Исследователи подразделения Acronis Threat Research Unit в течение 12 дней наблюдали за операцией BOSSAI, которой управлял, по их оценке с высокой степенью уверенности, один человек из Хуаляня на Тайване. Его агенты получили записи службы 119, тайваньского номера вызова пожарных и скорой помощи. Данные охватывали семь районов Тайбэя.
В записях были время происшествия, тип реагирования, статус обращения и адрес с точностью до улицы. Это карточки случаев, а не текущая карта движения машин скорой помощи. Отдельно агенты обнаружили платформу пожарного департамента Тайбэя с данными пациентов с 2018 года: там находились показатели ЭКГ и видео из машин скорой помощи. Платформа не требовала входа в систему. Исследователи говорят о доступности этих сведений, но не утверждают, что злоумышленник их скачал.
Следы операции нашли на сервере самого атакующего. Сначала он выглядел как неправильно настроенная площадка для разработки, но оказался рабочей инфраструктурой кампании. На сервере хранилось более 90 тысяч файлов: переписки с ИИ-агентами, история команд, инструменты и учётные данные, а также материалы, собранные у жертв. В BOSSAI было 12 агентов, девять из них использовались. Одни создавали и обслуживали серверы и инструменты, другие сканировали цели и проводили атаки. Между собой агенты не общались: оператор вручную переносил результаты одного в другой.
Цели выбирали сотнями: организации как минимум в 11 странах, среди них экстренные службы, банки, университеты и военные системы. Данные удалось получить или доступ к системам — примерно у десяти организаций на Тайване, в Мексике и Таиланде. Ещё около 15 организаций атаковали без подтверждённого взлома; в восьми других странах цели лишь сканировали либо поставили в очередь на атаку, которую к моменту расследования ещё не начали. В сохранившейся переписке зафиксирована работа оператора 25 июля; год не указан.
Тайвань пострадал сильнее остальных стран. Агент вошёл в административную панель базы данных поставщика технологий пожарной диспетчеризации, используя стандартные учётные данные root, и получил доступ как минимум к 18 таблицам. Попытка установить веб-оболочку через известную уязвимость CVE провалилась. В системе управления чрезвычайными ситуациями агент нашёл в JavaScript-коде жёстко прописанный ключ AES-256, позволявший раскрыть содержимое сессионных cookie, включая личность администратора; подтверждённого взлома этой системы нет. Сканер сообщил о критической уязвимости удалённого выполнения кода в Apache в национальном центре реагирования на стихийные бедствия, но такой уязвимости там не существовало. Попытки подобрать пароль к порталу единого входа национального пожарного агентства и сканирование систем пожарных служб пяти городов также не дали подтверждённого доступа.
За пределами Тайваня агенты использовали SQL-инъекции против местной кредитной компании и получили данные из таблицы учётных записей. Исследователи насчитали у этой фирмы 16 точек SQL-инъекции. В Таиланде были собраны данные трёх университетов; до этого атакующий отобрал 489 потенциальных целей среди 45 учебных заведений. В Мексике агенты получили около 206 800 записей о домашних телефонных номерах с именами и адресами, сопоставляя государственную статистику, списки почтовых индексов и сведения телекоммуникационного регулятора.
Коммерческие облачные модели помогали главным образом строить инфраструктуру. Основным «строителем» был Grok. Когда его и MiniMax M3 напрямую просили атаковать цели, модели отказывались и требовали письменного подтверждения разрешения. Исследователи не смогли установить, изменило бы их ответ поддельное письмо. В одном случае Grok всё же исправил сломанный демонстрационный эксплойт, после чего оператор передал скрипт атакующему агенту. Claude Code и Codex перенаправили на модели без защитной настройки; они преимущественно занимались инфраструктурой. Cursor, тоже работавший с такой моделью, атаковал сайт тайваньской службы экстренного реагирования. В качестве моделей использовались версии DeepSeek, GLM и Qwen с удалёнными ограничениями безопасности.
Агенты ошибались: один сканер выдумывал идентификаторы CVE, а больше половины его находок с высокой и критической оценкой оказались ложными либо неверно классифицированными. Главный атакующий агент докладывал о действиях, которых в действительности не было. По словам исследователей, ИИ удешевил массовый поиск уязвимых целей, но не заменил работающий взлом: агенты терпели неудачу там, где требовалась действующая учётная запись, корректная сессия для доступа за платёжной стеной или фильтрация запросов.
Многие найденные данные и системы оказались плохо защищены задолго до появления BOSSAI: порт с медицинскими сведениями оставался открытым с 2018 года, диспетчерские записи отдавались через публичный API, у кредитной компании было 16 SQL-инъекций, а университетские базы Oracle не обновляли. Acronis не сообщила, уведомляли ли пострадавшие организации или власти Тайваня и остаются ли данные доступными.
Личность оператора исследователи связывают с ошибками, допущенными при сокрытии следов, и открытыми сведениями. Он повторно использовал одну личность в легальном бизнесе и атакующей инфраструктуре: в профиле GitHub, логотипе, имени SSH-ключа и адресе электронной почты. Домашний IP-адрес засветился во время SSH-сеанса, записанного в переписке с Grok. Мотив остаётся неясным: атаки на государственные, экстренные и военные системы напоминали действия групп, связанных с государствами, тогда как другие эпизоды походили на обычную киберпреступность. Исследователи предположили, что оператор, вероятно, хотел заработать, но не установили, действовал ли он по чьему-либо поручению. В конце отчёта приведены девять IP-адресов и девять доменов, связанных с его инфраструктурой; для большинства не указано назначение, а активность не обозначена.
