Разкритата инфраструктура на нападателите даде на изследователите рядък поглед към това как афилиатите, използващи ransomware, прилагат AI на практика. Според репортаж на The Hacker News афилиатите са използвали одобрени от човек AI работни процеси, за да експлоатират гранични системи, да откраднат данни и да атакуват приблизително 62 организации. Историята е полезно напомняне, че кампаниите с AI агенти срещу гранични устройства не са вече теоретична грижа и че хардуерът в края на вашата мрежа заслужава истинско внимание.
Изходният материал е кратък, така че тази публикация се придържа към това, което е било докладвано, и се фокусира върху това какво могат да направят читателите по въпроса.
Как афилиатите са използвали AI агенти за провеждане на прониквания
Ключовият детайл е фразата „одобрено от човек“. Репортажът описва AI работни процеси, при които човек остава в цикъла, за да одобрява стъпките, а не напълно автономна система, действаща самостоятелно. На практика това означава, че AI поема голяма част от повтарящата се работа по проникването, докато човешкият афилиат одобрява какво се случва след това.
Този модел е важен, защото намалява усилието, необходимо за провеждане на атака. Задачи, които някога са изисквали опитен оператор, работещ през всеки етап, могат да бъдат ускорени, докато човекът запазва контрол върху ключовите решения. Афилиатите в този случай са използвали тези работни процеси, за да експлоатират гранични системи и да откраднат данни.
Това се вписва в по-широк модел на автоматизация в киберпрестъпността. За повече информация относно това как AI инструментите променят икономиката на нападателите вижте нашия по-ранен репортаж за това как AI инструмент, наречен Hermes, задвижва ransomware атаки.
Защо VPN шлюзовете и рутерите бяха входната точка
Граничните системи са устройствата, които са изправени пред отворения интернет: VPN шлюзове, рутери, защитни стени и подобни уреди. Те са привлекателни за нападателите по проста причина. Те са достъпни отвсякъде, често стоят извън мониторинга, който покрива лаптопи и сървъри, и могат да осигурят директен път към вътрешна мрежа.
Когато нападател компрометира едно от тези устройства, той може да успее да достигне до вътрешни ресурси и да извлече данни, без дори да докосне компютъра на потребителя. Ето защо предложеният фокус тук е хигиената на периметъра. Устройство, предназначено да защитава достъпа, може да се превърне в начина за влизане, ако е изложено, остаряло или лошо конфигурирано.
Струва си да бъдем точни: репортажът, с който разполагаме, не посочва конкретни продукти или уязвимости и ние няма да ги предполагаме. Изводът е за категорията устройства, а не за конкретен доставчик.
Какво разкрива изложената инфраструктура за 62-те цели
Изложената инфраструктура е това, което позволи на изследователите да преценят, че около 62 организации са били атакувани. Това число е приблизителна оценка и отразява това, което е било видимо в собствената настройка на нападателя, а не потвърден брой успешни breaches.
Няколко точки се открояват:
- Нападателите също правят грешки. Лошо конфигурирани или изложени сървъри на нападателите могат да разкрият инструменти, работни процеси и списъци с цели, които защитниците иначе никога не биха видели.
- Целенасочеността изглежда систематична. Списък с десетки организации предполага повтарящ се процес, а не еднократно проникване.
- Кражбата на данни е част от playbook-а. Афилиатите не са търсели само криптиране; те са откраднали и данни, което добавя натиск върху жертвите.
По-широкият урок е, че AI помощта може да помогне на афилиатите да се мащабират. Дори с човек, одобряващ действията, един оператор потенциално може да работи по много цели.
Какво означава това за вас
Ако управлявате бизнес мрежа, вие сте най-пряката аудитория. Всеки VPN уред, защитна стена или рутер, който приема връзки от интернет, е част от вашата повърхност за атака и нападателите търсят точно тези, които са оставени без пачове или без управление.
Ако сте домашен потребител, профилът на риска е различен, но не е нулев. Домашните рутери често се доставят с опции за отдалечено администриране, които много хора никога не преглеждат. Оставянето им включени и без пачове е точно видът пропуск, който автоматизираните инструменти са създадени да намират.
Нищо от това не изисква паника. Изисква рутинна поддръжка, която много хора пропускат.
Как да проверите и защитите собствените си гранични устройства
Започнете с видимост, след това намалете експозицията.
- Разберете какво е изложено. Избройте всеки рутер, VPN шлюз и защитна стена, които са изправени пред интернет. Проверете кои интерфейси за управление и портове са достъпни отвън вашата мрежа.
- Актуализирайте фърмуера. Проверете страницата за актуализации на вашия доставчик и приложете текущия фърмуер. Включете автоматичните актуализации, ако устройството ги поддържа.
- Деактивирайте ненужния отдалечен достъп. Ако не се нуждаете от отдалечено администриране, го изключете. Където се нуждаете от него, ограничете го до конкретни доверени адреси.
- Включете MFA. Изисквайте многофакторна автентикация при VPN влизания и администраторски панели и заменете паролите по подразбиране или използваните наново.
- Прегледайте логовете. Търсете необичайни влизания, неочаквани промени в конфигурацията или големи изходящи трансфери.
- Изведете от употреба хардуер в края на жизнения цикъл. Устройствата, които вече не получават актуализации за сигурност, са постоянен риск.
Ключови изводи
Докладваната кампания показва, че атаките с AI агенти срещу гранични устройства работят най-добре срещу техника, която е изложена и пренебрегната. Одобрените от човек AI работни процеси помагат на афилиатите да се движат по-бързо, но входните точки все още са обикновени: устройства, изправени пред интернет, със слаби настройки.
Тази седмица одитирайте вашия рутер или VPN уред за интернет експозиция, актуализирайте фърмуера, изключете отдалечения достъп, който не ви е нужен, и включете MFA. За повече контекст относно това как автоматизацията променя ransomware, прочетете нашата статия за инструмента за ransomware Hermes.
