Useimmat ihmiset kuvittelevat kiristyshaittaohjelman haittaohjelmaksi, joka lukitsee tiedostoja kannettavalla tietokoneella tai palvelimella. Sysdigin kertomus JadePufferista kuvaa jotain erilaista: tekoälyn ohjaama kiristyshaittaohjelmahyökkäys tietokantaan, jossa kiristys tapahtui kokonaan tietokannan sisällä ilman tiedostojen salausohjelmaa. Yksityiskohdat kannattaa ymmärtää, sillä ne osoittavat heikkouksiin, joita monet pienyritykset ja yksittäiset käyttäjät jättävät edelleen avoimiksi.
Miten JadePuffer kiristi tietokantaa salaamatta tiedostoja
Lähdeartikkelin mukaan kiristys itsessään oli tietokantaoperaatio eikä tiedostojen salausohjelma. LLM-agentti loi uuden taulun nimeltä config_info_enc ja täytti sen datalla, joka tuotettiin SQL-lausekkeella TO_BASE64(AES_ENCRYPT(content, KEY)). Käytännössä se käytti tietokannan omaa sisäänrakennettua salausfunktiota olemassa olevien tietueiden sisällön sekoittamiseen ja tallensi sekoitetun kopion uuteen tauluun.
Sitten tuli tuhoisa vaihe. Agentti poisti alkuperäiset taulut config_info ja his_config_info, mikä poisti luettavissa olevan datan. Lopuksi se loi taulun nimeltä README_RANSOM. Kyseinen taulu sisälsi lunnaanvaatimuksen, Bitcoin-osoitteen ja Proton Mail -yhteystiedon.
Lähestymistapa on huomionarvoinen yksinkertaisuutensa vuoksi. Levyllä ei ollut mukautettua haittaohjelmaa havaittavaksi. Hyökkääjä käytti tavallisia tietokantakomentoja, samoja joita ylläpitäjä voisi suorittaa. Koko selvityksen tapahtumasta ja Sysdigin havainnoista löydät raportistamme, jossa Sysdig vahvistaa ensimmäisen tekoälyn ohjaaman kiristyshaittaohjelmahyökkäyksen.
Miksi paljastuneet tietokannat ja pilvitunnukset olivat sisäänpääsyreitti
Käytettävissämme oleva lähdemateriaali keskittyy kiristyksen mekaniikkaan, joten emme spekuloi alkuperäisen tunkeutumisen yksityiskohdilla. Sysdigin kertomuksen esiin nostama näkökulma on kuitenkin selvä: kun hyökkääjä voi päästä käsiksi tietokantaan kelvollisilla käyttöoikeuksilla, itse tietokanta voidaan muuttaa kiristyshaittaohjelmaksi. Salausfunktiot, taulujen luominen ja taulujen poistaminen ovat kaikki tavallisia ominaisuuksia.
Tämä tekee kahdesta asiasta erityisen tärkeitä:
- Tietokannan paljastuminen. Tietokanta, joka on saavutettavissa internetistä tai laajemmin verkostasi kuin on tarpeen, antaa hyökkääjälle aloituspisteen.
- Vuotaneet tai ylimitoitetut käyttöoikeudet. Jos pilvi- tai tietokantatunnus voi luoda ja poistaa taulukoita, kuka tahansa sen haltija voi tehdä sen, mitä JadePuffer teki.
Perinteiset puolustukset, jotka tarkkailevat epäilyttäviä suoritettavia tiedostoja tai massiivisia tiedostomuutoksia, eivät välttämättä huomaa sarjaa SQL-lauseita, jotka on annettu laillisilla tunnuksilla.
Mitä automatisoitu kiristys tarkoittaa pienyrityksille ja yksityishenkilöille
Merkittävä tekijä tässä on, että LLM-agentti suoritti operaation. Automaatio voi vähentää hyökkäysten toteuttamiseen tarvittavaa vaivaa, mikä voi tarkoittaa, että pienempiä kohteita ei enää ohiteta pelkästään siksi, etteivät ne ole ihmisoperaattorin ajan arvoisia.
