研究者たちは、INCおよびThe Gentlemenランサムウェア操作のアフィリエイトが侵入を拡大するために使用している、AI駆動型侵入フレームワーク「Phantom」を発見した。このAIランサムウェアフレームワークPhantomの発見は、犯罪ツールが向かう方向を示す有用な指標である。被害者あたりの手作業が減り、攻撃者あたりの被害者が増えるということだ。

公開されている詳細は限られているため、この記事は報告された内容に留め、技術的な細部についての推測は避ける。明確なのは進む方向性であり、対応において重要な防御策はほとんどが馴染みのあるものである。

研究者がPhantomで発見したこと

報告によると、PhantomはAI駆動型侵入フレームワークである。2つのランサムウェアグループ、INCとThe Gentlemenのアフィリエイトが、ランサムウェア侵入を拡大するためにこれを使用している。ランサムウェアの世界では、アフィリエイトとは実際に攻撃を実行するオペレーターであり、多くの場合、中核グループが提供するツールとインフラを使用する。共有フレームワークは、多くのアフィリエイトに同じ能力を与える。

報道では、このフレームワークは侵入を自動化し拡大する方法として説明されている。標的とする具体的な脆弱性、影響を受けた被害者の数、依存するAIモデルについての確認された詳細はここでは持っていないため、それらについて推測することはしない。研究者がさらに公開すれば、それらの詳細は防御者にとって重要になるだろう。

AIがランサムウェアへの障壁をどのように下げるか

ランサムウェア侵入は伝統的に多くのステップを伴ってきた。侵入経路を見つけ、ネットワーク内を移動し、価値のあるデータを特定し、暗号化ペイロードを展開する。各ステップには時間とスキルが必要である。自動化はそのボトルネックを攻撃する。フレームワークがプロセスの反復的または技術的な部分を処理すると、経験の浅いアフィリエイトでもかつては熟練したオペレーターを必要とした攻撃を試みることができ、経験豊富な者は同時により多くの試行を実行できる。

これがPhantomのようなツールに関する核心的な懸念である。必ずしも個々の攻撃を賢くするわけではない。攻撃の開始コストを下げ、それによって以前は手作業の労力に見合わないほど小規模だった標的を含む、すべての人にとってリスクのベースラインを引き上げるのである。

AI支援型攻撃のより広いトレンドはランサムウェアに限らない。OpenAIは、同社のAstraモデルがゼロデイを発見し、動作するエクスプロイトを構築できることを開示しており、これについてはOpenAIのAstra AIとゼロデイ発見・エクスプロイト構築能力の記事で取り上げた。これらの進展を合わせると、AIが標的から侵害に至るまでに必要な時間と専門知識をどのように圧縮しているかがわかる。

これがあなたにとって意味すること

個人にとって： ランサムウェアは通常企業に関連付けられるが、自動化により広範で日和見的な標的化が容易になる。家族の写真や書類を保存する個人デバイス、ホームオフィス、クラウドアカウントも、同じ種類のキャンペーンに巻き込まれる可能性がある。実用的な影響として、「誰も私をわざわざ攻撃しないだろう」という仮定は以前より弱くなっている。

中小企業にとって： 中小企業は専任のセキュリティチームを欠くことが多く、攻撃者が安価に拡大できる場合に魅力的な標的となる。侵入が発生した場合、法的義務を含む対応についても考える必要がある。例えばオーストラリアでは、義務的なランサムウェア報告規則が中小企業の攻撃対応方法を変えており、これについてはオーストラリアのランサムウェア報告規則と中小企業のプライバシーリスクの記事で説明した。インシデント前に義務を知っておくことは、インシデント中に学ぶよりもはるかに容易である。

Phantomの報道には、新しく阻止不可能な攻撃手法を示唆するものは何もない。要点は量とアクセスのしやすさであり、まさにそこで基本的なセキュリティ衛生が報われるのである。

実践的な防御：MFA、パッチ適用、バックアップ、フィッシング awareness

自動化は最も簡単な標的を最初に攻撃する傾向がある。侵入コストを引き上げることが依然として最も効果的な対応である。

  • 多要素認証（MFA）を有効にする。 メール、クラウドストレージ、リモートアクセス、管理者アカウントを優先する。可能な場合は、SMSコードではなく認証アプリまたはハードウェアキーを使用する。
  • 迅速にパッチを適用する。 オペレーティングシステム、ブラウザ、VPNおよびファイアウォールアプライアンス、業務ソフトウェアを更新する。可能な場合は自動更新を有効にし、インターネットに面したシステムのインベントリを維持して何も忘れられないようにする。
  • オフラインまたは不変のバックアップを維持する。 3-2-1アプローチに従う。3つのコピー、2種類のメディア、1つはオフラインまたはメインネットワークの手の届かない場所に保存する。定期的にそこからの復元をテストする。
  • フィッシングには慎重であり続ける。 予期しない添付ファイル、ログインプロンプト、緊急の支払いやパスワード要求には懐疑的になる。行動する前に別のチャネルで確認する。
  • アクセスを制限する。 管理者アカウントと日常用アカウントを分離し、不要になった人のアクセスを削除する。
  • シンプルな対応計画を準備する。 誰に連絡するか、影響を受けたデバイスをどのように隔離するか、どの報告規則が適用されるかを知っておく。

要点

AIランサムウェアフレームワークPhantomの発見は、攻撃者がランサムウェア侵入を拡大するために自動化に投資していることを示しており、INCとThe Gentlemenのアフィリエイトが報告によれば使用している。犯罪者がツールをどのように構築するかは制御できないが、あなたのアカウント、システム、バックアップが簡単な標的であるかどうかは制御できる。

今週始めよう。最も重要なアカウントでMFAを有効にし、保留中の更新をインストールし、実際に復元できるオフラインバックアップがあることを確認し、フィッシングの習慣を刷新する。AI支援型攻撃のより詳しい背景については、Astraとゼロデイ発見の報道を読み、中小企業を運営している場合は、オーストラリアの中小企業ランサムウェア報告規則の解説を確認してインシデント対応を計画してほしい。