SOCRadar:n tutkijat ovat paljastaneet harvinaisen katsauksen siihen, miten rikolliset toimivat. Avoin palvelin, joka liittyi INC- ja The Gentlemen -kiristyshaittaohjelmaoperaatioiden affiliatteihin, sisälsi 8 257 AI-viestiä Clauden ja Kimin kanssa, 46 salausohjelman koontiversiota ja 62 nimettyä uhria. Löytö on konkreettinen esimerkki siitä, että kiristyshaittaohjelmajengit käyttävät AI-avustajia osana päivittäistä rutiiniaan, ja se tarjoaa hyödyllisiä oppeja yksityishenkilöille ja pienyrityksille.
Lähderaportti on lyhyt, joten tämä artikkeli pitäytyy siinä, mikä on julkaistu, ja välttää arvailua yksityiskohdista, joita ei ole julkistettu.
Mitä SOCRadar löysi avoimelta palvelimelta
SOCRadar:n havaintojen yhteenvedon mukaan palvelin oli jätetty avoimesti käytettäväksi ja se liittyi kahden kiristyshaittaohjelmaryhmän, INC:n ja The Gentlemenin, affiliatteihin. Kolme lukua määrittelee löydön:
- 8 257 AI-viestiä avustajien Clauden ja Kimin kanssa
- 46 salausohjelman koontiversiota, eli käännettyjä versioita tiedostot lukitsevasta haittaohjelmasta, jotka ovat valmiita käyttöön
- 62 nimettyä uhria, palvelimelta tunnistetut organisaatiot
Tällainen paljastunut palvelin toimii kuin työpaja, jonka ovi on jätetty auki. Sen sijaan, että näkisi vain valmiin hyökkäyksen, tutkijat voivat nähdä työkalut, tallenteet ja niiden taustalla olevat työkeskustelut. Rikollisten operatiiviset virheet, kuten infrastruktuurin jättäminen suojaamatta, ovat yksi harvoista tavoista, joilla puolustajat saavat tällaisen näkyvyyden.
Miten INC ja The Gentlemen käyttivät Claudea ja Kimiä
Otsikkotason yksityiskohta on AI-keskustelujen määrä. Yli kahdeksantuhatta viestiä viittaa siihen, että avustajat eivät olleet satunnainen kokeilu vaan säännöllinen osa näiden affiliattien työnkulkua. Lähdemateriaali vahvistaa keskustelujen olemassaolon salausohjelman koontiversioiden ja uhritietojen rinnalla. Se ei tässä saatavilla olevissa tiedoissa erittele jokaista tehtävää, joihin avustajia käytettiin, joten emme spekuloi tietyillä kehotteilla tai tuotoksilla.
Se, mitä yhdistelmä kuitenkin osoittaa, on, että AI-chat-työkalut istuvat hyökkäyskampanjan koneiston vieressä: haittaohjelmien koontiversiot toisella puolella, uhrislista toisella ja pitkä tallenne AI-keskusteluista niiden välissä. Puolustajille käytännön opetus on, että AI voi nopeuttaa rikollisten rutiinityötä, mikä voi vähentää hyökkäysten valmisteluun ja toteuttamiseen tarvittavaa vaivannäköä.
Merkityksellistä on myös se, että esiin tulee kaksi eri avustajaa. Claude ja Kimi tulevat eri kehittäjiltä, mikä viittaa siihen, että affiliatit eivät ole sidottuja yhteen työkaluun ja voivat vaihtaa niiden välillä.
Mitä 62 nimettyä uhria kertovat kohdentamisesta
Kuusikymmentäkaksi nimettyä uhria yhdessä 46 salausohjelman koontiversion kanssa viittaa järjestäytyneeseen, toistettavaan operaatioon eikä kertaluontoiseen tunkeutumiseen. Monien valmiiden koontiversioiden olemassaolo viittaa siihen, että hyökkääjät valmistelevat räätälöityjä tai vaihtelevia haittaohjelmaversioita etukäteen, mikä voi tehdä yksinkertaisesta allekirjoituspohjaisesta havaitsemisesta vähemmän luotettavaa.
