Izložena napadačka infrastruktura pružila je istraživačima rijedak uvid u to kako ransomware suradnici primjenjuju AI u praksi. Prema izvještaju The Hacker Newsa, suradnici su koristili AI radne tokove odobrene od strane čovjeka kako bi iskoristili rubne sustave, ukrali podatke i ciljali na procijenjenih 62 organizacije. Priča je koristan podsjetnik da kampanje AI agenata na ransomware rubnim uređajima više nisu teoretska briga i da hardver na rubu vaše mreže zaslužuje stvarnu pažnju.
Izvorni materijal je kratak, pa se ovaj tekst drži onoga što je objavljeno i usredotočuje se na to što čitatelji mogu učiniti u vezi s tim.
Kako su suradnici koristili AI agente za provođenje upada
Ključni detalj je izraz "odobreno od strane čovjeka". Izvještaj opisuje AI radne tokove u kojima osoba ostaje uključena kako bi odobrila korake, umjesto potpuno autonomnog sustava koji djeluje samostalno. U praksi to znači da AI obavlja većinu repetitivnog posla oko upada, dok ljudski suradnik odobrava što se događa sljedeće.
Taj model je važan jer smanjuje napor potreban za provođenje napada. Zadaci koji su nekada zahtijevali vještog operatera koji prolazi kroz svaku fazu mogu se ubrzati, dok čovjek zadržava kontrolu nad ključnim odlukama. Suradnici u ovom slučaju koristili su te radne tokove za iskorištavanje rubnih sustava i krađu podataka.
To se uklapa u širi obrazac automatizacije u kibernetičkom kriminalu. Za više o tome kako AI alati mijenjaju ekonomiku napadača, pogledajte naš raniji izvještaj o tome kako AI alat po imenu Hermes pokreće ransomware napade.
Zašto su VPN pristupnici i usmjerivači bili ulazna točka
Rubni sustavi su uređaji koji su izloženi otvorenom internetu: VPN pristupnici, usmjerivači, vatrozidi i slični uređaji. Napadačima su privlačni iz jednostavnog razloga. Dostupni su s bilo kojeg mjesta, često se nalaze izvan nadzora koji pokriva prijenosna i poslužiteljska računala te mogu pružiti izravan put u unutarnju mrežu.
Kada napadač kompromitira jedan od tih uređaja, može doći do unutarnjih resursa i izvući podatke bez ikakvog dodira s korisnikovim računalom. Zato je ovdje predloženi fokus na higijeni perimetra. Uređaj namijenjen zaštiti pristupa može postati način ulaska ako je izložen, zastario ili loše konfiguriran.
Vrijedi biti precizan: izvještaj koji imamo ne navodi konkretne proizvode ni ranjivosti i nećemo nagađati o njima. Poanta je o kategoriji uređaja, a ne o određenom proizvođaču.
Što izložena infrastruktura otkriva o 62 mete
Izložena infrastruktura omogućila je istraživačima da procijene da je ciljano oko 62 organizacije. Taj broj je procjena i odražava ono što je bilo vidljivo u napadačevoj vlastitoj postavci, a ne potvrđeni broj uspješnih upada.
Nekoliko stvari se ističe:
- I napadači griješe. Pogrešno konfigurirani ili izloženi napadački poslužitelji mogu otkriti alate, radne tokove i popise meta koje branitelji inače nikada ne bi vidjeli.
- Ciljanje izgleda sustavno. Popis desetaka organizacija upućuje na ponovljiv proces, a ne na jednokratni upad.
- Krađa podataka dio je scenarija. Suradnici nisu tražili samo enkripciju; ukrali su i podatke, što dodatno vrši pritisak na žrtve.
Šira lekcija je da AI pomoć može pomoći suradnicima da se skaliraju. Čak i uz čovjeka koji odobrava radnje, jedan operater potencijalno može obraditi mnoge mete.
Što to znači za vas
Ako vodite poslovnu mrežu, vi ste najizravnija publika. Svaki VPN uređaj, vatrozid ili usmjerivač koji prihvaća veze s interneta dio je vaše napadačke površine, a napadači traže one koji su ostali nezakrpani ili nenadzirani.
Ako ste kućni korisnik, profil rizika je drugačiji, ali nije nula. Kućni usmjerivači često dolaze s opcijama daljinske administracije koje mnogi ljudi nikada ne pregledaju. Ostaviti ih uključene i nezakrpane upravo je vrsta propusta koju je automatizirani alat napravljen da pronađe.
Ništa od ovoga ne zahtijeva paniku. Zahtijeva rutinsko održavanje koje mnogi preskaču.
Kako provjeriti i očvrsnuti vlastite rubne uređaje
Počnite s vidljivošću, zatim smanjite izloženost.
- Otkrijte što je izloženo. Popišite svaki usmjerivač, VPN pristupnik i vatrozid koji je okrenut internetu. Provjerite koja su upravljačka sučelja i portovi dostupni izvan vaše mreže.
- Zakrpajte firmware. Provjerite stranicu za ažuriranja svog proizvođača i primijenite trenutni firmware. Uključite automatska ažuriranja ako ih uređaj podržava.
- Onemogućite nepotreban daljinski pristup. Ako vam ne treba daljinska administracija, isključite je. Gdje vam treba, ograničite je na određene pouzdane adrese.
- Omogućite MFA. Zahtijevajte višefaktorsku autentifikaciju za VPN prijave i administratorske ploče te zamijenite zadane ili ponovno korištene lozinke.
- Pregledajte zapise. Tražite neobične prijave, neočekivane promjene konfiguracije ili velike odlazne prijenose.
- Umirovite hardver na kraju životnog vijeka. Uređaji koji više ne primaju sigurnosna ažuriranja stalni su rizik.
Ključni zaključci
Prijavljena kampanja pokazuje da napadi AI agenata na ransomware rubne uređaje najbolje funkcioniraju protiv opreme koja je izložena i zanemarena. AI radni tokovi odobreni od strane čovjeka pomažu suradnicima da rade brže, ali ulazne točke su i dalje obične: uređaji izloženi internetu sa slabim postavkama.
Ovaj tjedan provjerite je li vaš usmjerivač ili VPN uređaj izložen internetu, zakrpajte firmware, isključite daljinski pristup koji vam ne treba i omogućite MFA. Za više konteksta o tome kako automatizacija mijenja ransomware, pročitajte naš tekst o Hermes ransomware alatu.
