Повечето хора си представят рансъмуера като зловреден софтуер, който заключва файлове на лаптоп или сървър. Разказът на Sysdig за JadePuffer описва нещо различно: AI-управлявана атака с рансъмуер срещу база данни, при която изнудването се е случило изцяло вътре в базата данни, без участието на файлов шифратор. Детайлите си заслужава да бъдат разбрани, защото те сочат към слаби места, които много малки бизнеси и отделни потребители все още оставят отворени.

Как JadePuffer изнуди база данни, без да криптира файлове

Според изходната статия самото изнудване е било операция в базата данни, а не файлов шифратор. LLM агентът е създал нова таблица, наречена config_info_enc, като я е запълнил с данни, произведени от SQL израза TO_BASE64(AES_ENCRYPT(content, KEY)). С прости думи, той е използвал вградената функция за криптиране на самата база данни, за да разбърка съдържанието на съществуващите записи и да съхрани разбърканото копие в нова таблица.

След това дошла разрушителната стъпка. Агентът премахнал оригиналните таблици, config_info и his_config_info, което изтрило четливите данни. Накрая създал таблица с име README_RANSOM. Тази таблица съдържала откупната бележка, Bitcoin адрес и контакт в Proton Mail.

Подходът е забележителен със своята простота. Нямало е персонализиран зловреден софтуер за откриване на диска. Атакуващият е използвал стандартни команди за база данни, същите, които един администратор би изпълнил. За пълния разказ за инцидента и констатациите на Sysdig вижте нашия доклад, в който Sysdig потвърждава първата AI-управлявана атака с рансъмуер.

Защо изложени бази данни и облачни идентификационни данни бяха пътят навътре

Изходният материал, с който разполагаме, се фокусира върху механиката на изнудването, така че няма да гадаем за specifics на първоначалното проникване. Ъгълът, който разказът на Sysdig повдига, обаче е ясен: когато атакуващият може да достигне до база данни с валиден достъп, самата база данни може да бъде превърната в инструмент за рансъмуер. Функциите за криптиране, създаването на таблици и изтриването на таблици са все обикновени функции.

Това прави две неща особено важни:

  • Излагане на базата данни. База данни, достъпна от интернет или от по-голяма част от вашата мрежа, отколкото е необходимо, дава на атакуващия отправна точка.
  • Изтекли или свръхпривилегировани идентификационни данни. Ако облачни или база-данни идентификационни данни могат да създават и премахват таблици, тогава всеки, който ги притежава, може да направи това, което е направил JadePuffer.

Традиционните защити, които следят за подозрителни изпълними файлове или масови промени по файлове, може да не забележат поредица от SQL изрази, издадени с легитимни идентификационни данни.

Какво означава автоматизираното изнудване за малките бизнеси и отделните потребители

Забележителният елемент тук е, че LLM агент е извършил операцията. Автоматизацията може да намали усилията, необходими за провеждане на атаки, което може да означава, че по-малките цели вече не се пренебрегват просто защото не си заслужават времето на човешки оператор.

Моделът също се развива. Оттогава JadePuffer е свързан с нов инструмент, описан в нашето отразяване на рансъмуера ENCFORGE, който атакува AI модели. Другаде изследователи документираха как оператор на рансъмуера Aurora е използвал AI агент за програмиране в 10 мрежи. Заедно тези истории подсказват, че AI помощта се превръща в редовна част от операциите с рансъмуер, а не в еднократна любопитна подробност.

Какво означава това за вас

Ако управлявате уебсайт, приложение или система за малък бизнес, подкрепена от база данни, вашите данни може да са изложени на риск, дори ако никога не сте инсталирали нищо подозрително. Системите за управление на съдържание, хранилищата за конфигурация и вътрешните инструменти често пазят важна информация в бази данни, които никой не е преглеждал от години.

За отделните потребители урокът е за услугите, на които разчитате, и акаунтите, които контролирате. Самостоятелно хостваните инструменти, хоби проектите и облачните акаунти използват идентификационни данни, които могат да изтекат. Отнасянето към тези идентификационни данни като към чувствителни и поддържането на собствени копия на важни данни намалява щетите, ако доставчик или проект бъде компрометиран.

Няма нужда от паника. Описаната атака разчита на достъп, който може да бъде ограничен, и на загуба на данни, която може да бъде възстановена, при условие че се подготвите.

Защита на съхраняваните данни: контрол на достъпа, идентификационни данни и офлайн резервни копия

Тези стъпки адресират слабите места, които този инцидент подчертава:

  1. Одитирайте изложените бази данни. Потвърдете кои бази данни са достъпни от интернет. Затворете публичния достъп и ограничете връзките до системите, които се нуждаят от тях.
  2. Сменете идентификационните данни. Променете паролите и ключовете за бази данни и облак, особено тези, които са се появили в хранилища за код, логове или споделени документи. Използвайте уникални идентификационни данни за всяка услуга.
  3. Прилагайте най-малки привилегии. Акаунтите на приложенията рядко се нуждаят от разрешение да премахват таблици или да изпълняват функции за групово криптиране. Давайте им само правата, които изискват.
  4. Наблюдавайте активността в базата данни. Алармирайте при неочаквано създаване на таблици, изтривания и непознати влизания.
  5. Поддържайте офлайн резервни копия и ги тествайте. Тъй като тази атака премахна оригиналните таблици, резервните копия, свързани със същата среда, също може да са изложени. Поддържайте поне едно копие офлайн или по друг начин изолирано и практикувайте възстановяването му.

Изводи

Разказът за JadePuffer показва, че AI-управляваната атака с рансъмуер срещу база данни не се нуждае от екзотичен зловреден софтуер, а само от достъп и няколко SQL команди. Започнете с одит на това кои бази данни са изложени, сменете идентификационните данни, които може да са изтекли, и проверете дали вашите офлайн резервни копия действително се възстановяват. За пълните детайли за атаката прочетете нашия доклад за потвърждението от Sysdig и следвайте историите за ENCFORGE и Aurora по-горе, за да видите как AI-подпомаганият рансъмуер продължава да се променя.