Palo Alto Networks: l'IA riduce gli attacchi ransomware a 10 ore

Gli attacchi ransomware basati sull'IA stanno diventando drammaticamente più veloci

Una nuova ricerca del team di ricerca sulle minacce Unit 42 di Palo Alto Networks evidenzia un cambiamento preoccupante nel modo in cui si svolgono le campagne ransomware. Secondo i risultati, gli agenti AI potrebbero consentire agli attaccanti di muoversi attraverso una rete compromessa e completare un'intrusione in appena 10 ore. Questo tipo di velocità cambia le regole del gioco per chiunque sia responsabile della difesa di una rete e ha implicazioni reali sulla rapidità con cui i dati personali e organizzativi possono essere esposti.

Il ransomware ha tradizionalmente coinvolto un processo in più fasi: ottenere l'accesso iniziale, esplorare silenziosamente una rete, aumentare i privilegi e infine individuare e crittografare o rubare dati di valore. Ciascuna di queste fasi richiedeva tempo, spesso giorni o settimane, dando ai team di sicurezza una finestra per rilevare attività sospette prima che si verificassero danni gravi. La ricerca di Unit 42 suggerisce che gli agenti AI stanno comprimendo significativamente questa tempistica, automatizzando i passaggi di ricognizione e movimento laterale che una volta richiedevano uno sforzo manuale da parte di operatori umani.

Come gli agenti AI stanno accelerando le intrusioni ransomware

Il problema fondamentale identificato da Unit 42 è che gli agenti AI possono agire con un grado di autonomia che gli strumenti di attacco tradizionali non possiedono. Invece di un hacker umano che sonda manualmente una rete alla ricerca di punti deboli, un agente AI può ricevere un obiettivo, come trovare un percorso verso dati sensibili, e poi lavorare su quell'obiettivo in modo autonomo, adattandosi mentre incontra ostacoli. Questo riduce la necessità di una supervisione umana costante durante l'attacco ed elimina gran parte del ritardo basato su tentativi ed errori che rallentava le intrusioni.

Questo tipo di automazione non richiede che gli attaccanti inventino tecniche di sfruttamento completamente nuove. Semplicemente rende le tecniche esistenti più rapide e più coerenti. Questo è importante perché molte operazioni ransomware si basano ancora su vulnerabilità note, credenziali esposte, software non aggiornato o sistemi configurati male per ottenere il loro punto d'appoggio iniziale. Una volta dentro, un agente guidato dall'IA può muoversi attraverso la rete più velocemente di quanto potrebbe fare un attaccante umano, riducendo il tempo che i difensori hanno per notare e rispondere.

Perché gli attacchi più rapidi aumentano la posta in gioco per la privacy e la sicurezza dei dati

Le implicazioni per la privacy di questa tendenza sono significative. Gli attacchi ransomware non riguardano più solo il blocco dei file per ottenere un riscatto. Molte campagne moderne comportano anche il furto di dati sensibili prima della crittografia, inclusi documenti personali, informazioni finanziarie o documenti aziendali riservati, e la minaccia di divulgarli se il riscatto non viene pagato. Quando le intrusioni possono essere completate in ore anziché giorni, la finestra in cui un'organizzazione può rilevare un intruso e interrompere l'accesso prima che i dati vengano esfiltrati si riduce drasticamente.

Per gli utenti comuni, questo significa che qualsiasi organizzazione che detiene i tuoi dati personali, che si tratti di un operatore sanitario, di un istituto finanziario o di un rivenditore online, affronta una tempistica più compressa per rilevare e fermare gli attaccanti prima che le informazioni vengano copiate. I team di sicurezza che si affidano a revisioni periodiche dei log o a processi di indagine manuale più lenti potrebbero semplicemente non essere più abbastanza rapidi. Questo fa parte di un modello più ampio in cui i sistemi non aggiornati o scarsamente monitorati rimangono un facile punto di ingresso per gli attaccanti. Sforzi come l'aggiunta di vulnerabilità sfruttate attivamente all'elenco delle vulnerabilità note sfruttate di CISA evidenziano quanto rapidamente le vulnerabilità software note vengano armate una volta rese pubbliche, e il ransomware accelerato dall'IA aggiunge solo urgenza alla chiusura rapida di queste lacune.

Cosa significa questo per te

Se sei un utente individuale, è improbabile che tu sia il bersaglio diretto del tipo di ransomware guidato dall'IA descritto da Unit 42. Questi attacchi sono generalmente mirati a reti aziendali, non a dispositivi personali. Tuttavia, l'effetto a valle è importante: intrusioni ransomware più rapide aumentano le probabilità che le aziende che detengono i tuoi dati possano subire una violazione con meno preavviso e potenzialmente meno tempo per prevenire il furto delle tue informazioni prima che la crittografia colpisca.

Per i team IT e di sicurezza, il messaggio è più chiaro. I tempi di rilevamento e risposta che una volta erano considerati adeguati potrebbero non essere più abbastanza rapidi quando gli avversari possono completare un'intrusione in circa il tempo di un singolo turno di lavoro. Attacchi più rapidi significano che il rilevamento automatizzato, il patching rapido e l'accesso strettamente controllato stanno diventando meno opzionali e più fondamentali.

Punti pratici da ricordare

Sebbene questa ricerca sia rivolta principalmente ai difensori aziendali, ci sono passaggi che si applicano in generale:

• Mantieni software e sistemi aggiornati con patch tempestive, poiché il ritardo nel patching offre sia agli attaccanti umani che a quelli guidati dall'IA un facile punto di ingresso.
• Usa password forti e uniche e abilita l'autenticazione multifattoriale dove possibile per rendere più difficile l'accesso iniziale.
• Se gestisci una rete, dai priorità agli strumenti di rilevamento automatizzato che possono segnalare movimenti laterali insoliti in tempo quasi reale, non solo a posteriori.
• Tieniti informato sui fornitori e i servizi su cui fai affidamento e presta attenzione alle notifiche di violazione per poter agire rapidamente se i tuoi dati potrebbero essere stati esposti.

L'aumento del ransomware assistito dall'IA è un promemoria che la cybersicurezza è un processo continuo, non una soluzione una tantum. Mentre gli attaccanti adottano metodi più rapidi e automatizzati, mantenere un atteggiamento proattivo sull'igiene di sicurezza di base rimane uno dei modi più efficaci per ridurre il rischio, sia per le organizzazioni che per gli individui i cui dati esse proteggono.