Tutkijat ovat paljastaneet Phantom-nimisen tekoälyohjatun tunkeutumiskehyksen, jota INC- ja The Gentlemen -kiristyshaittaohjelmaoperaatioiden tytäryhtiöt käyttävät murtojensa laajentamiseen. Tämän tekoälypohjaisen kiristyshaittaohjelmakehyksen Phantom löytäminen on hyödyllinen merkki siitä, mihin rikolliset työkalut ovat menossa: vähemmän manuaalista työtä uhria kohden ja enemmän uhreja hyökkääjää kohden.

Julkiset tiedot ovat rajallisia, joten tämä kirjoitus pitäytyy siinä, mitä on raportoitu, ja välttää teknisten yksityiskohtien arvailua. Selvää on kehityksen suunta, ja vastauksena merkitykselliset puolustukset ovat pääosin tuttuja.

Mitä tutkijat löysivät Phantomista

Raportin mukaan Phantom on tekoälyohjattu tunkeutumiskehys. Kahden kiristyshaittaohjelmaryhmän, INC:n ja The Gentlemenin, tytäryhtiöt ovat käyttäneet sitä kiristyshaittaohjelmatunkeutumistensa laajentamiseen. Kiristyshaittaohjelmien maailmassa tytäryhtiöt ovat operaattoreita, jotka todella toteuttavat hyökkäyksiä, usein ydintyhmän toimittamien työkalujen ja infrastruktuurin avulla. Jaettu kehys antaa monille tytäryhtiöille samat valmiudet.

Raportointi kuvailee kehystä tapana automatisoida ja laajentaa murtoja. Meillä ei ole vahvistettuja tietoja siitä, mitä tiettyjä haavoittuvuuksia se hyödyntää, kuinka moneen uhriin se on osunut tai mihin tekoälymalleihin se nojaa, joten emme aio spekuloida niillä. Jos tutkijat julkaisevat lisää, nämä yksityiskohdat ovat merkityksellisiä puolustajille.

Miten tekoäly laskee kiristyshaittaohjelmien kynnystä

Kiristyshaittaohjelmatunkeutumisiin on perinteisesti liittynyt monia vaiheita: sisäänpääsyn löytäminen, verkossa liikkuminen, arvokkaan datan paikantaminen ja salaushyötykuorman käyttöönotto. Jokainen vaihe vaatii aikaa ja taitoa. Automaatio hyökkää tätä pullonkaulaa vastaan. Kun kehys hoitaa prosessin toistuvia tai teknisiä osia, vähemmän kokeneet tytäryhtiöt voivat yrittää hyökkäyksiä, jotka aiemmin vaativat kokeneita operaattoreita, ja kokeneet voivat suorittaa useampia yrityksiä kerralla.

Tämä on Phantomin kaltaisten työkalujen ydinhuoli. Se ei välttämättä tee yksittäisestä hyökkäyksestä älykkäämpää. Se tekee hyökkäysten käynnistämisestä halvempaa, mikä nostaa kaikkien riskin perustasoa, mukaan lukien kohteet, jotka aiemmin olivat liian pieniä hyökkääjän manuaalisen työn arvoisiksi.

Tekoälyavusteisen hyökkäystoiminnan laajempi trendi ei rajoitu kiristyshaittaohjelmiin. OpenAI on paljastanut, että sen Astra-malli voi löytää zero-day-haavoittuvuuksia ja rakentaa toimivia hyväksikäyttöjä, mitä käsittelimme tarkastelussamme OpenAI:n Astra-tekoälystä ja sen kyvystä löytää zero-day-haavoittuvuuksia ja rakentaa hyväksikäyttöjä. Yhdessä nämä kehityskulut osoittavat, miten tekoäly puristaa aikaa ja asiantuntemusta, joka tarvitaan kohteesta kompromissiin.

Mitä tämä tarkoittaa sinulle

Yksityishenkilöille: Kiristyshaittaohjelmat yhdistetään yleensä yrityksiin, mutta automaatio tekee laajasta, opportunistisesta kohdentamisesta helpompaa. Henkilökohtaiset laitteet, kotitoimistot ja pilvitilit, joilla on perhekuvia tai asiakirjoja, voivat joutua samankaltaisten kampanjoiden pyyhkäisemiksi. Käytännön vaikutus on, että "eihän kukaan vaivautuisi hyökkäämään minua vastaan" on heikompi oletus kuin ennen.

