รายงานจาก Help Net Security อธิบายถึงการเปลี่ยนแปลงที่น่ากังวลในวิธีที่ทีม ransomware ทำงาน กลุ่มเบื้องหลัง ransomware Aur0ra ถูกรายงานว่าได้มอบข้อมูลรับรองที่ถูกขโมยให้กับ AI agent และปล่อยให้พวกมันเคลื่อนที่ผ่านเครือข่ายของเหยื่อไปสู่การเข้าถึงระดับ domain admin กล่าวโดยสรุป การรวมกันของ AI agent, ransomware และข้อมูลรับรองที่ถูกขโมยไม่ใช่แค่ความเสี่ยงเชิงทฤษฎีอีกต่อไป แต่กำลังถูกใช้ทำงานที่ครั้งหนึ่งเคยต้องใช้ผู้ปฏิบัติงานที่มีทักษะ
รายละเอียดสาธารณะมีจำกัด ดังนั้นจึงควรระมัดระวังเกี่ยวกับสิ่งที่เรารู้และสิ่งที่เราไม่รู้ ด้านล่างคือสิ่งที่รายงานกล่าว เหตุใดจึงสำคัญ และขั้นตอนปฏิบัติใดที่ช่วยลดความเสี่ยงของคุณ
สิ่งที่กลุ่ม Aur0ra ทำกับ AI Agent
ตามรายงาน ผู้ปฏิบัติการ Aur0ra ไม่ได้เพียงใช้ AI เพื่อเขียนอีเมลฟิชชิงหรือขัดเกลาหมายเหตุเรียกค่าไถ่ พวกเขามอบข้อมูลรับรองที่ถูกขโมยให้กับ AI agent และปล่อยให้ agent เหล่านั้นเดินทางผ่านเครือข่ายของเหยื่อโดยมีเป้าหมายเพื่อเข้าถึงสิทธิ์ domain admin
AI agent ในบริบทนี้คือซอฟต์แวร์ที่สามารถรับเป้าหมาย ตัดสินใจขั้นตอน รันคำสั่ง อ่านผลลัพธ์ และปรับตัว แทนที่ผู้โจมตีที่เป็นมนุษย์จะพิมพ์แต่ละคำสั่งและตีความแต่ละการตอบสนอง agent จะทำงานส่วนใหญ่ของวงจรนั้นด้วยตัวเอง เป้าหมายที่ถูกรายงานคือ domain admin ซึ่งเป็นระดับการเข้าถึงที่โดยทั่วไปให้การควบคุมบัญชีและเครื่องส่วนใหญ่ในองค์กรที่ใช้ Windows
สรุปจากแหล่งข่าวไม่ได้ให้รายละเอียดทางเทคนิคเพิ่มเติม ดังนั้นเราจะไม่คาดเดาว่า agent ใช้เครื่องมือใดหรือมีเหยื่อได้รับผลกระทบกี่ราย
ข้อมูลรับรองที่ถูกขโมยกลายเป็นสิทธิ์ Domain Admin ได้อย่างไร
ข้อมูลรับรองที่ถูกขโมยมักเป็นจุดเริ่มต้นของการบุกรุกเครือข่าย ชื่อผู้ใช้และรหัสผ่าน โทเค็นเซสชัน หรือการเข้าสู่ระบบระยะไกลสามารถให้ผู้โจมตีเดินเข้าประตูหน้าแทนที่จะเจาะทะลุกำแพง
จากจุดนั้น รูปแบบทั่วไปของการยึดเครือข่ายดูคุ้นเคยสำหรับฝ่ายป้องกัน:
- ผู้โจมตีลงชื่อเข้าใช้ด้วยบัญชีที่ถูกต้อง ซึ่งอาจดูเหมือนกิจกรรมปกติ
- พวกเขาสำรวจเครือข่ายเพื่อเรียนรู้ว่ามีระบบและบัญชีใดบ้าง
- พวกเขามองหาข้อมูลรับรองที่ทรงพลังกว่าหรือการกำหนดค่าที่ผิดพลาดซึ่งช่วยให้เคลื่อนที่แนวนอนได้