Lähde ei erittele, mille toimialoille tai alueille uhrit kuuluvat, joten olisi väärin tehdä varmoja johtopäätöksiä sektorikohtaisesta kohdentamisesta. Kohtuullinen tulkinta on suppeampi: kiristyshaittaohjelma-affiliatit pitävät työskentelylistoja kohteista ja valmistelevat työkaluja etukäteen. Tämä malli on yhdenmukainen laajemman trendin kanssa, jossa ryhmät iskevät organisaatioihin, joihin on helpompi kohdistaa painetta – teemaa, jota käsittelimme artikkelissamme siitä, miten Qilin- ja Akira-kiristyshaittaohjelmajengit kiihdyttävät toimitusketjuhyökkäyksiä.
Mitä tämä tarkoittaa sinulle
Jos pyörität pienyritystä tai hallitset omia laitteitasi, uutinen voi tuntua kaukaiselta, mutta opetus on käytännöllinen. AI-avustus ei niinkään keksi uusia tapoja murtautua sisään, vaan tekee olemassa olevista menetelmistä nopeampia valmistella. Se tarkoittaa, että perusasiat merkitsevät enemmän, ei vähemmän.
- Yksityishenkilöt: Hyökkääjät ovat edelleen riippuvaisia varastetuista salasanoista, päivittämättömistä ohjelmistoista ja huijatuista käyttäjistä. Vahvat, ainutlaatuiset kirjautumistiedot ja päivitetyt laitteet pysyvät tehokkaina esteinä.
- Pienyritykset: Pienuus ei ole suoja. Affiliatit pitävät uhrislistoja, ja valmistelu on halpaa, kun työkalut on jo rakennettu.
- Kaikki: Älä oleta, että voit tunnistaa hyökkäyksen huolimattomasta sanamuodosta tai kömpelöstä tekniikasta. AI voi auttaa hiomaan molempia.
Miten vähentää kiristyshaittaohjelmariskiä varmuuskopioilla, päivityksillä ja MFA:lla
Kolme tapaa tekevät suurimman osan työstä kiristyshaittaohjelmia vastaan, auttoi hyökkääjää kuka tai mikä tahansa:
- Pidä offline- tai muuttumattomat varmuuskopiot. Kiristyshaittaohjelma on suunniteltu lukitsemaan tiedostosi, ja varmuuskopio, johon hyökkääjät eivät pääse käsiksi, muuttaa kriisin harmiksi. Testaa palautuksia säännöllisesti, sillä testaamaton varmuuskopio on arvaus.
- Päivitä viipymättä. Asenna käyttöjärjestelmien, selaimien, VPN-laitteiden ja etäkäyttötyökalujen päivitykset heti, kun voit. Priorisoi kaikki internetiin altistetut.
- Ota monivaiheinen todennus (MFA) käyttöön. Ota se käyttöön sähköpostissa, etäkäytössä, ylläpitotileissä ja pilvipalveluissa. Pelkistä varastetuista salasanoista tulee silloin paljon vähemmän hyödyllisiä.
Lisää muutama tukeva toimenpide: rajoita ylläpitäjän oikeuksia, eriytä tärkeät järjestelmät jokapäiväisistä ja kirjoita muistiin, kehen ottaa yhteyttä, jos joudut hyökkäyksen kohteeksi.
Lopputulos
SOCRadar:n löytö on muistutus siitä, että AI-avustajia käyttävät kiristyshaittaohjelmajengit toimivat jo tuhansien viestien, kymmenien haittaohjelmakoontiversioiden ja kymmenien uhrien mittakaavassa. Et voi hallita sitä, mitä rikolliset näillä työkaluilla tekevät, mutta voit hallita sitä, miten valmistautunut olet. Aseta offline-varmuuskopiot, päivitä nopeasti ja ota MFA käyttöön tällä viikolla. Ymmärtääksesi organisaatioihin kohdistuvaa laajempaa painetta lue artikkelimme siitä, miten kiristyshaittaohjelmajengit kuten Qilin ja Akira kohdistavat toimitusketjuihin.
