Help Net Securityn raportti kuvaa huolestuttavaa muutosta kiristysohjelmajengien toimintatavoissa. Aur0ra-kiristysohjelman taustalla oleva ryhmä antoi raportin mukaan tekoälyagenteille varastetut tunnistetiedot ja päästi ne liikkumaan uhrien verkkoihin kohti toimialueen pääkäyttäjän oikeuksia. Lyhyesti sanottuna tekoälyagenttien, kiristysohjelmien ja varastettujen tunnistetietojen yhdistelmä ei ole enää vain teoreettinen riski. Sitä käytetään työhön, joka aiemmin vaati osaavia ihmisoperaattoreita.

Julkiset yksityiskohdat ovat rajallisia, joten on syytä olla huolellinen sen suhteen, mitä tiedämme ja mitä emme. Alla on yhteenveto siitä, mitä raportti kertoo, miksi sillä on merkitystä ja mitkä käytännön toimet vähentävät altistumistasi.

Mitä Aur0ra-ryhmä teki tekoälyagenteilla

Raportin mukaan Aur0ra-operaattorit eivät ainoastaan käyttäneet tekoälyä tietojenkalastelusähköpostien kirjoittamiseen tai lunnaiden viimeistelyyn. He antoivat varastetut tunnistetiedot tekoälyagenteille ja päästivät näiden agenttien liikkua uhrien verkoissa tavoitteenaan saavuttaa toimialueen pääkäyttäjän oikeudet.

Tekoälyagentti on tässä yhteydessä ohjelmisto, joka voi ottaa tavoitteen, päättää vaiheista, suorittaa komentoja, lukea tuloksia ja mukautua. Sen sijaan, että ihmishyökkääjä kirjoittaisi jokaisen komennon ja tulkitsisi jokaisen vastauksen, agentti hoitaa suuren osan tästä silmukasta itsenäisesti. Raportoitu tavoite oli toimialueen pääkäyttäjä, eli käyttöoikeustaso, joka tyypillisesti antaa hallinnan useimpiin tileihin ja koneisiin Windows-pohjaisessa organisaatiossa.

Lähteen yhteenveto ei tarjoa tarkempia teknisiä yksityiskohtia, joten emme spekuloi sillä, mitä työkaluja agentit käyttivät tai kuinka moneen uhriin hyökkäys vaikutti.

Miten varastetut tunnistetiedot muuttuvat toimialueen pääkäyttäjän oikeuksiksi

Varastetut tunnistetiedot ovat usein verkkotunkeutumisen lähtökohta. Käyttäjätunnus ja salasana, istuntotunniste tai etäkäyttökirjautuminen voivat päästää hyökkääjän sisään etuovesta sen sijaan, että tämä murtautuisi seinän läpi.

Tästä eteenpäin verkon valtaamisen yleinen kaava on puolustajille tuttu:

  • Hyökkääjä kirjautuu sisään kelvollisella tilillä, mikä voi näyttää normaalilta toiminnalta.
  • Hän tutkii verkkoa oppiakseen, mitä järjestelmiä ja tilejä on olemassa.
  • Hän etsii tehokkaampia tunnistetietoja tai väärinkonfiguraatioita, joiden avulla voi liikkua sivusuunnassa.
  • Hän jatkaa oikeuksien eskaloimista, kunnes hänellä on toimialueen pääkäyttäjän oikeudet.

Kun hyökkääjällä on toimialueen pääkäyttäjän oikeudet, kiristysohjelman levittäminen moniin järjestelmiin kerralla helpottuu huomattavasti. Siksi Aur0ra-agenttien raportoitu tavoite on merkityksellinen. Toimialueen pääkäyttäjän oikeudet ovat piste, jossa tunkeutuminen voi muuttua koko organisaation kriisiksi.

Keskeinen opetus on, että tämä ketju alkaa kelvollisesta kirjautumisesta. Vahva tunnistetietojen suojaus ja tiukka etäkäytön valvonta iskevät prosessin aikaisimpaan ja halvimpaan vaiheeseen.

Miksi tekoäly madaltaa kynnystä kiristysohjelmahyökkääjille

Historiallisesti verkon läpi toimialueen pääkäyttäjäksi liikkuminen vaati kärsivällisyyttä, kokemusta ja aikaa. Hyökkääjien täytyi lukea tuloksia, tehdä harkintapäätöksiä ja välttää hälytysten laukeaminen. Tämä työ rajoitti sitä, kuinka monta uhria yksi jengi pystyi käsittelemään.