- พวกเขายกระดับสิทธิ์ไปเรื่อยๆ จนกระทั่งถือสิทธิ์ domain admin
เมื่อผู้โจมตีมีสิทธิ์ domain admin การปรับใช้ ransomware ทั่วระบบจำนวนมากในครั้งเดียวจะง่ายขึ้นมาก นั่นคือเหตุผลที่เป้าหมายที่ถูกรายงานของ agent Aur0ra มีความสำคัญ Domain admin คือจุดที่การบุกรุกสามารถกลายเป็นวิกฤตทั่วทั้งองค์กร
บทเรียนสำคัญคือห่วงโซ่นี้เริ่มต้นจากการลงชื่อเข้าใช้ที่ถูกต้อง การปกป้องข้อมูลรับรองที่แข็งแกร่งและการควบคุมการเข้าถึงระยะไกลอย่างเข้มงวดโจมตีขั้นตอนแรกสุดและถูกที่สุดในกระบวนการ
ทำไม AI จึงลดอุปสรรคสำหรับผู้โจมตี ransomware
ในอดีต การเคลื่อนที่ผ่านเครือข่ายไปสู่ domain admin ต้องใช้ความอดทน ประสบการณ์ และเวลา ผู้โจมตีต้องอ่านผลลัพธ์ ตัดสินใจ และหลีกเลี่ยงการtriggerสัญญาณเตือน แรงงานนั้นจำกัดจำนวนเหยื่อที่ทีมหนึ่งจะจัดการได้
ระบบอัตโนมัติเปลี่ยนสมการนั้น หาก AI agent สามารถจัดการการสำรวจและการยกระดับสิทธิ์ได้มาก ทีมอาจต้องการคนที่มีทักษะน้อยลงและใช้เวลาลงมือน้อยลงต่อเหยื่อ กิจกรรม Aur0ra ที่ถูกรายงานชี้ให้เห็นว่า:
- ผู้ปฏิบัติการที่มีประสบการณ์น้อยอาจพยายามบุกรุกที่ครั้งหนึ่งต้องใช้ความเชี่ยวชาญ
- ผู้ปฏิบัติการที่มีประสบการณ์อาจดำเนินการบุกรุกหลายครั้งพร้อมกัน
- เวลาระหว่างการเข้าถึงครั้งแรกและการ compromise เต็มรูปแบบอาจหดสั้นลง ทำให้ฝ่ายป้องกันมีเวลา reag น้อยลง
สิ่งเหล่านี้เป็นนัยที่สมเหตุสมผลจากพฤติกรรมที่ถูกรายงาน ไม่ใช่การวัดที่ยืนยันแล้ว อย่างไรก็ตาม กลุ่ม ransomware มีประวัติยาวนานในการปรับเครื่องมือและโครงสร้างพื้นฐานเพื่อคงประสิทธิภาพ บทความของเราเกี่ยวกับวิธีที่ DeadLock ransomware เพิ่มแอป Session เพื่อหลบเลี่ยงการ takedown แสดงรูปแบบเดียวกันจากมุมที่ต่างออกไป: ผู้ปฏิบัติการเปลี่ยนวิธีการเมื่อมีสิ่งขวางกั้น และพวกเขานำสิ่งที่ทำให้งานถูกลงและยืดหยุ่นขึ้นมาใช้
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
ข่าวดีคือ AI agent ยังต้องการบางสิ่งในการทำงาน ในกรณีที่ถูกรายงาน สิ่งนั้นคือข้อมูลรับรองที่ถูกขโมย ฝ่ายป้องกันไม่สามารถควบคุมว่าเครื่องมือของผู้โจมตีจะฉลาดเพียงใด แต่พวกเขาสามารถควบคุมว่าการลงชื่อเข้าใช้ที่ถูกขโมยจะ useful เพียงใด