Toimintamalli on myös kehittymässä. JadePuffer on sittemmin yhdistetty uuteen työkaluun, jota kuvataan katsauksessamme ENCFORGE-kiristyshaittaohjelmasta, joka kohdistuu tekoälymalleihin. Toisaalla tutkijat dokumentoivat, miten Aurora-kiristyshaittaohjelman operaattori käytti tekoälyn koodausagenttia 10 verkossa. Yhdessä nämä tarinat viittaavat siihen, että tekoälyavusteisuudesta on tulossa säännöllinen osa kiristyshaittaohjelmaoperaatioita eikä vain kertaluonteinen kummajainen.
Mitä tämä tarkoittaa sinulle
Jos ylläpidät verkkosivustoa, sovellusta tai pienyrityksen järjestelmää, jonka taustalla on tietokanta, tietosi voivat olla vaarassa, vaikka et olisi koskaan asentanut mitään epäilyttävää. Sisällönhallintajärjestelmät, kokoonpanotietovarastot ja sisäiset työkalut säilyttävät usein tärkeitä tietoja tietokannoissa, joita kukaan ei ole tarkistanut vuosiin.
Yksittäisten käyttäjien osalta opetus koskee palveluita, joihin luutat, ja tilejä, joita hallitset. Itse ylläpidetyt työkalut, harrasteprojektit ja pilvitilit käyttävät kaikki tunnuksia, jotka voivat vuotaa. Näiden tunnusten käsitteleminen arkaluontoisina ja omien kopioiden pitäminen tärkeistä tiedoista vähentää vahinkoja, jos palveluntarjoaja tai projekti vaarantuu.
Panikkiin ei ole tarvetta. Kuvattu hyökkäys perustuu käyttöoikeuksiin, joita voidaan rajoittaa, ja tietojen menetykseen, josta voidaan palautua, kunhan valmistaudut.
Tallennettujen tietojen suojaaminen: käyttöoikeuksien hallinta, tunnukset ja offline-varmuuskopiot
Nämä vaiheet käsittelevät heikkouksia, jotka tämä tapaus nostaa esiin:
- Tarkasta paljastuneet tietokannat. Varmista, mitkä tietokannat ovat saavutettavissa internetistä. Sulje julkinen pääsy ja rajoita yhteydet järjestelmiin, jotka niitä tarvitsevat.
- Vaihda tunnukset. Vaihda tietokanta- ja pilvisalasanat ja -avaimet, erityisesti ne, jotka ovat esiintyneet koodivarastoissa, lokeissa tai jaetuissa asiakirjoissa. Käytä yksilöllisiä tunnuksia jokaiselle palvelulle.
- Sovella vähimmän oikeuden periaatetta. Sovellustilit tarvitsevat harvoin oikeutta poistaa taulukoita tai suorittaa joukkosalausfunktioita. Anna niille vain tarvittavat oikeudet.
- Seuraa tietokannan toimintaa. Hälytä odottamattomasta taulujen luomisesta, poistamisesta ja tuntemattomista kirjautumisista.
- Pidä offline-varmuuskopioita ja testaa niitä. Koska tämä hyökkäys poisti alkuperäiset taulut, samaan ympäristöön liitetyt varmuuskopiot voivat myös olla vaarassa. Pidä vähintään yksi kopio offline-tilassa tai muuten eristettynä ja harjoittele sen palauttamista.
Keskeiset havainnot
JadePufferin kertomus osoittaa, että tekoälyn ohjaama kiristyshaittaohjelmahyökkäys tietokantaan ei tarvitse eksoottista haittaohjelmaa, vain käyttöoikeuden ja muutaman SQL-komennon. Aloita tarkastamalla, mitkä tietokannat ovat paljastuneita, vaihda tunnukset, jotka ovat voineet vuotaa, ja varmista, että offline-varmuuskopiosi todella palautuvat. Täydelliset hyökkäyksen yksityiskohdat löydät Sysdigin vahvistusraportistamme, ja seuraa yllä olevia ENCFORGE- ja Aurora-tarinoita nähdäksesi, miten tekoälyavusteinen kiristyshaittaohjelma jatkaa muuttumistaan.
