A Help Net Security jelentése aggasztó elmozdulást ír le abban, ahogyan a zsarolóvírus-csapatok működnek. Az Aur0ra zsarolóvírus mögött álló csoport állítólag ellopott hitelesítő adatokat adott AI-ügynököknek, és hagyta, hogy azok áthaladjanak az áldozatok hálózatain a tartományi adminisztrátori hozzáférés felé. Röviden: az AI-ügynökök, a zsarolóvírusok és az ellopott hitelesítő adatok kombinációja már nem csupán elméleti kockázat. Olyan munkára használják, amelyhez egykor képzett emberi operátorokra volt szükség.

A nyilvános részletek korlátozottak, ezért érdemes óvatosnak lenni azzal kapcsolatban, mit tudunk és mit nem. Az alábbiakban összefoglaljuk, mit ír a jelentés, miért fontos, és milyen gyakorlati lépések csökkentik a kitettségét.

Mit tett az Aur0ra csoport az AI-ügynökökkel

A jelentés szerint az Aur0ra operátorai nem egyszerűen arra használták az AI-t, hogy adathalász e-maileket írjanak vagy váltságdíj-megjegyzéseket csiszoljanak. Ellopott hitelesítő adatokat adtak át AI-ügynököknek, és hagyták, hogy ezek az ügynökök bejárják az áldozatok hálózatait azzal a céllal, hogy elérjék a tartományi adminisztrátori hozzáférést.

Ebben a kontextusban az AI-ügynök olyan szoftver, amely képes egy célt kitűzni, lépésekről dönteni, parancsokat futtatni, az eredményeket olvasni és módosítani. Ahelyett, hogy egy emberi támadó gépelné be az egyes parancsokat és értelmezné az egyes válaszokat, az ügynök e ciklus nagy részét önállóan végzi. A jelentés szerinti cél a tartományi adminisztrátor volt, az a hozzáférési szint, amely általában egy Windows-alapú szervezet legtöbb fiókja és gépe feletti ellenőrzést biztosítja.

A forrás összefoglalója nem nyújt további technikai részleteket, ezért nem találgatunk arról, milyen eszközöket használtak az ügynökök, vagy hány áldozatot érintett.

Hogyan válnak az ellopott hitelesítő adatok tartományi adminisztrátori hozzáféréssé

Az ellopott hitelesítő adatok gyakran egy hálózati behatolás kiindulópontjai. Egy felhasználónév és jelszó, egy munkamenet-token vagy egy távoli hozzáférésű bejelentkezés lehetővé teheti a támadó számára, hogy a főbejáraton sétáljon be, ahelyett hogy falat törne át.

Innentől a hálózat átvételének általános mintája ismerős a védelmi szakemberek számára:

  • A támadó egy érvényes fiókkal jelentkezik be, ami normál tevékenységnek tűnhet.
  • Felfedezi a hálózatot, hogy megtudja, milyen rendszerek és fiókok léteznek.
  • Erősebb hitelesítő adatokat vagy hibás konfigurációkat keres, amelyek lehetővé teszik az oldalirányú mozgást.
  • Folytatja az eszkalációt, amíg tartományi adminisztrátori jogosultságot nem szerez.

Amint egy támadó tartományi adminisztrátori hozzáféréssel rendelkezik, a zsarolóvírus sok rendszerre történő egyidejű telepítése sokkal könnyebbé válik. Ezért fontos az Aur0ra ügynökeinek jelentett célja. A tartományi adminisztrátor az a pont, ahol egy behatolás szervezeti szintű válsággá válhat.

A kulcsfontosságú tanulság az, hogy ez a lánc egy érvényes bejelentkezéssel kezdődik. Az erős hitelesítőadat-védelem és a távoli hozzáférés szigorú ellenőrzése a folyamat legkorábbi és legolcsóbb lépését támadja.

Miért csökkenti az AI a zsarolóvírus-támadók belépési korlátját

Történelmileg a hálózaton keresztül a tartományi adminisztrátor felé haladáshoz türelemre, tapasztalatra és időre volt szükség. A támadóknak olvasniuk kellett az eredményeket, döntéseket kellett hozniuk, és el kellett kerülniük a riasztások kiváltását. Ez a munka korlátozta, hogy egy csapat hány áldozatot tud kezelni.