สำหรับบุคคลทั่วไป นี่เป็นเครื่องเตือนใจว่ารหัสผ่านที่ใช้ซ้ำหรือถูกเปิดเผยสามารถกลายเป็นลิงก์แรกในห่วงโซ่ที่ใหญ่กว่ามาก โดยเฉพาะอย่างยิ่งหากคุณใช้การลงชื่อเข้าใช้เดียวกันสำหรับงานและบริการส่วนตัว สำหรับธุรกิจขนาดเล็กและทีมไอที หมายความว่าระบบเข้าถึงระยะไกล รวมถึง VPN gateway และบริการ remote desktop สมควรได้รับการตรวจสอบเช่นเดียวกับจุดเข้าอื่นๆ
วิธีลดความเสี่ยงจากการโจมตีที่อิงข้อมูลรับรอง
ไม่มีขั้นตอนใดแปลกพิเศษ และเมื่อรวมกันแล้วทำให้รหัสผ่านที่ถูกขโมยมีค่าน้อยลงมาก:
- ตรวจสอบรหัสผ่านของคุณ ใช้ password manager เพื่อให้ทุกบัญชีมีรหัสผ่านที่ยาวและไม่ซ้ำ เปลี่ยนรหัสใดก็ตามที่ปรากฏในการละเมิดข้อมูลที่รู้จัก
- เปิดใช้ multi-factor authentication (MFA) เลือกวิธีที่ใช้แอปหรือฮาร์ดแวร์แทน SMS เมื่อเป็นไปได้ และกำหนดให้ MFA กับอีเมล บัญชีผู้ดูแลระบบ และการเข้าถึงระยะไกลทั้งหมด
- ทบทวนการตั้งค่า VPN และการเข้าถึงระยะไกล ยืนยันว่าใครมีสิทธิ์เข้าถึง ลบบัญชีที่ไม่จำเป็นแล้ว และตรวจสอบให้แน่ใจว่าการลงชื่อเข้าใช้ระยะไกลต้องใช้ MFA อัปเดตแพตช์ซอฟต์แวร์ gateway อยู่เสมอ
- จำกัดสิทธิ์ บัญชีที่ใช้ประจำวันไม่ควรมีสิทธิ์ผู้ดูแลระบบ บัญชีที่ทรงพลังน้อยลงหมายถึงเส้นทางไปสู่ domain admin น้อยลง
- เฝ้าระวังการลงชื่อเข้าใช้ที่ผิดปกติ การลงชื่อเข้าใช้ในเวลาที่แปลก จากตำแหน่งที่ไม่คุ้นเคย หรือไปยังระบบที่ผู้ใช้ไม่เคยแตะ ควรได้รับการตรวจสอบอย่างใกล้ชิด
- เก็บแบ็กอัปแบบออฟไลน์ แบ็กอัปที่ทดสอบแล้วและผู้โจมตีเข้าถึงไม่ได้ให้วิธีกู้คืนโดยไม่ต้องจ่ายเงิน
บทสรุป
รายงาน Aur0ra เป็นตัวอย่างที่ชัดเจนของ AI agent, ransomware และข้อมูลรับรองที่ถูกขโมยมาบรรจบกันเพื่อทำ automate การไต่ขึ้นสู่ domain admin เครื่องมือของผู้โจมตีอาจเร็วขึ้น แต่จุดเข้าถึงยังคงเป็นสิ่งที่คุณทำให้แข็งแกร่งได้ เริ่มต้นสัปดาห์นี้: ตรวจสอบรหัสผ่านของคุณ เปิดใช้ MFA ทุกที่ที่มีให้ และทบทวนการตั้งค่า VPN และการเข้าถึงระยะไกล สำหรับข้อมูลเพิ่มเติมเกี่ยวกับวิธีที่ผู้ปฏิบัติการ ransomware ปรับเครื่องมือและโครงสร้างพื้นฐาน อ่านบทความของเราเกี่ยวกับ DeadLock ransomware และการใช้แอป Session