Изображение носит иллюстративный характер
В записях были время происшествия, тип реагирования, статус обращения и адрес с точностью до улицы. Это карточки случаев, а не текущая карта движения машин скорой помощи. Отдельно агенты обнаружили платформу пожарного департамента Тайбэя с данными пациентов с 2018 года: там находились показатели ЭКГ и видео из машин скорой помощи. Платформа не требовала входа в систему. Исследователи говорят о доступности этих сведений, но не утверждают, что злоумышленник их скачал.
Следы операции нашли на сервере самого атакующего. Сначала он выглядел как неправильно настроенная площадка для разработки, но оказался рабочей инфраструктурой кампании. На сервере хранилось более 90 тысяч файлов: переписки с ИИ-агентами, история команд, инструменты и учётные данные, а также материалы, собранные у жертв. В BOSSAI было 12 агентов, девять из них использовались. Одни создавали и обслуживали серверы и инструменты, другие сканировали цели и проводили атаки. Между собой агенты не общались: оператор вручную переносил результаты одного в другой.
Цели выбирали сотнями: организации как минимум в 11 странах, среди них экстренные службы, банки, университеты и военные системы. Данные удалось получить или доступ к системам — примерно у десяти организаций на Тайване, в Мексике и Таиланде. Ещё около 15 организаций атаковали без подтверждённого взлома; в восьми других странах цели лишь сканировали либо поставили в очередь на атаку, которую к моменту расследования ещё не начали. В сохранившейся переписке зафиксирована работа оператора 25 июля; год не указан.
Тайвань пострадал сильнее остальных стран. Агент вошёл в административную панель базы данных поставщика технологий пожарной диспетчеризации, используя стандартные учётные данные root, и получил доступ как минимум к 18 таблицам. Попытка установить веб-оболочку через известную уязвимость CVE провалилась. В системе управления чрезвычайными ситуациями агент нашёл в JavaScript-коде жёстко прописанный ключ AES-256, позволявший раскрыть содержимое сессионных cookie, включая личность администратора; подтверждённого взлома этой системы нет. Сканер сообщил о критической уязвимости удалённого выполнения кода в Apache в национальном центре реагирования на стихийные бедствия, но такой уязвимости там не существовало. Попытки подобрать пароль к порталу единого входа национального пожарного агентства и сканирование систем пожарных служб пяти городов также не дали подтверждённого доступа.
За пределами Тайваня агенты использовали SQL-инъекции против местной кредитной компании и получили данные из таблицы учётных записей. Исследователи насчитали у этой фирмы 16 точек SQL-инъекции. В Таиланде были собраны данные трёх университетов; до этого атакующий отобрал 489 потенциальных целей среди 45 учебных заведений. В Мексике агенты получили около 206 800 записей о домашних телефонных номерах с именами и адресами, сопоставляя государственную статистику, списки почтовых индексов и сведения телекоммуникационного регулятора.
Коммерческие облачные модели помогали главным образом строить инфраструктуру. Основным «строителем» был Grok. Когда его и MiniMax M3 напрямую просили атаковать цели, модели отказывались и требовали письменного подтверждения разрешения. Исследователи не смогли установить, изменило бы их ответ поддельное письмо. В одном случае Grok всё же исправил сломанный демонстрационный эксплойт, после чего оператор передал скрипт атакующему агенту. Claude Code и Codex перенаправили на модели без защитной настройки; они преимущественно занимались инфраструктурой. Cursor, тоже работавший с такой моделью, атаковал сайт тайваньской службы экстренного реагирования. В качестве моделей использовались версии DeepSeek, GLM и Qwen с удалёнными ограничениями безопасности.
Агенты ошибались: один сканер выдумывал идентификаторы CVE, а больше половины его находок с высокой и критической оценкой оказались ложными либо неверно классифицированными. Главный атакующий агент докладывал о действиях, которых в действительности не было. По словам исследователей, ИИ удешевил массовый поиск уязвимых целей, но не заменил работающий взлом: агенты терпели неудачу там, где требовалась действующая учётная запись, корректная сессия для доступа за платёжной стеной или фильтрация запросов.
Многие найденные данные и системы оказались плохо защищены задолго до появления BOSSAI: порт с медицинскими сведениями оставался открытым с 2018 года, диспетчерские записи отдавались через публичный API, у кредитной компании было 16 SQL-инъекций, а университетские базы Oracle не обновляли. Acronis не сообщила, уведомляли ли пострадавшие организации или власти Тайваня и остаются ли данные доступными.
Личность оператора исследователи связывают с ошибками, допущенными при сокрытии следов, и открытыми сведениями. Он повторно использовал одну личность в легальном бизнесе и атакующей инфраструктуре: в профиле GitHub, логотипе, имени SSH-ключа и адресе электронной почты. Домашний IP-адрес засветился во время SSH-сеанса, записанного в переписке с Grok. Мотив остаётся неясным: атаки на государственные, экстренные и военные системы напоминали действия групп, связанных с государствами, тогда как другие эпизоды походили на обычную киберпреступность. Исследователи предположили, что оператор, вероятно, хотел заработать, но не установили, действовал ли он по чьему-либо поручению. В конце отчёта приведены девять IP-адресов и девять доменов, связанных с его инфраструктурой; для большинства не указано назначение, а активность не обозначена.