Automaatio muuttaa tätä yhtälöä. Jos tekoälyagentit voivat hoitaa suuren osan tutkimisesta ja eskaloinnista, jengi saattaa tarvita vähemmän osaavia ihmisiä ja vähemmän käsityötä uhria kohden. Raportoitu Aur0ra-toiminta viittaa siihen, että:

  • Vähemmän kokeneet operaattorit voisivat yrittää tunkeutumisia, jotka aiemmin vaativat asiantuntemusta.
  • Kokeneet operaattorit voisivat toteuttaa useampia tunkeutumisia rinnakkain.
  • Aika alkupääsystä täydelliseen kompromissiin voisi lyhentyä, jättäen puolustajille vähemmän reagointiaikaa.

Nämä ovat raportoidun toiminnan kohtuullisia seurauksia, eivät vahvistettuja mittauksia. Silti kiristysohjelmaryhmillä on pitkä historia työkalujensa ja infrastruktuurinsa mukauttamisesta tehokkaana pysymiseksi. Käsittelymme siitä, miten DeadLock-kiristysohjelma lisää Session-sovelluksen välttääkseen alasajot, osoittaa saman kaavan eri näkökulmasta: operaattorit muuttavat jatkuvasti menetelmiään, kun jokin tulee niiden tielle, ja he omaksuvat kaiken, mikä tekee työstä halvempaa ja kestävämpää.

Mitä tämä tarkoittaa sinulle

Hyvä uutinen on, että tekoälyagentit tarvitsevat silti jotain, millä työskennellä. Raportoidussa tapauksessa se jokin oli varastetut tunnistetiedot. Puolustajat eivät voi hallita sitä, kuinka älykkäitä hyökkääjän työkalut ovat, mutta he voivat hallita sitä, kuinka hyödylliseksi varastettu kirjautuminen osoittautuu.

Yksityishenkilöille tämä on muistutus siitä, että uudelleenkäytetyt tai paljastuneet salasanat voivat muodostua ensimmäiseksi lenkiksi paljon suuremmassa ketjussa, erityisesti jos käytät samaa kirjautumista työ- ja henkilökohtaisiin palveluihin. Pienyrityksille ja IT-tiimeille se tarkoittaa, että etäkäyttöjärjestelmät, mukaan lukien VPN-yhdyskäytävät ja etätyöpöytäpalvelut, ansaitsevat saman tarkastelun kuin mikä tahansa muu sisäänkäynti.

Miten vähentää altistumistasi tunnistetietopohjaisille hyökkäyksille

Mikään näistä toimista ei ole eksoottinen, ja yhdessä ne tekevät varastetusta salasanasta paljon vähemmän arvokkaan:

  1. Tarkasta salasanasi. Käytä salasananhallintaa antamaan jokaiselle tilille ainutlaatuinen, pitkä salasana. Vaihda kaikki salasanat, jotka ovat esiintyneet tunnetussa tietovuodossa.
  2. Ota monivaiheinen tunnistautuminen (MFA) käyttöön. Suosi sovellus- tai laitteistopohjaisia menetelmiä SMS:n sijaan mahdollisuuksien mukaan ja vaadi MFA sähköpostissa, ylläpitotileissä ja kaikessa etäkäytössä.
  3. Tarkista VPN- ja etäkäyttöasetukset. Varmista, kellä on pääsy, poista tarpeettomat tilit ja varmista, että etäkirjautumiset vaativat MFA:n. Pidä yhdyskäytäväohjelmisto päivitettynä.
  4. Rajoita käyttöoikeuksia. Jokapäiväisillä tileillä ei pitäisi olla ylläpitäjän oikeuksia. Vähemmän tehokkaita tilejä tarkoittaa vähemmän polkuja toimialueen pääkäyttäjäksi.
  5. Tarkkaile epätavallisia kirjautumisia. Kirjautumiset outoina aikoina, tuntemattomista sijainneista tai järjestelmiin, joita käyttäjä ei koskaan kosketa, ansaitsevat tarkemman tarkastelun.
  6. Pidä offline-varmuuskopiot. Testatut varmuuskopiot, joihin hyökkääjät eivät pääse käsiksi, antavat sinulle tavan palautua maksamatta.

Yhteenveto

Aur0ra-raportti on selkeä esimerkki siitä, miten tekoälyagentit, kiristysohjelmat ja varastetut tunnistetiedot yhdistyvät automatisoidakseen kiipeämisen kohti toimialueen pääkäyttäjän oikeuksia. Hyökkääjän työkalut saattavat nopeutua, mutta sisäänkäynti on edelleen jotain, mitä voit vahvistaa. Aloita tällä viikolla: tarkasta salasanasi, ota MFA käyttöön kaikkialla, missä sitä tarjotaan, ja tarkista VPN- ja etäkäyttöasetuksesi. Lisätietoja siitä, miten kiristysohjelmaoperaattorit mukauttavat työkalujaan ja infrastruktuuriaan, löydät artikkelistamme DeadLock-kiristysohjelmasta ja sen Session-sovelluksen käytöstä.