Исследователи обнаружили Phantom — управляемый ИИ фреймворк для вторжений, который используется партнёрами операций програм-вымогателей INC и The Gentlemen для масштабирования своих взломов. Обнаружение этого ИИ-фреймворка для программ-вымогателей Phantom является полезным маркером того, куда движется преступный инструментарий: меньше ручных усилий на каждую жертву и больше жертв на каждого атакующего.

Публичные детали ограничены, поэтому этот пост придерживается того, что было сообщено, и избегает догадок о технических подробностях. Ясно одно — направление движения, а меры защиты, которые имеют значение в ответ, в основном знакомы.

Что исследователи обнаружили в Phantom

Согласно отчёту, Phantom — это управляемый ИИ фреймворк для вторжений. Партнёры двух групп программ-вымогателей, INC и The Gentlemen, использовали его для масштабирования своих вторжений с программами-вымогателями. В мире программ-вымогателей партнёры — это операторы, которые фактически осуществляют атаки, часто используя инструменты и инфраструктуру, предоставленные основной группой. Общий фреймворк даёт многим партнёрам одинаковые возможности.

В отчёте фреймворк описывается как способ автоматизации и масштабирования взломов. У нас нет подтверждённых деталей о конкретных уязвимостях, на которые он нацелен, о том, сколько жертв он затронул, или о том, на какие ИИ-модели он опирается, поэтому мы не будем строить догадки об этом. Если исследователи опубликуют больше, эти детали будут важны для защитников.

Как ИИ снижает барьер для программ-вымогателей

Вторжения с программами-вымогателями традиционно включают множество шагов: найти способ проникновения, перемещаться по сети, locate ценные данные и развернуть полезную нагрузку шифрования. Каждый шаг требует времени и навыков. Автоматизация атакует это узкое место. Когда фреймворк берёт на себя повторяющиеся или технические части процесса, менее опытные партнёры могут предпринимать атаки, которые когда-то требовали опытных операторов, а опытные могут запускать больше попыток одновременно.

Это и есть основная проблема с инструментами вроде Phantom. Он не обязательно делает какую-либо отдельную атаку умнее. Он делает атаки дешевле для запуска, что повышает базовый уровень риска для всех, включая цели, которые ранее были слишком малы, чтобы стоить ручных усилий атакующего.

Более широкая тенденция наступательных действий с помощью ИИ не ограничивается программами-вымогателями. OpenAI раскрыла, что её модель Astra может находить zero-day и создавать рабочие эксплойты, что мы освещали в нашем обзоре ИИ Astra от OpenAI и его способность находить zero-day и создавать эксплойты. Вместе эти события показывают, как ИИ сжимает время и экспертизу, необходимые для перехода от цели к компрометации.

Что это значит для вас

Для частных лиц: Программы-вымогатели обычно ассоциируются с компаниями, но автоматизация делает широкое, оппортунистическое таргетирование проще. Личные устройства, домашние офисы и облачные аккаунты, хранящие семейные фотографии или документы, могут быть охвачены такими же кампаниями. Практический эффект в том, что «никто не станет меня атаковать» — более слабое предположение, чем раньше.

Для малого бизнеса: Небольшие фирмы часто не имеют выделенной команды безопасности, что делает их привлекательными, когда атакующие могут масштабироваться дёшево. Если вторжение происходит, вам также нужно подумать о реагировании, включая юридические обязанности. В Австралии, например, обязательные правила отчётности о программах-вымогателях меняют то, как небольшие компании справляются с атаками, как мы объясняли в нашей статье о правилах отчётности о программах-вымогателях в Австралии и рисках конфиденциальности для МСП. Знать свои обязанности до инцидента гораздо проще, чем узнавать их во время него.

Ничто в отчёте о Phantom не указывает на новый, неостановимый метод атаки. Суть в объёме и доступности, и именно здесь базовая гигиена безопасности окупается.

Практические меры защиты: MFA, патчи, резервные копии и осведомлённость о фишинге

Автоматизация, как правило, сначала бьёт по самым лёгким целям. Повышение стоимости проникновения по-прежнему остаётся самым эффективным ответом.

  • Включите многофакторную аутентификацию (MFA). В первую очередь для электронной почты, облачного хранилища, удалённого доступа и административных аккаунтов. Где возможно, используйте приложение-аутентификатор или аппаратный ключ вместо SMS-кодов.
  • Устанавливайте патчи оперативно. Обновляйте операционные системы, браузеры, VPN и межсетевые экраны, а также бизнес-программы. Включайте автоматические обновления, где можете, и ведите инвентаризацию систем, доступных из интернета, чтобы ничего не забыть.
  • Храните офлайн- или неизменяемые резервные копии. Следуйте подходу 3-2-1: три копии, два типа носителей, одна хранится офлайн или вне досягаемости вашей основной сети. Регулярно проверяйте восстановление из них.
  • Оставайтесь бдительными к фишингу. Скептически относитесь к неожиданным вложениям, запросам на вход и срочным запросам платежей или паролей. Проверяйте через отдельный канал, прежде чем действовать.
  • Ограничивайте доступ. Используйте отдельные административные и повседневные аккаунты и удаляйте доступ для людей, которым он больше не нужен.
  • Подготовьте простой план реагирования. Знайте, кому звонить, как изолировать затронутые устройства и какие правила отчётности к вам применяются.

Ключевые выводы

Обнаружение ИИ-фреймворка для программ-вымогателей Phantom показывает, что атакующие инвестируют в автоматизацию для масштабирования вторжений с программами-вымогателями, причём партнёры INC и The Gentlemen, как сообщается, входят в число тех, кто его использует. Вы не можете контролировать, как преступники создают свои инструменты, но вы можете контролировать, являются ли ваши аккаунты, системы и резервные копии лёгкими целями.

Начните на этой неделе: включите MFA на своих самых важных аккаунтах, установите ожидающие обновления, проверьте, что у вас есть офлайн-резервная копия, которая действительно восстанавливается, и обновите свои привычки в отношении фишинга. Для большего контекста о наступательных действиях с помощью ИИ читайте наш материал об Astra и обнаружении zero-day, а если вы управляете малым бизнесом, ознакомьтесь с нашим объяснением о правилах отчётности о программах-вымогателях для МСП в Австралии, чтобы спланировать реагирование на инциденты.