Εκτεθειμένη υποδομή επιτιθέμενων έδωσε στους ερευνητές μια σπάνια ματιά στο πώς οι συνεργάτες ransomware αξιοποιούν την AI. Σύμφωνα με δημοσίευμα του The Hacker News, οι συνεργάτες χρησιμοποίησαν ροές εργασίας AI με ανθρώπινη έγκριση για να εκμεταλλευτούν edge συστήματα, να κλέψουν δεδομένα και να στοχοποιήσουν περίπου 62 οργανισμούς. Η ιστορία είναι μια χρήσιμη υπενθύμιση ότι οι εκστρατείες ransomware με πράκτορες AI σε edge συσκευές δεν αποτελούν πλέον θεωρητική ανησυχία και ότι το hardware που βρίσκεται στην άκρη του δικτύου σας αξίζει πραγματική προσοχή.
Το υλικό πηγής είναι σύντομο, επομένως αυτό το άρθρο περιορίζεται σε ό,τι έχει αναφερθεί και εστιάζει στο τι μπορούν να κάνουν οι αναγνώστες.
Πώς οι συνεργάτες χρησιμοποίησαν πράκτορες AI για να εκτελέσουν εισβολές
Η βασική λεπτομέρεια είναι η φράση «με ανθρώπινη έγκριση». Το δημοσίευμα περιγράφει ροές εργασίας AI στις οποίες ένα άτομο παραμένει στο κύκλωμα για να εγκρίνει βήματα, αντί για ένα πλήρως αυτόνομο σύστημα που δρα μόνο του. Στην πράξη, αυτό σημαίνει ότι η AI αναλαμβάνει μεγάλο μέρος της επαναλαμβανόμενης εργασίας εισβολής, ενώ ένας ανθρώπινος συνεργάτης εγκρίνει τι θα συμβεί στη συνέχεια.
Αυτό το μοντέλο έχει σημασία επειδή μειώνει την προσπάθεια που απαιτείται για την εκτέλεση μιας επίθεσης. Εργασίες που κάποτε απαιτούσαν έναν έμπειρο χειριστή να δουλέψει σε κάθε στάδιο μπορούν να επιταχυνθούν, ενώ ο άνθρωπος διατηρεί τον έλεγχο των βασικών αποφάσεων. Οι συνεργάτες σε αυτή την περίπτωση χρησιμοποίησαν αυτές τις ροές εργασίας για να εκμεταλλευτούν edge συστήματα και να κλέψουν δεδομένα.
Αυτό ταιριάζει με ένα ευρύτερο μοτίβο αυτοματοποίησης στο κυβερνοέγκλημα. Για περισσότερα σχετικά με το πώς τα εργαλεία AI αναδιαμορφώνουν τα οικονομικά των επιτιθέμενων, δείτε την προηγούμενη αναφορά μας για το πώς ένα εργαλείο AI που ονομάζεται Hermes τροφοδοτεί επιθέσεις ransomware.
Γιατί οι πύλες VPN και οι δρομολογητές ήταν το σημείο εισόδου
Τα edge συστήματα είναι οι συσκευές που βλέπουν το ανοιχτό διαδίκτυο: πύλες VPN, δρομολογητές, τείχη προστασίας και παρόμοιες συσκευές. Είναι ελκυστικές στους επιτιθέμενους για έναν απλό λόγο. Είναι προσβάσιμες από οπουδήποτε, συχνά βρίσκονται εκτός της παρακολούθησης που καλύπτει φορητούς υπολογιστές και διακομιστές, και μπορούν να παρέχουν μια άμεση διαδρομή σε ένα εσωτερικό δίκτυο.
Όταν ένας επιτιθέμενος παραβιάζει μία από αυτές τις συσκευές, μπορεί να φτάσει σε εσωτερικούς πόρους και να εξαγάγει δεδομένα χωρίς να αγγίξει ποτέ τον υπολογιστή ενός χρήστη. Γι' αυτό η προτεινόμενη εστίαση εδώ είναι η υγιεινή του περιμέτρου. Μια συσκευή που προορίζεται να προστατεύει την πρόσβαση μπορεί να γίνει ο τρόπος εισόδου αν είναι εκτεθειμένη, παρωχημένη ή κακώς ρυθμισμένη.
Αξίζει να είμαστε ακριβείς: το δημοσίευμα που έχουμε δεν κατονομάζει συγκεκριμένα προϊόντα ή ευπάθειες και δεν θα κάνουμε υποθέσεις γι' αυτά. Το συμπέρασμα αφορά την κατηγορία της συσκευής, όχι έναν συγκεκριμένο προμηθευτή.
Τι αποκαλύπτει η εκτεθειμένη υποδομή για τους 62 στόχους
Η εκτεθειμένη υποδομή είναι αυτό που επέτρεψε στους ερευνητές να εκτιμήσουν ότι στοχοποιήθηκαν περίπου 62 οργανισμοί. Αυτός ο αριθμός είναι μια εκτίμηση και αντανακλά ό,τι ήταν ορατό στην ίδια τη ρύθμιση του επιτιθέμενου, παρά έναν επιβεβαιωμένο αριθμό επιτυχημένων παραβιάσεων.
