Izvješće Help Net Securityja opisuje zabrinjavajući pomak u načinu na koji ransomware skupine djeluju. Grupa koja stoji iza Aur0ra ransomwarea navodno je dala AI agentima ukradene vjerodajnice i pustila ih da se kreću kroz mreže žrtava prema domain admin pristupu. Ukratko, kombinacija AI agenata, ransomwarea i ukradenih vjerodajnica više nije samo teoretski rizik. Koristi se za obavljanje posla koji je nekada zahtijevao vješte ljudske operatere.

Javni detalji su ograničeni, pa je vrijedno biti oprezan oko onoga što znamo i što ne znamo. U nastavku je što izvješće navodi, zašto je to važno i koji praktični koraci smanjuju vašu izloženost.

Što je Aur0ra grupa učinila s AI agentima

Prema izvješću, Aur0ra operateri nisu jednostavno koristili AI za pisanje phishing e-poruka ili dotjerivanje ransom bilješki. Predali su ukradene vjerodajnice AI agentima i pustili te agente da putuju kroz mreže žrtava s ciljem dolaska do domain admin pristupa.

AI agent, u ovom kontekstu, je softver koji može preuzeti cilj, odlučiti o koracima, izvršavati naredbe, čitati rezultate i prilagođavati se. Umjesto da ljudski napadač tipka svaku naredbu i tumači svaki odgovor, agent veći dio te petlje obavlja sam. Navedeni cilj bio je domain admin, razina pristupa koja obično daje kontrolu nad većinom računa i strojeva u Windows organizaciji.

Sažetak izvora ne pruža daljnje tehničke detalje, pa nećemo nagađati koje su alate agenti koristili ili koliko je žrtava bilo pogođeno.

Kako ukradene vjerodajnice postaju domain admin pristup

Ukradene vjerodajnice često su početna točka mrežnog upada. Korisničko ime i lozinka, sesijski token ili prijava za daljinski pristup mogu napadaču omogućiti da uđe na prednja vrata umjesto da probija zid.

Od tog trenutka, opći obrazac preuzimanja mreže izgleda poznato braniteljima:

  • Napadač se prijavljuje s valjanim računom, što može izgledati kao normalna aktivnost.
  • Istražuje mrežu kako bi saznao koji sustavi i računi postoje.
  • Traži moćnije vjerodajnice ili pogrešne konfiguracije koje mu omogućuju bočno kretanje.
  • Nastavlja eskalirati dok ne stekne domain admin prava.

Kada napadač ima domain admin pristup, implementacija ransomwarea na mnoge sustave odjednom postaje daleko lakša. Zato je navedeni cilj Aur0ra agenata važan. Domain admin je točka u kojoj se upad može pretvoriti u krizu na razini cijele organizacije.

Ključna lekcija je da ovaj lanac počinje valjanom prijavom. Jaka zaštita vjerodajnica i stroga kontrola daljinskog pristupa napadaju najraniji i najjeftiniji korak u tom procesu.

Zašto AI snižava barijeru za ransomware napadače

Povijesno gledano, kretanje kroz mrežu prema domain adminu zahtijevalo je strpljenje, iskustvo i vrijeme. Napadači su morali čitati rezultate, donositi prosudbe i izbjegavati aktiviranje alarma. Taj je rad ograničavao koliko žrtava jedna skupina može obraditi.

Automatizacija mijenja tu jednadžbu. Ako AI agenti mogu obaviti veći dio istraživanja i eskalacije, skupini može trebati manje vještih ljudi i manje vremena provedenog na svakoj žrtvi. Navedena Aur0ra aktivnost sugerira da:

  • Manje iskusni operateri mogli bi pokušati upade koji su nekada zahtijevali stručnost.
  • Iskusni operateri mogli bi voditi više upada paralelno.
  • Vrijeme između početnog pristupa i potpunog kompromitiranja moglo bi se skratiti, ostavljajući braniteljima manje prostora za reakciju.

To su razumne implikacije navedenog ponašanja, a ne potvrđena mjerenja. Ipak, ransomware grupe imaju dugu povijest prilagođavanja svojih alata i infrastrukture kako bi ostale učinkovite. Naše izvješće o tome kako DeadLock ransomware dodaje Session aplikaciju kako bi izbjegao uklanjanje pokazuje isti obrazac iz drugog kuta: operateri stalno mijenjaju svoje metode kada im nešto stane na put i usvajaju sve što posao čini jeftinijim i otpornijim.

Što to znači za vas

Dobra vijest je da AI agenti još uvijek trebaju nešto s čime će raditi. U navedenom slučaju, to nešto bile su ukradene vjerodajnice. Branitelji ne mogu kontrolirati koliko je napadačev alat pametan, ali mogu kontrolirati koliko će ukradena prijava biti korisna.

Za pojedince, ovo je podsjetnik da ponovno korištene ili izložene lozinke mogu postati prva karika u mnogo većem lancu, osobito ako istu prijavu koristite za poslovne i osobne usluge. Za mala poduzeća i IT timove, to znači da sustavi daljinskog pristupa, uključujući VPN pristupnike i usluge udaljene radne površine, zaslužuju istu pažnju kao i bilo koja druga ulazna točka.

Kako smanjiti izloženost napadima temeljenim na vjerodajnicama

Nijedan od ovih koraka nije egzotičan, a zajedno čine ukradenu lozinku daleko manje vrijednom:

  1. Provjerite svoje lozinke. Koristite upravitelj lozinki kako biste svakom računu dodijelili jedinstvenu, dugu lozinku. Promijenite sve lozinke koje su se pojavile u poznatom procurivanju podataka.
  2. Uključite višefaktorsku autentifikaciju (MFA). Gdje je moguće, preferirajte metode temeljene na aplikacijama ili hardveru umjesto SMS-a i zahtijevajte MFA za e-poštu, administratorske račune i sav daljinski pristup.
  3. Pregledajte VPN i postavke daljinskog pristupa. Potvrdite tko ima pristup, uklonite račune koji više nisu potrebni i osigurajte da daljinske prijave zahtijevaju MFA. Redovito ažurirajte softver pristupnika.
  4. Ograničite privilegije. Svakodnevni računi ne bi trebali imati administratorska prava. Manje moćnih računa znači manje putova do domain admina.
  5. Pazite na neobične prijave. Prijave u neobično vrijeme, s nepoznatih lokacija ili na sustave koje korisnik nikada ne dira zaslužuju pomniji pogled.
  6. Održavajte izvanmrežne sigurnosne kopije. Testirane sigurnosne kopije do kojih napadači ne mogu doći daju vam način oporavka bez plaćanja.

Zaključak

Aur0ra izvješće jasan je primjer AI agenata, ransomwarea i ukradenih vjerodajnica koji se udružuju kako bi automatizirali uspon prema domain adminu. Napadačev alat može postajati brži, ali ulazna točka ostaje nešto što možete ojačati. Počnite ovog tjedna: provjerite svoje lozinke, omogućite MFA svugdje gdje je ponuđen i pregledajte svoje VPN i postavke daljinskog pristupa. Za više o tome kako ransomware operateri prilagođavaju svoje alate i infrastrukturu, pročitajte naš članak o DeadLock ransomwareu i njegovoj upotrebi Session aplikacije.