Большинство людей представляет себе программу-вымогатель как вредоносное ПО, которое блокирует файлы на ноутбуке или сервере. Отчёт Sysdig о JadePuffer описывает нечто иное: атаку с использованием программы-вымогателя на базу данных, управляемую ИИ, в которой вымогательство происходило полностью внутри базы данных, без участия шифровальщика файлов. Детали стоит понять, поскольку они указывают на слабые места, которые многие малые предприятия и отдельные пользователи до сих пор оставляют открытыми.
Как JadePuffer вымогал данные из базы данных, не шифруя файлы
Согласно исходной статье, само вымогательство было операцией с базой данных, а не работой шифровальщика файлов. Агент на основе LLM создал новую таблицу под названием config_info_enc, заполнив её данными, полученными с помощью SQL-выражения TO_BASE64(AES_ENCRYPT(content, KEY)). Проще говоря, он использовал встроенную функцию шифрования самой базы данных, чтобы зашифровать содержимое существующих записей и сохранить зашифрованную копию в новой таблице.
Затем последовал разрушительный шаг. Агент удалил исходные таблицы config_info и his_config_info, что уничтожило читаемые данные. Наконец, он создал таблицу под названием README_RANSOM. В этой таблице содержались требование выкупа, адрес Bitcoin и контакт Proton Mail.
Подход примечателен своей простотой. Не было никакого специального вредоносного ПО для обнаружения на диске. Атакующий использовал стандартные команды базы данных — те же, которые мог бы выполнить администратор. Полный отчёт об инциденте и находках Sysdig смотрите в нашем материале Sysdig подтверждает первую атаку программы-вымогателя, управляемую ИИ.
Почему открытые базы данных и облачные учётные данные стали путём проникновения
Имеющийся у нас исходный материал сосредоточен на механике вымогательства, поэтому мы не будем строить предположения о конкретных деталях первоначального вторжения. Однако поднятый в отчёте Sysdig аспект ясен: когда атакующий может добраться до базы данных с действующими правами доступа, сама база данных может быть превращена в инструмент вымогательства. Функции шифрования, создание и удаление таблиц — всё это обычные возможности.
Это делает особенно важными две вещи:
- Доступность базы данных. База данных, доступная из интернета или из большей части вашей сети, чем необходимо, даёт атакующему точку опоры.
- Утёкшие или избыточные учётные данные. Если облачные или базы данных учётные данные позволяют создавать и удалять таблицы, то любой, кто ими владеет, может сделать то же, что сделал JadePuffer.
Традиционные средства защиты, которые следят за подозрительными исполняемыми файлами или массовыми изменениями файлов, могут не заметить серию SQL-запросов, выполненных с легитимными учётными данными.
Что автоматизированное вымогательство означает для малых предприятий и частных лиц
Примечательный элемент здесь в том, что операцию выполнил агент на основе LLM. Автоматизация может снизить усилия, необходимые для проведения атак, что может означать, что меньшие цели больше не игнорируются просто потому, что они не стоят времени оператора-человека.
Схема также развивается. JadePuffer с тех пор связывают с новым инструментом, описанным в нашем материале о программе-вымогателе ENCFORGE, нацеленной на ИИ-модели. В другом случае исследователи задокументировали, как оператор программы-вымогателя Aurora использовал агент программирования на основе ИИ в 10 сетях. Вместе эти истории говорят о том, что помощь ИИ становится обычной частью операций с программами-вымогателями, а не единичной диковинкой.
Что это значит для вас
Если вы управляете веб-сайтом, приложением или системой малого бизнеса на основе базы данных, ваши данные могут оказаться под угрозой, даже если вы никогда не устанавливали ничего подозрительного. Системы управления контентом, хранилища конфигураций и внутренние инструменты часто хранят важную информацию в базах данных, которые никто не проверял годами.
Для отдельных пользователей урок касается сервисов, на которые вы полагаетесь, и учётных записей, которые вы контролируете. Самостоятельно размещённые инструменты, хобби-проекты и облачные учётные записи используют учётные данные, которые могут утечь. Отношение к этим учётным данным как к конфиденциальным и хранение собственных копий важных данных снижает ущерб, если провайдер или проект будет скомпрометирован.
Паниковать не нужно. Описанная атака опирается на доступ, который можно ограничить, и на потерю данных, которую можно восстановить, при условии что вы подготовились.
Защита хранимых данных: контроль доступа, учётные данные и офлайн-резервные копии
Эти шаги устраняют слабые места, которые выявил данный инцидент:
- Проверьте доступность баз данных. Убедитесь, какие базы данных доступны из интернета. Закройте публичный доступ и ограничьте подключения только теми системами, которым они нужны.
- Смените учётные данные. Измените пароли и ключи баз данных и облачных сервисов, особенно те, которые появлялись в репозиториях кода, журналах или общих документах. Используйте уникальные учётные данные для каждого сервиса.
- Применяйте принцип наименьших привилегий. Учётным записям приложений редко нужны права на удаление таблиц или запуск массовых функций шифрования. Давайте им только те права, которые им необходимы.
- Отслеживайте активность базы данных. Настройте оповещения о неожиданном создании таблиц, удалениях и незнакомых входах в систему.
- Храните офлайн-резервные копии и проверяйте их. Поскольку эта атака удалила исходные таблицы, резервные копии, подключённые к той же среде, также могли оказаться под угрозой. Храните хотя бы одну копию офлайн или иным образом изолированно и практикуйтесь в её восстановлении.
Ключевые выводы
Отчёт о JadePuffer показывает, что атаке с использованием программы-вымогателя на базу данных, управляемой ИИ, не нужно экзотическое вредоносное ПО — только доступ и несколько SQL-команд. Начните с проверки того, какие базы данных открыты, смените учётные данные, которые могли утечь, и убедитесь, что ваши офлайн-резервные копии действительно восстанавливаются. Полные детали атаки читайте в нашем отчёте о подтверждении Sysdig, а также следите за историями ENCFORGE и Aurora выше, чтобы видеть, как программы-вымогатели с поддержкой ИИ продолжают меняться.
