Help Net Securityのレポートは、ランサムウェア集団の活動方法における憂慮すべき変化を描写している。Aur0raランサムウェアの背後にいるグループは、盗まれた認証情報をAIエージェントに渡し、被害者のネットワーク内をドメイン管理者アクセスに向かって移動させたと報じられている。要するに、AIエージェント、ランサムウェア、盗まれた認証情報の組み合わせは、もはや単なる理論上のリスクではない。かつては熟練した人間のオペレーターを必要とした作業を実行するために使われているのだ。

公開されている詳細は限られているため、何が分かっていて何が分かっていないかについて注意を払う価値がある。以下では、レポートが述べていること、それがなぜ重要か、そしてあなたの露出を減らす実践的な手順を説明する。

Aur0raグループがAIエージェントで行ったこと

レポートによれば、Aur0raのオペレーターたちは単にフィッシングメールを書いたり、身代金要求文を磨いたりするためにAIを使ったのではない。彼らは盗まれた認証情報をAIエージェントに渡し、それらのエージェントがドメイン管理者アクセスに到達することを目標として被害者のネットワーク内を移動できるようにしたのだ。

この文脈におけるAIエージェントとは、目標を受け取り、手順を決定し、コマンドを実行し、結果を読み取り、調整できるソフトウェアである。人間の攻撃者が各コマンドを入力し、各応答を解釈する代わりに、エージェントがそのループの多くを自力で処理する。報告された標的はドメイン管理者であり、これは通常、Windowsベースの組織内のほとんどのアカウントとマシンを制御できるアクセスレベルである。

情報源の要約はこれ以上の技術的詳細を提供していないため、エージェントがどのツールを使用したか、または何人の被害者が影響を受けたかについて推測することはしない。

盗まれた認証情報がドメイン管理者アクセスになる仕組み

盗まれた認証情報は、ネットワーク侵入の出発点となることが多い。ユーザー名とパスワード、セッショントークン、またはリモートアクセスのログイン情報があれば、攻撃者は壁を破って侵入するのではなく、正面玄関から入ることができる。

そこから、ネットワーク乗っ取りの一般的なパターンは防御者にとっておなじみのものである:

  • 攻撃者は有効なアカウントでサインインする。これは通常の活動に見えることがある。
  • 彼らはネットワークを探索し、どのシステムやアカウントが存在するかを把握する。
  • 彼らは横方向に移動できる、より強力な認証情報や設定の誤りを探す。
  • 彼らはドメイン管理者権限を保持するまでエスカレーションを続ける。

攻撃者がドメイン管理者アクセスを取得すると、多数のシステムに一度にランサムウェアを展開することがはるかに容易になる。だからこそ、Aur0raエージェントの報告された目標が重要なのである。ドメイン管理者は、侵入が組織全体の危機に変わりうるポイントである。

重要な教訓は、この連鎖が有効なログインから始まるということだ。強力な認証情報保護とリモートアクセスの厳格な管理は、プロセスの中で最も早く、最も安価なステップを攻撃する。

AIがランサムウェア攻撃者の障壁を下げる理由

歴史的に、ネットワーク内をドメイン管理者に向かって移動するには、忍耐、経験、そして時間が必要だった。攻撃者は結果を読み、判断を下し、警報を作動させないようにしなければならなかった。その労力が、1つの集団が扱える被害者の数を制限していた。

自動化はその方程式を変える。AIエージェントが探索とエスカレーションの多くを処理できるなら、集団はより少ない熟練者と、被害者あたりのより少ない手作業時間で済むかもしれない。報告されたAur0raの活動は以下を示唆している:

  • 経験の浅いオペレーターでも、かつては専門知識を要した侵入を試みることができる。
  • 経験豊富なオペレーターは、より多くの侵入を並行して実行できる。
  • 初期アクセスから完全な侵害までの時間が短縮され、防御者の対応の余地が少なくなる可能性がある。

これらは報告された行動からの合理的な推論であり、確認された測定値ではない。それでも、ランサムウェアグループは効果を維持するためにツールとインフラを適応させてきた長い実績がある。DeadLockランサムウェアがテイクダウンを回避するためにSessionアプリを追加する方法に関する我々の報道は、別の角度から同じパターンを示している。オペレーターは何かが邪魔をすると方法を変え続け、作業をより安価でより回復力のあるものにするものを何でも採用するのだ。

これがあなたにとって何を意味するか

良いニュースは、AIエージェントは依然として何かを使って動く必要があるということだ。報告されたケースでは、その何かは盗まれた認証情報だった。防御者は攻撃者のツールがどれほど巧妙かを制御することはできないが、盗まれたログイン情報がどれほど有用になるかは制御できる。

個人にとって、これは再利用された、または露出したパスワードが、特により大きな連鎖の最初のリンクになりうるという注意喚起である。特に仕事と個人のサービスで同じログイン情報を使っている場合はそうだ。中小企業やITチームにとっては、VPNゲートウェイやリモートデスクトップサービスを含むリモートアクセスシステムが、他のあらゆる入口と同じくらい精査に値することを意味する。

認証情報ベースの攻撃への露出を減らす方法

これらのステップはいずれも珍しいものではなく、組み合わせることで盗まれたパスワードの価値がはるかに低くなる:

  1. パスワードを監査する。 パスワードマネージャーを使って、すべてのアカウントにユニークで長いパスワードを設定する。既知の侵害に現れたものは変更する。
  2. 多要素認証(MFA)を有効にする。 可能な場合はSMSよりもアプリベースまたはハードウェアベースの方法を優先し、メール、管理者アカウント、およびすべてのリモートアクセスにMFAを要求する。
  3. VPNとリモートアクセスの設定を見直す。 誰がアクセスできるかを確認し、不要になったアカウントを削除し、リモートログインにMFAを要求するようにする。ゲートウェイソフトウェアにパッチを適用した状態に保つ。
  4. 権限を制限する。 日常的なアカウントには管理者権限を持たせるべきではない。強力なアカウントが少なければ、ドメイン管理者への経路も少なくなる。
  5. 異常なサインインを監視する。 奇妙な時間帯のログイン、不慣れな場所からのログイン、またはユーザーが決して触れないシステムへのログインは、より注意深く調べる価値がある。
  6. オフラインバックアップを維持する。 攻撃者がアクセスできない、テスト済みのバックアップは、身代金を支払わずに復旧する手段を提供する。

結論

Aur0raのレポートは、AIエージェント、ランサムウェア、盗まれた認証情報が一体となってドメイン管理者への上昇を自動化する明確な例である。攻撃者のツールは高速化しているかもしれないが、入口は依然としてあなたが強化できるものである。今週から始めよう。パスワードを監査し、提供されているすべての場所でMFAを有効にし、VPNとリモートアクセスの設定を見直そう。ランサムウェアオペレーターがツールとインフラをどのように適応させるかについてさらに知りたい場合は、DeadLockランサムウェアとそのSessionアプリの使用に関する記事をお読みください。