Výzkumníci odhalili Phantom, AI řízený rámec pro narušení bezpečnosti, který používají přidružené skupiny ransomware operací INC a The Gentlemen k rozšíření svých průniků. Objev tohoto AI ransomware rámce Phantom je užitečným ukazatelem toho, kam kriminální nástroje směřují: méně ruční práce na oběť a více obětí na útočníka.

Veřejné podrobnosti jsou omezené, takže tento příspěvek se drží toho, co bylo oznámeno, a vyhýbá se spekulacím o technických detailech. Jasný je směr vývoje a obrany, které v reakci záleží, jsou většinou ty známé.

Co výzkumníci v Phantomu našli

Podle zprávy je Phantom AI řízený rámec pro narušení bezpečnosti. Přidružené skupiny dvou ransomware skupin, INC a The Gentlemen, jej používaly k rozšíření svých ransomware průniků. Ve světě ransomware jsou přidružené skupiny operátoři, kteří skutečně provádějí útoky, často s využitím nástrojů a infrastruktury dodávaných základní skupinou. Sdílený rámec dává mnoha přidruženým skupinám stejné schopnosti.

Zpráva popisuje rámec jako způsob automatizace a rozšíření průniků. Nemáme potvrzené podrobnosti o konkrétních zranitelnostech, na které cílí, kolika obětí se dotkl nebo na kterých AI modelech závisí, takže o nich nebudeme spekulovat. Pokud výzkumníci zveřejní více, tyto podrobnosti budou pro obránce důležité.

Jak AI snižuje bariéru pro ransomware

Ransomware průniky tradičně zahrnovaly mnoho kroků: nalezení cesty dovnitř, pohyb v síti, lokalizace cenných dat a nasazení šifrovacího payloadu. Každý krok vyžaduje čas a dovednosti. Automatizace útočí na toto úzké místo. Když rámec zpracovává opakující se nebo technické části procesu, méně zkušené přidružené skupiny mohou zkoušet útoky, které kdysi vyžadovaly zkušené operátory, a zkušené mohou spustit více pokusů najednou.

To je hlavní obava u nástrojů jako Phantom. Nemusí nutně udělat žádný jednotlivý útok chytřejším. Činí útoky levnějšími na spuštění, což zvyšuje základní úroveň rizika pro všechny, včetně cílů, které byly dříve příliš malé na to, aby stály za ruční úsilí útočníka.

Širší trend AI asistované ofenzívy není omezen na ransomware. OpenAI zveřejnila, že její model Astra dokáže najít zero-day zranitelnosti a sestavit funkční exploity, což jsme pokryli v našem pohledu na OpenAI's Astra AI a její schopnost najít zero-day zranitelnosti a sestavit exploity. Společně tyto vývoje ukazují, jak AI komprimuje čas a odbornost potřebné k přechodu od cíle ke kompromitaci.

Co to pro vás znamená

Pro jednotlivce: Ransomware je obvykle spojován se společnostmi, ale automatizace usnadňuje široké, oportunistické cílení. Osobní zařízení, domácí kanceláře a cloudové účty obsahující rodinné fotografie nebo dokumenty mohou být zahrnuty do stejných druhů kampaní. Praktickým efektem je, že „nikdo by se neobtěžoval mě napadnout“ je slabší předpoklad než dříve.

Pro malé podniky: Malé firmy často postrádají specializovaný bezpečnostní tým, což je činí atraktivními, když útočníci mohou škálovat levně. Pokud dojde k průniku, musíte také myslet na reakci, včetně právních povinností. Například v Austrálii pravidla povinného hlášení ransomware mění způsob, jakým menší společnosti zvládají útoky, jak jsme vysvětlili v našem článku o Australských pravidlech hlášení ransomware a rizicích soukromí pro MSP. Znalost vašich povinností před incidentem je mnohem snazší než jejich učení během incidentu.

Nic ve zprávě o Phantomu nenaznačuje novou, nezastavitelnou metodu útoku. Pointa je objem a dostupnost, a to je přesně místo, kde se základní bezpečnostní hygiena vyplácí.

Praktické obrany: MFA, záplatování, zálohy a povědomí o phishingu

Automatizace má tendenci zasáhnout nejprve nejjednodušší cíle. Zvýšení nákladů na proniknutí je stále nejúčinnější reakcí.

  • Zapněte vícefaktorové ověřování (MFA). Upřednostněte e-mail, cloudové úložiště, vzdálený přístup a administrátorské účty. Kde je to možné, použijte autentizační aplikaci nebo hardwarový klíč místo SMS kódů.
  • Záplatujte promptly. Aktualizujte operační systémy, prohlížeče, VPN a firewall zařízení a obchodní software. Povolte automatické aktualizace, kde můžete, a udržujte inventář systémů čelících internetu, aby nic nezapadlo.
  • Udržujte offline nebo neměnné zálohy. Dodržujte přístup 3-2-1: tři kopie, dva typy médií, jedna uložená offline nebo mimo dosah vaší hlavní sítě. Pravidelně testujte obnovení z nich.
  • Buďte opatrní s phishingem. Buďte skeptičtí k neočekávaným přílohám, výzvám k přihlášení a naléhavým žádostem o platbu nebo heslo. Před jednáním ověřte prostřednictvím samostatného kanálu.
  • Omezte přístup. Používejte samostatné administrátorské a každodenní účty a odeberte přístup lidem, kteří jej již nepotřebují.
  • Připravte jednoduchý plán reakce. Vězte, komu volat, jak izolovat postižená zařízení a jaká pravidla hlášení se na vás vztahují.

Klíčové poznatky

Objev AI ransomware rámce Phantom ukazuje, že útočníci investují do automatizace, aby rozšířili ransomware průniky, přičemž přidružené skupiny INC a The Gentlemen patří mezi ty, které jej údajně používají. Nemůžete kontrolovat, jak zločinci staví své nástroje, ale můžete kontrolovat, zda jsou vaše účty, systémy a zálohy snadnými cíli.

Začněte tento týden: povolte MFA na svých nejdůležitějších účtech, nainstalujte čekající aktualizace, zkontrolujte, že máte offline zálohu, která skutečně obnovuje, a obnovte své phishingové návyky. Pro více kontextu o AI asistované ofenzívě si přečtěte naše pokrytí Astra a objev zero-day, a pokud provozujete malý podnik, prostudujte si náš vysvětlující článek o Australských pravidlech hlášení ransomware pro MSP pro plánování reakce na incident.