cập, và những gì có thể cắt ra khỏi kiểm soát trong khi chạy.

Nếu bạn điều hành một nhóm đặc vụ trong công ty có quyền truy cập vào hệ thống,Nguy cơ tiêm thuốc nhanh và bối cảnh của báo cáo cũng vậy.Tôi không biết. Sự khác biệt là lần này nó là thần đồng của anh, không phải đối thủ của anh.

X. FINAL

Tôi không muốn viết "AI làm cho cuộc tấn công trở nên đáng sợ," nó quá rẻ.

Nó không chỉ là mô hình, nhưng...CommentChia sẻ bản đồ kiến thức, đồng bộ hóa vi phân, từ chối từ dưới lên, từ chối nhận thức OPSEC, phân chia vai trò, cơ chế phân chia quỹ đạo. Không ai trong số này là những người mà Al đến với, tất cả họ trên kệ, và AI chỉ đặt tất cả công việc trong mỗi tế bào.

Nói cách khác, băng đảng thắng.Làm cho AI thành phần có khả năng lập trìnhKhông như một cái hồ bơi.

Phương pháp AI cho hầu hết các doanh nghiệp là gì? Mua một giao diện, lấy một con robot hành khách, viết một bài báo hàng tuần. Khoảng cách này không phải là một trong những mô hình khả năng mà là một trong những khả năng kỹ thuật.

Các đối thủ không phải là "AI", họ là những người đặt AI vào quá trình, và họ viết xuống đáy của nó.

Bản gốc của báo cáo này có sẵn trên trang web Straiker dưới tựa đề Inside CALIY0S: làm thế nào CyberCartel sử dụng mô hình Aliple Al để tấn công 400 người Mỹ La - tinh Banks và Tài chính. Để đọc đầy đủ văn bản, phải điền một mẫu đơn, nhưng blog đã viết tất cả các chi tiết kỹ thuật.

Cuối cùng, bản báo cáo IP của máy chủ trung ương (157 [...] 180 [...] 98 [...], cổng 801) đã sẵn sàng và đã được xử lý. Đừng bỏ qua -- đó là bằng chứng của người khác, không phải nơi bạn đang thử nghiệm.