Paljastunut hyökkääjän infrastruktuuri on antanut tutkijoille harvinaisen tilaisuuden nähdä, miten kiristysohjelmien kumppanit hyödyntävät tekoälyä. The Hacker Newsin raportin mukaan kumppanit käyttivät ihmisen hyväksymiä tekoälytyönkulkuja reunajärjestelmien hyödyntämiseen, tietojen varastamiseen ja arviolta 62 organisaation kohtelemiseen. Tapaus on hyödyllinen muistutus siitä, että tekoälyagenttien käyttö kiristysohjelmien reunalaitteita vastaan ei ole enää teoreettinen huolenaihe, ja että verkkosi reunalla oleva laitteisto ansaitsee todellista huomiota.

Lähdemateriaali on lyhyt, joten tämä kirjoitus pitäytyy siinä, mikä on raportoitu, ja keskittyy siihen, mitä lukijat voivat tehdä asialle.

Miten kumppanit käyttivät tekoälyagentteja tunkeutumisten toteuttamiseen

Keskeinen yksityiskohta on ilmaus "ihmisen hyväksymä". Raportissa kuvataan tekoälytyönkulkuja, joissa ihminen pysyy mukana hyväksymässä vaiheita sen sijaan, että täysin autonominen järjestelmä toimisi yksin. Käytännössä tämä tarkoittaa, että tekoäly hoitaa suuren osan toistuvasta tunkeutumistyöstä, kun taas ihminen eli kumppani hyväksyy, mitä seuraavaksi tapahtuu.

Tämä malli on merkityksellinen, koska se vähentää hyökkäyksen toteuttamiseen tarvittavaa vaivaa. Tehtäviä, jotka aiemmin vaativat taitavan operaattorin työskentelemään jokaisen vaiheen läpi, voidaan nopeuttaa, samalla kun ihminen säilyttää hallinnan keskeisistä päätöksistä. Tässä tapauksessa kumppanit käyttivät näitä työnkulkuja reunajärjestelmien hyödyntämiseen ja tietojen varastamiseen.

Tämä sopii laajempaan kyberrikollisuuden automaatiokehitykseen. Lisätietoja siitä, miten tekoälytyökalut muovaavat hyökkääjien taloutta, löytyy aiemmasta raportistamme siitä, miten Hermes-niminen tekoälytyökalu voimistaa kiristysohjelmahyökkäyksiä.

Miksi VPN-yhdyskäytävät ja reitittimet olivat sisäänkäynti

Reunajärjestelmät ovat laitteita, jotka ovat yhteydessä avoimeen internetiin: VPN-yhdyskäytävät, reitittimet, palomuurit ja vastaavat laitteet. Ne ovat hyökkääjille houkuttelevia yksinkertaisesta syystä. Ne ovat saavutettavissa mistä tahansa, ne sijaitsevat usein kannettavien tietokoneiden ja palvelimien valvonnan ulkopuolella, ja ne voivat tarjota suoran reitin sisäverkkoon.

Kun hyökkääjä murtautuu johonkin näistä laitteista, hän voi mahdollisesti päästä käsiksi sisäisiin resursseihin ja vetää tietoja ulos koskaan koskematta käyttäjän tietokoneeseen. Siksi tässä ehdotettu painopiste on kehän tietoturvahygienia. Käyttöoikeuksien suojaamiseen tarkoitettu laite voi muodostua sisäänkäyntireitiksi, jos se on altistettu, vanhentunut tai huonosti määritetty.

On syytä olla täsmällinen: käytettävissämme oleva raportointi ei nimeä tiettyjä tuotteita tai haavoittuvuuksia, emmekä arvaile niitä. Johtopäätös koskee laiteluokkaa, ei tiettyä toimittajaa.

Mitä paljastunut infrastruktuuri kertoo 62 kohteesta

Paljastunut infrastruktuuri mahdollisti tutkijoiden arvion, että noin 62 organisaatiota oli kohteena. Luku on arvio, ja se heijastaa sitä, mikä oli nähtävissä hyökkääjän omassa ympäristössä, eikä vahvistettua lukumäärää onnistuneista tietomurroista.

