Istraživači su otkrili Phantom, AI-vođeni okvir za upade koji koriste partneri ransomware operacija INC i The Gentlemen kako bi povećali opseg svojih provala. Otkriće ovog AI ransomware okvira Phantom koristan je pokazatelj kamo kriminalistički alati idu: manje ručnog rada po žrtvi i više žrtava po napadaču.

Javni detalji su ograničeni, pa se ovaj tekst drži onoga što je objavljeno i izbjegava nagađanja o tehničkim pojedinostima. Ono što je jasno jest smjer kretanja, a obrane koje su važne kao odgovor uglavnom su poznate.

Što su istraživači pronašli u Phantomu

Prema izvješću, Phantom je AI-vođeni okvir za upade. Partneri dviju ransomware grupa, INC i The Gentlemen, koristili su ga za povećanje opsega svojih ransomware upada. U svijetu ransomwarea partneri su operateri koji stvarno provode napade, često koristeći alate i infrastrukturu koje osigurava matična grupa. Zajednički okvir daje mnogim partnerima iste mogućnosti.

Izvješće opisuje okvir kao način za automatizaciju i povećanje opsega provala. Ovdje nemamo potvrđene pojedinosti o tome koje konkretne ranjivosti cilja, koliko je žrtava zahvatio ili na kojim se AI modelima oslanja, pa nećemo nagađati o tome. Ako istraživači objave više, ti će detalji biti važni za branitelje.

Kako AI snižava barijeru za ransomware

Ransomware upadi tradicionalno uključuju mnogo koraka: pronalaženje načina za ulazak, kretanje po mreži, lociranje vrijednih podataka i postavljanje šifriranog payloada. Svaki korak zahtijeva vrijeme i vještinu. Automatizacija napada te zastoje. Kada okvir obrađuje repetitivne ili tehničke dijelove procesa, manje iskusni partneri mogu pokušati napade koji su nekada zahtijevali iskusne operatere, a iskusni mogu izvesti više pokušaja odjednom.

To je ključna briga kod alata poput Phantoma. On ne čini nužno ni jedan pojedinačni napad pametnijim. Čini napade jeftinijima za pokretanje, što podiže osnovnu razinu rizika za sve, uključujući mete koje su prije bile premale da bi bile vrijedne ručnog truda napadača.

Širi trend AI-potpomognutog napada nije ograničen na ransomware. OpenAI je objavio da njegov model Astra može pronaći zero-day ranjivosti i izraditi funkcionalne exploitove, što smo obradili u našem pregledu OpenAI-jev Astra AI i njegova sposobnost pronalaženja zero-day ranjivosti i izrade exploitova. Zajedno, ovi razvoji pokazuju kako AI sažima vrijeme i stručnost potrebne za put od mete do kompromitacije.

Što to znači za vas

Za pojedince: Ransomware se obično povezuje s tvrtkama, ali automatizacija olakšava široko, oportunističko ciljanje. Osobni uređaji, kućni uredi i cloud računi koji sadrže obiteljske fotografije ili dokumente mogu biti zahvaćeni istim vrstama kampanja. Praktični učinak je da je "nitko se ne bi trudio napasti me" slabija pretpostavka nego prije.

Za male tvrtke: Male tvrtke često nemaju namjenski sigurnosni tim, što ih čini privlačnima kada napadači mogu jeftino skalirati. Ako se upad dogodi, također morate razmisliti o odgovoru, uključujući pravne obveze. U Australiji, na primjer, obvezna pravila izvješćivanja o ransomwareu mijenjaju način na koji manje tvrtke postupaju s napadima, kao što smo objasnili u našem tekstu o australskim pravilima izvješćivanja o ransomwareu i rizicima privatnosti za MSP-ove. Poznavanje svojih obveza prije incidenta daleko je lakše od učenja tijekom incidenta.

Ništa u izvješću o Phantomu ne upućuje na novu, nezaustavljivu metodu napada. Poanta je količina i pristupačnost, i upravo se tu osnovna sigurnosna higijena isplati.

Praktične obrane: MFA, zakrpe, sigurnosne kopije i svijest o phishingu

Automatizacija obično prvo pogađa najlakše mete. Podizanje cijene ulaska i dalje je najučinkovitiji odgovor.

  • Uključite višefaktorsku autentifikaciju (MFA). Prioritizirajte e-poštu, cloud pohranu, daljinski pristup i administratorske račune. Gdje je moguće, koristite aplikaciju za autentifikaciju ili hardverski ključ umjesto SMS kodova.
  • Instalirajte zakrpe pravovremeno. Ažurirajte operativne sustave, preglednike, VPN i firewall uređaje te poslovni softver. Omogućite automatska ažuriranja gdje možete i vodite inventar sustava okrenutih internetu kako ništa ne bi bilo zaboravljeno.
  • Držite izvanmrežne ili nepromjenjive sigurnosne kopije. Slijedite pristup 3-2-1: tri kopije, dvije vrste medija, jedna pohranjena izvanmrežno ili izvan dosega vaše glavne mreže. Redovito testirajte vraćanje iz njih.
  • Budite oprezni s phishingom. Budite skeptični prema neočekivanim privicima, upitima za prijavu i hitnim zahtjevima za plaćanje ili lozinku. Provjerite putem zasebnog kanala prije nego što djelujete.
  • Ograničite pristup. Koristite odvojene administratorske i svakodnevne račune i uklonite pristup osobama kojima više nije potreban.
  • Pripremite jednostavan plan odgovora. Znajte koga pozvati, kako izolirati zahvaćene uređaje i koja pravila izvješćivanja se na vas primjenjuju.

Ključni zaključci

Otkriće AI ransomware okvira Phantom pokazuje da napadači ulažu u automatizaciju kako bi povećali opseg ransomware upada, a partneri INC-a i The Gentlemena među onima koji ga navodno koriste. Ne možete kontrolirati kako kriminalci grade svoje alate, ali možete kontrolirati jesu li vaši računi, sustavi i sigurnosne kopije lake mete.

Počnite ovaj tjedan: omogućite MFA na svojim najvažnijim računima, instalirajte ažuriranja koja čekaju, provjerite imate li izvanmrežnu sigurnosnu kopiju koja se doista može vratiti i osvježite svoje phishing navike. Za više konteksta o AI-potpomognutom napadu pročitajte našu reportažu o Astra i otkrivanju zero-day ranjivosti, a ako vodite mali business, pregledajte naše objašnjenje o australskim pravilima izvješćivanja o ransomwareu za MSP-ove kako biste planirali odgovor na incident.