Većina ljudi zamišlja ransomware kao zlonamjerni softver koji zaključava datoteke na prijenosnom ili poslužiteljskom računalu. Sysdigov opis JadePuffera govori o nečem drugom: napadu na bazu podataka pomoću ransomwarea kojim upravlja AI, u kojem se iznuda odvijala u potpunosti unutar baze podataka, bez ikakvog šifriranja datoteka. Detalje je vrijedno razumjeti jer ukazuju na slabe točke koje mnoga mala poduzeća i pojedinačni korisnici i dalje ostavljaju otvorenima.
Kako je JadePuffer iznudio bazu podataka bez šifriranja datoteka
Prema izvornom članku, sama iznuda bila je operacija u bazi podataka, a ne šifriranje datoteka. LLM agent stvorio je novu tablicu pod nazivom config_info_enc, ispunivši je podacima dobivenima SQL izrazom TO_BASE64(AES_ENCRYPT(content, KEY)). Jednostavnije rečeno, upotrijebio je ugrađenu funkciju za šifriranje same baze podataka kako bi izmiješao sadržaj postojećih zapisa i pohranio izmiješanu kopiju u novu tablicu.
Zatim je uslijedio razorni korak. Agent je uklonio izvorne tablice, config_info i his_config_info, čime je uklonio čitljive podatke. Naposljetku je stvorio tablicu pod nazivom README_RANSOM. Ta je tablica sadržavala zahtjev za otkupninu, Bitcoin adresu i kontakt na Proton Mailu.
Pristup je zapažen zbog svoje jednostavnosti. Nije bilo prilagođenog zlonamjernog softvera za otkrivanje na disku. Napadač je koristio standardne naredbe baze podataka, iste vrste koje bi mogao izvršiti administrator. Za potpuni prikaz incidenta i Sysdigove nalaze pogledajte naš izvještaj koji Sysdig potvrđuje prvi ransomware napad kojim upravlja AI.
Zašto su izložene baze podataka i cloud vjerodajnice bile ulazni put
Izvorni materijal kojim raspolažemo usredotočuje se na mehaniku iznude, stoga nećemo nagađati o pojedinostima početnog upada. Kut koji Sysdigov opis otvara ipak je jasan: kada napadač može doći do baze podataka s valjanim pristupom, sama se baza podataka može pretvoriti u alat za ransomware. Funkcije šifriranja, stvaranje tablica i brisanje tablica sve su to uobičajene značajke.
To čini dvije stvari posebno važnima:
- Izloženost baze podataka. Baza podataka dostupna s interneta ili s većeg dijela vaše mreže nego što je potrebno daje napadaču početnu točku.
- Procurjele ili prekomjerno privilegirane vjerodajnice. Ako cloud ili vjerodajnica baze podataka može stvarati i brisati tablice, tada svatko tko ju posjeduje može učiniti ono što je učinio JadePuffer.
Tradicionalne obrane koje nadziru sumnjive izvršne datoteke ili masovne promjene datoteka možda neće primijetiti niz SQL naredbi izdanih s legitimnim vjerodajnicama.
Što automatizirana iznuda znači za mala poduzeća i pojedince
Zapažen element ovdje je da je operaciju provela LLM agent. Automatizacija može smanjiti trud potreban za provođenje napada, što može značiti da manje mete više nisu zanemarene samo zato što nisu vrijedne vremena ljudskog operatera.
Obrazac se također razvija. JadePuffer je od tada povezan s novim alatom, opisanim u našem izvještavanju o ENCFORGE ransomwareu koji cilja AI modele. Drugdje su istraživači dokumentirali kako je operater Aurora ransomwarea koristio AI agenta za kodiranje na 10 mreža. Zajedno, ove priče upućuju na to da AI pomoć postaje redoviti dio ransomware operacija, a ne jednokratna zanimljivost.
Što to znači za vas
Ako vodite web-stranicu, aplikaciju ili sustav malog poduzeća koji se oslanja na bazu podataka, vaši podaci mogu biti ugroženi čak i ako nikada niste instalirali ništa sumnjivo. Sustavi za upravljanje sadržajem, spremišta konfiguracija i interni alati često čuvaju važne informacije u bazama podataka koje nitko nije pregledao godinama.
Za pojedinačne korisnike, lekcija se odnosi na usluge na koje se oslanjate i račune koje kontrolirate. Samostalno hostani alati, hobistički projekti i cloud računi koriste vjerodajnice koje mogu procuriti. Tretiranje tih vjerodajnica kao osjetljivih i čuvanje vlastitih kopija važnih podataka smanjuje štetu ako pružatelj usluge ili projekt bude kompromitiran.
Nema potrebe za panikom. Opisani napad oslanja se na pristup koji se može ograničiti i na gubitak podataka koji se može oporaviti, pod uvjetom da se pripremite.
Zaštita pohranjenih podataka: kontrole pristupa, vjerodajnice i izvanmrežne sigurnosne kopije
Ovi koraci rješavaju slabe točke koje ovaj incident ističe:
- Provjerite izložene baze podataka. Potvrdite koje su baze podataka dostupne s interneta. Zatvorite javni pristup i ograničite veze na sustave kojima su potrebne.
- Rotirajte vjerodajnice. Promijenite lozinke i ključeve baza podataka i clouda, posebno one koje su se pojavile u repozitorijima koda, zapisima ili dijeljenim dokumentima. Koristite jedinstvene vjerodajnice za svaku uslugu.
- Primijenite najmanje privilegije. Računi aplikacija rijetko trebaju dopuštenje za brisanje tablica ili pokretanje funkcija masovnog šifriranja. Dajte im samo prava koja zahtijevaju.
- Nadzirite aktivnost baze podataka. Postavite upozorenja na neočekivano stvaranje tablica, brisanja i nepoznate prijave.
- Čuvajte izvanmrežne sigurnosne kopije i testirajte ih. Budući da je ovaj napad uklonio izvorne tablice, sigurnosne kopije povezane s istim okruženjem također mogu biti izložene. Čuvajte barem jednu kopiju izvan mreže ili na drugi način izoliranu i vježbajte njezino vraćanje.
Ključni zaključci
JadePufferov slučaj pokazuje da napad na bazu podataka pomoću ransomwarea kojim upravlja AI ne treba egzotični zlonamjerni softver, samo pristup i nekoliko SQL naredbi. Počnite s provjerom koje su baze podataka izložene, rotirajte vjerodajnice koje su mogle procuriti i provjerite da se vaše izvanmrežne sigurnosne kopije doista vraćaju. Za potpune detalje napada pročitajte naš Sysdigov izvještaj o potvrdi i pratite priče o ENCFORGE i Aurori iznad kako biste vidjeli kako se ransomware uz pomoć AI-a stalno mijenja.
