Обнаруженная инфраструктура атакующих дала исследователям редкую возможность увидеть, как партнёры программ-вымогателей применяют ИИ. Согласно репортажу The Hacker News, партнёры использовали одобренные человеком ИИ-рабочие процессы для эксплуатации граничных систем, кражи данных и атаки на примерно 62 организации. Эта история — полезное напоминание о том, что кампании с использованием ИИ-агентов, программ-вымогателей и граничных устройств больше не являются теоретической проблемой, и что оборудование на периметре вашей сети заслуживает настоящего внимания.
Исходный материал краток, поэтому этот пост придерживается того, что было сообщено, и сосредоточен на том, что читатели могут с этим сделать.
Как партнёры использовали ИИ-агентов для проведения вторжений
Ключевая деталь — формулировка «одобренные человеком». В репортаже описываются ИИ-рабочие процессы, в которых человек остаётся в контуре для утверждения шагов, а не полностью автономная система, действующая самостоятельно. На практике это означает, что ИИ выполняет значительную часть повторяющейся работы по вторжению, тогда как человек-партнёр утверждает, что произойдёт дальше.
Эта модель важна, потому что она снижает усилия, необходимые для проведения атаки. Задачи, которые когда-то требовали квалифицированного оператора, проходящего через каждый этап, можно ускорить, при этом человек сохраняет контроль над ключевыми решениями. В данном случае партнёры использовали эти рабочие процессы для эксплуатации граничных систем и кражи данных.
Это вписывается в более широкую картину автоматизации в киберпреступности. Подробнее о том, как ИИ-инструменты меняют экономику атакующих, читайте в нашем предыдущем отчёте о том, как ИИ-инструмент под названием Hermes обеспечивает атаки программ-вымогателей.
Почему VPN-шлюзы и маршрутизаторы стали точкой входа
Граничные системы — это устройства, обращённые к открытому интернету: VPN-шлюзы, маршрутизаторы, межсетевые экраны и подобные устройства. Они привлекательны для атакующих по простой причине. Они доступны откуда угодно, часто находятся вне мониторинга, который охватывает ноутбуки и серверы, и могут обеспечить прямой путь во внутреннюю сеть.
Когда атакующий компрометирует одно из этих устройств, он может получить доступ к внутренним ресурсам и вывести данные, даже не касаясь компьютера пользователя. Именно поэтому предлагаемый здесь акцент — гигиена периметра. Устройство, предназначенное для защиты доступа, может стать путём входа, если оно открыто, устарело или плохо настроено.
Стоит быть точным: в имеющемся у нас репортаже не называются конкретные продукты или уязвимости, и мы не будем о них догадываться. Вывод касается категории устройств, а не конкретного производителя.
Что обнаруженная инфраструктура говорит о 62 целях
Именно обнаруженная инфраструктура позволила исследователям оценить, что целями были около 62 организаций. Это число является оценкой и отражает то, что было видно в собственной инфраструктуре атакующего, а не подтверждённое количество успешных взломов.
Несколько моментов обращают на себя внимание:
- Атакующие тоже ошибаются. Неправильно настроенные или открытые серверы атакующих могут раскрыть инструменты, рабочие процессы и списки целей, которые защитники иначе никогда бы не увидели.
- Таргетинг выглядит систематическим. Список из десятков организаций предполагает повторяемый процесс, а не разовое вторжение.
- Кража данных — часть сценария. Партнёры не только стремились к шифрованию; они также крали данные, что усиливает давление на жертв.
Более широкий урок в том, что помощь ИИ может помочь партнёрам масштабироваться. Даже при участии человека, утверждающего действия, один оператор потенциально может обработать множество целей.
Что это значит для вас
Если вы управляете корпоративной сетью, вы — самая непосредственная аудитория. Любое VPN-устройство, межсетевой экран или маршрутизатор, принимающий подключения из интернета, является частью вашей поверхности атаки, и атакующие ищут те, что остались без патчей или без управления.
Если вы домашний пользователь, профиль риска другой, но не нулевой. Домашние маршрутизаторы часто поставляются с опциями удалённого администрирования, которые многие никогда не проверяют. Оставлять их включёнными и без патчей — это тот самый пробел, который автоматизированные инструменты созданы находить.
Ничто из этого не требует паники. Это требует рутинного обслуживания, которое многие пропускают.
Как проверить и укрепить свои граничные устройства
Начните с видимости, затем сократите поверхность атаки.
- Выясните, что открыто. Составьте список всех маршрутизаторов, VPN-шлюзов и межсетевых экранов, обращённых к интернету. Проверьте, какие интерфейсы управления и порты доступны извне вашей сети.
- Обновляйте прошивку. Проверьте страницу обновлений производителя и установите актуальную прошивку. Включите автоматические обновления, если устройство их поддерживает.
- Отключите ненужный удалённый доступ. Если вам не нужно удалённое администрирование, выключите его. Там, где оно нужно, ограничьте его конкретными доверенными адресами.
- Включите MFA. Требуйте многофакторную аутентификацию при входе через VPN и в панели администратора, замените пароли по умолчанию или повторно используемые.
- Проверяйте журналы. Ищите необычные входы, неожиданные изменения конфигурации или крупные исходящие передачи.
- Выводите из эксплуатации устаревшее оборудование. Устройства, которые больше не получают обновлений безопасности, представляют постоянный риск.
Ключевые выводы
Сообщённая кампания показывает, что атаки ИИ-агентов, программ-вымогателей и граничных устройств лучше всего работают против оборудования, которое открыто и запущено. Одобренные человеком ИИ-рабочие процессы помогают партнёрам действовать быстрее, но точки входа по-прежнему обычны: обращённые к интернету устройства со слабыми настройками.
На этой неделе проведите аудит вашего маршрутизатора или VPN-устройства на предмет открытости в интернет, обновите прошивку, отключите ненужный удалённый доступ и включите MFA. Для большего контекста о том, как автоматизация меняет программы-вымогатели, прочитайте наш материал об инструменте Hermes.