Μερικά σημεία ξεχωρίζουν:
- Και οι επιτιθέμενοι κάνουν λάθη. Κακώς ρυθμισμένοι ή εκτεθειμένοι διακομιστές επιτιθέμενων μπορούν να αποκαλύψουν εργαλεία, ροές εργασίας και λίστες στόχων που οι αμυνόμενοι δεν θα έβλεπαν ποτέ διαφορετικά.
- Η στοχοποίηση φαίνεται συστηματική. Μια λίστα με δεκάδες οργανισμούς υποδηλώνει μια επαναλήψιμη διαδικασία παρά μια μεμονωμένη εισβολή.
- Η κλοπή δεδομένων είναι μέρος του playbook. Οι συνεργάτες δεν επιδίωκαν μόνο κρυπτογράφηση· έκλεψαν και δεδομένα, κάτι που προσθέτει πίεση στα θύματα.
Το ευρύτερο δίδαγμα είναι ότι η υποστήριξη AI μπορεί να βοηθήσει τους συνεργάτες να κλιμακώσουν. Ακόμη και με έναν άνθρωπο να εγκρίνει ενέργειες, ένας μόνο χειριστής μπορεί δυνητικά να δουλέψει σε πολλούς στόχους.
Τι σημαίνει αυτό για εσάς
Αν διαχειρίζεστε ένα εταιρικό δίκτυο, είστε το πιο άμεσο κοινό. Οποιαδήποτε συσκευή VPN, τείχος προστασίας ή δρομολογητής που δέχεται συνδέσεις από το διαδίκτυο αποτελεί μέρος της επιφάνειας επίθεσής σας και οι επιτιθέμενοι ψάχνουν για εκείνες που έμειναν χωρίς ενημερώσεις ή χωρίς διαχείριση.
Αν είστε οικιακός χρήστης, το προφίλ κινδύνου είναι διαφορετικό αλλά όχι μηδενικό. Οι οικιακοί δρομολογητές συχνά διαθέτουν επιλογές απομακρυσμένης διαχείρισης που πολλοί άνθρωποι δεν εξετάζουν ποτέ. Το να τις αφήνετε ενεργοποιημένες και χωρίς ενημερώσεις είναι το είδος του κενού που τα αυτοματοποιημένα εργαλεία είναι φτιαγμένα να εντοπίζουν.
Τίποτα από αυτά δεν απαιτεί πανικό. Απαιτεί τακτική συντήρηση που πολλοί άνθρωποι παραλείπουν.
Πώς να ελέγξετε και να θωρακίσετε τις δικές σας edge συσκευές
Ξεκινήστε με την ορατότητα και μετά μειώστε την έκθεση.
- Βρείτε τι είναι εκτεθειμένο. Καταγράψτε κάθε δρομολογητή, πύλη VPN και τείχος προστασίας που βλέπει το διαδίκτυο. Ελέγξτε ποιες διεπαφές διαχείρισης και θύρες είναι προσβάσιμες από έξω από το δίκτυό σας.
- Ενημερώστε το firmware. Ελέγξτε τη σελίδα ενημερώσεων του προμηθευτή σας και εφαρμόστε το τρέχον firmware. Ενεργοποιήστε τις αυτόματες ενημερώσεις αν η συσκευή τις υποστηρίζει.
- Απενεργοποιήστε την περιττή απομακρυσμένη πρόσβαση. Αν δεν χρειάζεστε απομακρυσμένη διαχείριση, απενεργοποιήστε την. Όπου τη χρειάζεστε, περιορίστε την σε συγκεκριμένες αξιόπιστες διευθύνσεις.
- Ενεργοποιήστε το MFA. Απαιτήστε έλεγχο ταυτότητας πολλαπλών παραγόντων στις συνδέσεις VPN και στα πάνελ διαχείρισης και αντικαταστήστε τους προεπιλεγμένους ή επαναχρησιμοποιημένους κωδικούς πρόσβασης.
- Ελέγξτε τα αρχεία καταγραφής. Αναζητήστε ασυνήθιστες συνδέσεις, απροσδόκητες αλλαγές διαμόρφωσης ή μεγάλες εξερχόμενες μεταφορές.
- Αποσύρετε hardware στο τέλος ζωής. Οι συσκευές που δεν λαμβάνουν πλέον ενημερώσεις ασφαλείας αποτελούν μόνιμο κίνδυνο.
Βασικά συμπεράσματα
Η αναφερόμενη εκστρατεία δείχνει ότι οι επιθέσεις ransomware με πράκτορες AI σε edge συσκευές λειτουργούν καλύτερα εναντίον εξοπλισμού που είναι εκτεθειμένος και παραμελημένος. Οι ροές εργασίας AI με ανθρώπινη έγκριση βοηθούν τους συνεργάτες να κινούνται ταχύτερα, αλλά τα σημεία εισόδου παραμένουν συνηθισμένα: συσκευές εκτεθειμένες στο διαδίκτυο με αδύναμες ρυθμίσεις.
Αυτή την εβδομάδα, ελέγξτε τον δρομολογητή ή τη συσκευή VPN σας για έκθεση στο διαδίκτυο, ενημερώστε το firmware, απενεργοποιήστε την απομακρυσμένη πρόσβαση που δεν χρειάζεστε και ενεργοποιήστε το MFA. Για περισσότερο πλαίσιο σχετικά με το πώς η αυτοματοποίηση αλλάζει το ransomware, διαβάστε το άρθρο μας για το εργαλείο ransomware Hermes.