Az automatizálás megváltoztatja ezt az egyenletet. Ha az AI-ügynökök a felfedezés és eszkaláció nagy részét el tudják végezni, egy csapatnak kevesebb képzett emberre és kevesebb kézi időre lehet szüksége áldozatonként. A jelentett Aur0ra-tevékenység arra utal, hogy:

  • Kevésbé tapasztalt operátorok is megkísérelhetnek olyan behatolásokat, amelyek egykor szakértelmet igényeltek.
  • Tapasztalt operátorok több behatolást futtathatnak párhuzamosan.
  • A kezdeti hozzáférés és a teljes kompromittálódás közötti idő lerövidülhet, kevesebb reagálási lehetőséget hagyva a védelmi szakembereknek.

Ezek a jelentett viselkedés ésszerű következményei, nem megerősített mérések. A zsarolóvírus-csoportoknak azonban hosszú múltja van abban, hogy eszközeiket és infrastruktúrájukat úgy alakítsák, hogy hatékonyak maradjanak. A DeadLock zsarolóvírus és a Session alkalmazás hozzáadása a leszerelések elkerüléséhez című cikkünk ugyanezt a mintát mutatja be más szemszögből: az operátorok folyamatosan változtatják módszereiket, amikor valami az útjukba kerül, és bármit bevezetnek, ami olcsóbbá és ellenállóbbá teszi a munkát.

Mit jelent ez Önnek

A jó hír az, hogy az AI-ügynököknek még mindig szükségük van valamire, amivel dolgozhatnak. A jelentett esetben ez a valami ellopott hitelesítő adatok voltak. A védelmi szakemberek nem szabályozhatják, mennyire kifinomult egy támadó eszköztára, de szabályozhatják, mennyire hasznosnak bizonyul egy ellopott bejelentkezés.

Magánszemélyek számára ez emlékeztető arra, hogy az újrahasznált vagy nyilvánosságra került jelszavak egy sokkal nagyobb lánc első láncszemévé válhatnak, különösen, ha ugyanazt a bejelentkezést használja munkához és személyes szolgáltatásokhoz. Kisvállalkozások és IT-csapatok számára ez azt jelenti, hogy a távoli hozzáférésű rendszerek – beleértve a VPN-átjárókat és a távoliasztal-szolgáltatásokat – ugyanolyan vizsgálatot érdemelnek, mint bármely más belépési pont.

Hogyan csökkentse kitettségét a hitelesítő adatokon alapuló támadásokkal szemben

E lépések egyike sem egzotikus, és együtt sokkal kevésbé értékessé teszik az ellopott jelszót:

  1. Auditálja jelszavait. Használjon jelszókezelőt, hogy minden fiók egyedi, hosszú jelszót kapjon. Változtassa meg azokat, amelyek ismert adatszivárgásban jelentek meg.
  2. Kapcsolja be a többtényezős hitelesítést (MFA). Lehetőleg részesítse előnyben az alkalmazásalapú vagy hardveralapú módszereket az SMS-sel szemben, és írja elő az MFA-t az e-mail, az adminisztrátori fiókok és minden távoli hozzáférés esetében.
  3. Vizsgálja felül a VPN- és távoli hozzáférési beállításokat. Erősítse meg, ki rendelkezik hozzáféréssel, távolítsa el a már nem szükséges fiókokat, és győződjön meg arról, hogy a távoli bejelentkezések MFA-t igényelnek. Tartsa naprakészen az átjárószoftvert.
  4. Korlátozza a jogosultságokat. A mindennapi fiókok ne rendelkezzenek adminisztrátori jogokkal. Kevesebb erős fiók kevesebb utat jelent a tartományi adminisztrátorhoz.
  5. Figyelje a szokatlan bejelentkezéseket. A furcsa időpontban, ismeretlen helyről vagy olyan rendszerekbe történő bejelentkezések, amelyeket a felhasználó soha nem használ, közelebbi vizsgálatot érdemelnek.
  6. Tartson offline biztonsági mentéseket. A tesztelt, támadók számára elérhetetlen biztonsági mentések lehetőséget adnak a helyreállításra fizetés nélkül.

A lényeg

Az Aur0ra-jelentés világos példa arra, hogyan találkozik az AI-ügynökök, a zsarolóvírusok és az ellopott hitelesítő adatok, hogy automatizálják a tartományi adminisztrátor felé vezető utat. A támadó eszköztára egyre gyorsabbá válhat, de a belépési pont továbbra is valami, amit meg lehet erősíteni. Kezdje ezen a héten: auditálja jelszavait, engedélyezze az MFA-t mindenhol, ahol elérhető, és vizsgálja felül VPN- és távoli hozzáférési beállításait. Ha többet szeretne megtudni arról, hogyan alakítják a zsarolóvírus-operátorok eszközeiket és infrastruktúrájukat, olvassa el cikkünket a DeadLock zsarolóvírusról és a Session alkalmazás használatáról.