Pienyrityksille: Pieniltä yrityksiltä puuttuu usein oma turvallisuustiimi, mikä tekee niistä houkuttelevia, kun hyökkääjät voivat laajentaa edullisesti. Jos tunkeutuminen tapahtuu, sinun on myös mietittävä vastausta, mukaan lukien lakisääteiset velvoitteet. Esimerkiksi Australiassa pakolliset kiristyshaittaohjelmien raportointisäännöt muuttavat tapaa, jolla pienemmät yritykset käsittelevät hyökkäyksiä, kuten selitimme artikkelissamme Australian kiristyshaittaohjelmien raportointisäännöistä ja pienyritysten tietosuojariskeistä. Velvoitteidesi tunteminen ennen incidenttiä on paljon helpompaa kuin niiden oppiminen incidentin aikana.

Mikään Phantom-raportoinnissa ei viittaa uuteen, pysäyttämättömään hyökkäysmenetelmään. Kyse on volyymista ja saavutettavuudesta, ja juuri siinä perustason tietoturvahygienia maksaa itsensä takaisin.

Käytännön puolustukset: MFA, paikkaukset, varmuuskopiot ja tietojenkalastelutietoisuus

Automaatio pyrkii yleensä osumaan helpoimpiin kohteisiin ensin. Sisäänpääsyn kustannusten nostaminen on edelleen tehokkain vastaus.

  • Ota monivaiheinen todennus (MFA) käyttöön. Priorisoi sähköposti, pilvitallennus, etäkäyttö ja ylläpitäjätilit. Käytä mahdollisuuksien mukaan todennussovellusta tai laitteistokättä SMS-koodien sijaan.
  • Paikkaa viipymättä. Päivitä käyttöjärjestelmät, selaimet, VPN- ja palomuurilaitteet sekä yritysohjelmistot. Ota automaattiset päivitykset käyttöön, missä voit, ja pidä luetteloa internetiin yhteydessä olevista järjestelmistä, jotta mitään ei unohdeta.
  • Pidä offline- tai muuttumattomat varmuuskopiot. Noudata 3-2-1-lähestymistapaa: kolme kopiota, kahden tyyppistä mediaa, yksi tallennettu offline-tilaan tai pääverkkosi ulottumattomiin. Testaa niistä palauttamista säännöllisesti.
  • Pysy varovaisena tietojenkalastelun suhteen. Suhtaudu skeptisesti odottamattomiin liitteisiin, kirjautumiskehotteisiin ja kiireellisiin maksu- tai salasanapyyntöihin. Varmista erillisen kanavan kautta ennen toimimista.
  • Rajoita pääsyä. Käytä erillisiä ylläpitäjä- ja arkikäyttäjätilejä ja poista pääsy henkilöiltä, jotka eivät enää tarvitse sitä.
  • Valmistele yksinkertainen vastaussuunnitelma. Tiedä, kehen ottaa yhteyttä, miten eristää vaikutuksen alaiset laitteet ja mitkä raportointisäännöt sinua koskevat.

Keskeiset huomiot

Tekoälypohjaisen kiristyshaittaohjelmakehyksen Phantom löytäminen osoittaa, että hyökkääjät investoivat automaatioon laajentaakseen kiristyshaittaohjelmatunkeutumisia, ja INC:n ja The Gentlemenin tytäryhtiöt ovat raportoitujen tietojen mukaan niiden joukossa, jotka käyttävät sitä. Et voi hallita sitä, miten rikolliset rakentavat työkalujaan, mutta voit hallita sitä, ovatko tilisi, järjestelmäsi ja varmuuskopiosi helppoja kohteita.

Aloita tällä viikolla: ota MFA käyttöön tärkeimmissä tileissäsi, asenna odottavat päivitykset, tarkista, että sinulla on offline-varmuuskopio, joka todella palautuu, ja virkistä tietojenkalastelutapojasi. Lisätietoja tekoälyavusteisesta hyökkäystoiminnasta saat lukemalla kattavuutemme Astrasta ja zero-day-haavoittuvuuksien löytämisestä, ja jos pyörität pienyritystä, tutustu selitykseemme Australian pienyritysten kiristyshaittaohjelmien raportointisäännöistä suunnitellaksesi incidenttivastauksesi.