Muutama seikka nousee esiin:

  • Hyökkääjät tekevät myös virheitä. Väärin määritetyt tai paljastuneet hyökkääjien palvelimet voivat paljastaa työkaluja, työnkulkuja ja kohdeluetteloita, joita puolustajat eivät muuten koskaan näkisi.
  • Kohdentaminen näyttää järjestelmälliseltä. Kymmenien organisaatioiden luettelo viittaa toistettavaan prosessiin eikä yksittäiseen tunkeutumiseen.
  • Tietojen varastaminen on osa toimintamallia. Kumppanit eivät tavoitelleet vain salausta; he varastivat myös tietoja, mikä lisää painetta uhreihin.

Laajempi opetus on, että tekoälyavusteisuus voi auttaa kumppaneita skaalaamaan toimintaansa. Vaikka ihminen hyväksyy toimet, yksittäinen operaattori voi mahdollisesti työskennellä monien kohteiden parissa.

Mitä tämä tarkoittaa sinulle

Jos ylläpidät yritysverkkoa, olet kaikkein suorin kohderyhmä. Mikä tahansa VPN-laite, palomuuri tai reititin, joka vastaanottaa yhteyksiä internetistä, on osa hyökkäyspinta-alaasi, ja hyökkääjät etsivät niitä, jotka on jätetty päivittämättä tai hallitsematta.

Jos olet kotikäyttäjä, riskiprofiili on erilainen mutta ei nolla. Kotireitittimet toimitetaan usein etähallintavaihtoehdoilla, joita monet ihmiset eivät koskaan tarkista. Niiden jättäminen päälle ja päivittämättä on juuri sellainen aukko, jonka löytämiseen automatisoidut työkalut on rakennettu.

Mikään tästä ei vaadi paniikkia. Se vaatii rutiininomaista ylläpitoa, jonka monet jättävät väliin.

Miten tarkistaa ja suojata omat reunalaittteesi

Aloita näkyvyydestä ja vähennä sitten altistusta.

  1. Selvitä, mikä on altistettu. Listaa jokainen reititin, VPN-yhdyskäytävä ja palomuuri, joka on yhteydessä internetiin. Tarkista, mitkä hallintaliittymät ja portit ovat saavutettavissa verkkosi ulkopuolelta.
  2. Päivitä laiteohjelmisto. Tarkista toimittajasi päivityssivusto ja asenna ajantasainen laiteohjelmisto. Ota automaattiset päivitykset käyttöön, jos laite tukee niitä.
  3. Poista tarpeeton etäkäyttö käytöstä. Jos et tarvitse etähallintaa, kytke se pois päältä. Jos tarvitset sitä, rajoita se tiettyihin luotettuihin osoitteisiin.
  4. Ota MFA käyttöön. Vaadi monivaiheinen todennus VPN-kirjautumisissa ja hallintapaneeleissa ja korvaa oletus- tai uudelleenkäytetyt salasanat.
  5. Käy läpi lokit. Etsi epätavallisia kirjautumisia, odottamattomia kokoonpanomuutoksia tai suuria lähteviä siirtoja.
  6. Poista käytöstä elinkaarensa lopussa oleva laitteisto. Laitteet, jotka eivät enää saa tietoturvapäivityksiä, ovat jatkuva riski.

Keskeiset johtopäätökset

Raportoitu kampanja osoittaa, että tekoälyagenttien hyökkäykset kiristysohjelmien reunalaittteita vastaan toimivat parhaiten laitteistoa vastaan, joka on altistettu ja laiminlyöty. Ihmisen hyväksymät tekoälytyönkulut auttavat kumppaneita toimimaan nopeammin, mutta sisäänkäynnit ovat edelleen tavallisia: internetiin yhteydessä olevia laitteita, joissa on heikot asetukset.

Tällä viikolla: auditoi reitittimesi tai VPN-laitteesi internet-altistuksen varalta, päivitä laiteohjelmisto, kytke pois tarpeeton etäkäyttö ja ota MFA käyttöön. Lisätietoja siitä, miten automaatio muuttaa kiristysohjelmia, löydät kirjoituksestamme Hermes-kiristysohjelmatyökalusta.