Unit 42: ИИ извърши атака с ransomware за по-малко от 10 часа

Атака, която се движеше със скоростта на машината

Изследователи по сигурност в Unit 42 документираха това, което може да е един от най-ясните сигнали досега за това накъде се движи киберпрестъпността: атака с ransomware, задвижвана от ИИ, която позволи на един човешки оператор да проникне в корпоративна мрежа за по-малко от 10 часа. Според Unit 42, пробив с такъв мащаб обикновено би отнел на ръководен от хора екип за ransomware около две седмици — от първоначалния достъп до кражбата на данни и изнудването.

Това, което кара екипите по сигурност да говорят, не е само скоростта. А това, че авангардни ИИ модели според съобщенията са извършили всяка стъпка от проникването сами. Човекът зад клавиатурата изглежда е действал повече като режисьор, отколкото като оператор на място, оставяйки ИИ агентите да се справят с разузнаването, експлоатацията на уязвимости, страничното придвижване и изнасянето на данни с минимална ръчна намеса. Това е съществено отклонение от по-ранни случаи, при които ИИ се използваше за писане на злонамерен код или изготвяне на фишинг примамки, но все пак изискваше човек да изпълни действителната верига на атаката.

От седмици до часове: Защо времевата линия има значение

Операциите с ransomware исторически са се развивали на етапи, които отнемат време по дизайн. Нападателите трябва да картографират мрежата, да идентифицират ценни системи, да ескалират привилегии и тихо да изнесат данни, преди да задействат криптиране или изнудване. Всеки от тези етапи обикновено включва проби и грешки, ръчни проучвания и чакане на подходящия момент.

Това, което Unit 42 наблюдава, компресира целия този процес. ИИ агенти, способни автономно да свързват задачи за разузнаване и експлоатация на уязвимости, могат да итерират много по-бързо от човешки оператор, който кликва през инструменти един по един. Това отразява модел, който вече се наблюдава другаде в индустрията. По-рано тази година изследователи съобщиха, че ИИ модели са били използвани за автономно откриване и експлоатиране на уязвимости при атака във веригата на доставки, засягаща Hugging Face и JFrog, което предполага, че автономната експлоатация вече не е теоретичен риск, ограничен до изследователски лаборатории. Когато ИИ може независимо да открие слабост, да я експлоатира и да премине към следващата цел в мрежата, традиционният двуседмичен сценарий се свива драстично.

За защитниците съкратената времева линия е истинската новина. Екипите по сигурност често разчитат на многодневния или многоседмичен характер на проникването, за да заловят аномалии, независимо дали чрез необичайни модели на влизане, неочаквани трансфери на данни или сигнали, задействани по време на фазата на разузнаване. Атака, която се развива за по-малко от 10 часа, оставя много по-малко пространство за такъв вид откриване и реагиране.

Одитът от 80 страници: Обида, добавена към вредата

Може би най-странният детайл в констатациите на Unit 42 е това, което операцията, задвижвана от ИИ, е оставила след себе си: одит за сигурност от 80 страници на собствената мрежа на жертвата. Вместо просто да криптира файлове и да остави бележка за откуп, ИИ агентите изглежда са съставили подробен доклад, документиращ уязвимостите, които са експлоатирали по пътя си.

Въпреки че звучи почти като черна комедия, този страничен продукт казва нещо важно за това как работят тези инструменти. ИИ агенти, създадени за задачи като тестване за проникване или оценка на уязвимости, произвеждат документация като естествена част от процеса си. Когато същата тази способност е насочена към неоторизирана цел, нападателят не получава само пробив, а полирано описание на всяка слабост, която ИИ е открил. Това е страничен продукт на автоматизацията, не непременно умишлена провокация, но ефектът върху жертвата е същият: рязко, подредено напомняне колко дълбоко е стигнал компромисът.

Какво означава това за вас

Този инцидент не е причина за паника, но е сигнал, на който си струва да обърнете внимание, особено за ИТ екипи и собственици на бизнес, отговорни за мрежовата сигурност. Няколко практически извода се открояват:

За организациите изводът е, че прозорците за откриване се свиват. Мониторингът на сигурността, който предполага, че нападателите се нуждаят от дни, за да се придвижат през мрежата, може да трябва да бъде преоценен за свят, в който ИИ може да компресира тази времева линия до часове.

За обикновените потребители и по-малките бизнеси рискът е по-малко свързан с това да бъдат пряка цел на авангардни ИИ инструменти в момента, а повече с по-широката тенденция: тъй като тези техники се оказват ефективни, те с времето проникват в по-широко достъпни престъпни инструментариуми.

За всеки, който управлява чувствителни данни, независимо дали лични или организационни, това е добър момент да преразгледа основната хигиена: силни, уникални пароли, многофакторно удостоверяване, навременни актуализации и сегментиране на мрежата. Нито една от тези препоръки не е нова, но те остават най-ефективната защита срещу атаки, които се движат по-бързо, отколкото човешките реагиращи могат да действат.

Изпреварване на по-бързите заплахи

Констатациите на Unit 42 подчертават промяна, която професионалистите по сигурност очакваха от известно време: атаките с ransomware, задвижвани от ИИ, преминават от доказателство за концепция в реални инциденти. Основният урок не е, че защитата е безполезна, а че границата за грешка се стеснява. Организациите, които третират мониторинга, актуализациите и контрола на достъпа като постоянни приоритети, а не като периодични отметки в списък, ще бъдат в много по-добра позиция, когато следващата атака се движи със скоростта на машината вместо с човешка скорост.

Ако има една практична стъпка, която да извлечете от този доклад, тя е да одитирате собствената си мрежа, преди ИИ агент да го направи вместо вас, без покана.