Een hacker zet AI-agents in bij aanvallen op webshops

AI-agents werkten in ruim 1.100 projecten tegen webwinkels, meldt NorForge in een rapport van 19 oktober; onderzoekers troffen een actieve uploadershell aan op een leverancierssite.

Een kwetsbare webwinkel kan zo urenlang automatisch worden onderzocht, terwijl de operator vooral doel en eindpunt opgeeft. De gemelde doelwitten lagen in de VS, Canada, Japan en Australië; de rapporten noemen geen Nederlands slachtoffer. Een beschreven shell gaf toegang tot commando’s op een webserver.

De aanvaller gaf het doel, Cairn koos vervolgstappen

NorForge beschrijft Cairn als een probleemoplosser. De operator stelt een beginpunt en einddoel vast. Daarna werken AI-agenten in rondes: ze leggen ontdekte feiten vast en kiezen daaruit hun volgende stap. Het projectbord deelt die informatie met andere agenten; een mens kan ook extra aanwijzingen toevoegen.

De grootste cluster, AIA0001, gebruikte Chineestalige opdrachten en was gekoppeld aan veertien Cairn-panelen. De doelen waren echte webwinkels in de Verenigde Staten, Canada, Japan en Australië. Een typische opdracht selecteerde sites met 200.000 tot 1,5 miljoen bezoekers; Playwright controleerde of een bestelling geplaatst kon worden.

Een opdracht vroeg om toegang zonder inlog en noemde routes als accountovernames en onveilige bestandsuploads. De operator bepaalde het doel en de gewenste uitkomst. Cairn koos daarna zelf vervolgstappen op basis van ontdekte feiten.

Eén route eindigde met servertoegang

Een van NorForges zes casussen betrof een Australische webwinkel. Een API-eindpunt liet zonder inloggen gegevens van een ander klantaccount wijzigen. De aanvaller veranderde daarna het e-mailadres van de beheerder en gebruikte de wachtwoordherstelprocedure. Zo kwam de aanvaller in het beheerpaneel, waar een bestandsbeheerder een uitvoerbaar bestand toeliet. De webserver voerde dat bestand uit en gaf toegang tot commando’s met de rechten van de webapplicatie.

Bij een andere afgeronde taak haalde NorForge de geregistreerde shell-URL zelf op. Die toonde nog steeds een uploadformulier op de website van een grote hardwareleverancier. De agent schreef de toegang toe aan schrijfrechten op een Memcached-sessieserver en onveilige verwerking van PHP-objecten in verouderde Zend-software. Dat is de verklaring uit de projectlog, niet een volledige onafhankelijke reconstructie van elk technisch detail.

Voor AIA0001 schat NorForge dat ongeveer 10 procent van de projecten hun doel bereikte, maar de succescriteria verschillen per cluster. Bij projecten die hun doel haalden, lag de gemiddelde doorlooptijd net onder 23 uur en legde een agent gemiddeld 140 feiten vast. Eén project liep meer dan vijf dagen. Het zijn momentopnamen van een systeem dat snel verandert.

De teller zegt niet hoeveel data weg is

Reuters meldt dat de campagne op 25 september begon; de agenten probeerden ruim 1.200 sites binnen te dringen en de aanvaller brak in op websites van meer dan 100 bedrijven. Onder de genoemde bedrijven zijn Deere, SharkNinja en Cummins. Deere meldde herstelmaatregelen en geen aanwijzing dat gevoelige informatie was ingezien. SharkNinja zei dat het om een zelfstandige productondersteuningssite ging en dat de dreiging was ingedamd. Cummins onderzocht een mogelijke aanval op de website van een leverancier.

Reuters kon niet vaststellen of en hoeveel gegevens uit de getroffen websites zijn gehaald. NorForge noemt de identiteiten in de eigen casussen niet, omdat de open panelen nog gevoelige doelinformatie bevatten. NorForge identificeerde meer dan twintig panelen die waarschijnlijk bij kwaadaardige activiteit hoorden. Het zijn controlepanelen, geen telling van twintig bevestigde slachtoffers. De bronnen beschrijven compromissen van websites, maar stellen geen algemene toegang tot bedrijfsnetwerken vast.

De open projectdata bevatte honderden wachtwoorden, API-sleutels en andere geheimen. NorForge liet Trufflehog die gegevens scannen; 11 procent werd als geldig aangemerkt. Dat percentage gaat over geheimen in de Cairn-panelen, niet over gestolen gegevens van de doelwitten. NorForge zag ook panelen van legitieme pentests, waardoor klantbevindingen en geheimen konden uitlekken. De onderzoekers testten niet of onbevoegden de zichtbare beheerknoppen echt konden gebruiken om projecten te stoppen of naar andere doelen te sturen.

Ook de kosten zijn schattingen. NorForge berekende zonder verbruikslogs ongeveer 5 dollar per project; lange projecten konden boven 100 dollar uitkomen. Reuters meldde Fagerlands aparte schatting van ongeveer 5.000 dollar aan tokens voor de operatie, of circa 50 dollar per geslaagde inbraak. Geen van beide bedragen toont de totale kosten voor mensen en infrastructuur.

Een eerdere agent bleef steken op inlogschermen

Gambit Security meldde in september minstens 27 gecompromitteerde bedrijven en ruim 600.000 buitgemaakte creditcardgegevens bij twee slachtoffers in een campagne met drie AI-agentplatforms. Het bedrijf baseerde die tussentijdse telling deels op buitgemaakte data en actieve skimmers, maar waarschuwde ook voor onvolledige gegevens. NorForge schrijft dat Gambits publicatie aanleiding was voor de eigen zoektocht; geen van beide rapporten stelt vast of de operators samenvallen.

Een andere grens kwam naar voren in Unit 42’s juli-onderzoek naar een agent die 84 Langflow-installaties vond maar door ontbrekende configuratie geen exploit kon voltooien. De n8n-formulieren in die campagne bleven eveneens ontoegankelijk omdat ze om een login vroegen. Dat was een andere operatie: daar koos de agent doelen en kwetsbaarheden, maar strandde het exploitatiepad. Bij Cairn bevestigden onderzoekers wel een werkende shell in een project.

Voor organisaties die zelf AI-agenten inzetten, ligt de praktische vraag bij de bevoegdheid per handeling. Een goedkeuringspoort die per actie op impact en omkeerbaarheid wordt ontworpen bepaalt wanneer een mens beslist en wanneer de agent doorgaat. In deze operatie koos de hacker het doel en de gewenste uitkomst; de agenten zochten de route en bleven dat urenlang doen. De kwetsbaarheid van een webwinkel bepaalde hoe ver die opdracht reikte.