สิ่งที่ Gambit Security พบภายในปฏิบัติการ Aurora

นักวิจัยด้าน威胁ข่าวกรองจาก Gambit Security ได้เผยแพร่รายงานโดยละเอียดเกี่ยวกับปฏิบัติการแรนซัมแวร์ Aurora และผลการค้นพบนี้ถือเป็นการเปลี่ยนแปลงที่สำคัญในวิธีที่กลุ่มแรนซัมแวร์ทำงาน ตามรายงาน ทีมวิจัยได้รับบันทึกเซสชันประมาณหกสัปดาห์ซึ่งแสดงให้เห็นผู้ปฏิบัติการที่เป็นมนุษย์ควบคุม Cursor ซึ่งเป็นเอเจนต์เขียนโค้ดด้วย AI ที่ได้รับความนิยม ผ่านกิจกรรมที่ปฏิบัติจริงภายในระบบที่ถูกบุกรุก บันทึกดังกล่าวครอบคลุมกิจกรรมในเครือข่ายเหยื่อที่แยกจากกันสิบแห่ง ทำให้ researchers มีมุมมองที่ละเอียดผิดปกติว่าการโจมตีแรนซัมแวร์ที่ใช้เอเจนต์เขียนโค้ดด้วย AI เกิดขึ้นจริงในทางปฏิบัติมากกว่าในทางทฤษฎี

สิ่งที่ทำให้รายงานนี้มีความสำคัญไม่ใช่แค่ขนาด ซึ่งเครือข่ายสิบแห่งเป็นขนาดตัวอย่างที่มีความหมายสำหรับแคมเปญที่บันทึกไว้เพียงแคมเปญเดียว แต่เป็นระดับการมองเห็นในขั้นตอนการทำงานของผู้ปฏิบัติการ แทนที่จะประกอบชิ้นส่วนหลักฐานทางนิติเวชภายหลัง Gambit Security's researchers สามารถตรวจสอบบันทึกทีละเซสชันซึ่งจับภาพว่าผู้ปฏิบัติการโต้ตอบกับเครื่องมือ AI อย่างไรในช่วงเวลาที่ยาวนาน ข้อมูลระยะยาวแบบนั้นหาได้ยากในการวิจัยแรนซัมแวร์ และทำให้ผู้ป้องกันมีภาพที่ชัดเจนขึ้นว่าเครื่องมือเหล่านี้ถูกนำมารวมเข้ากับการบุกรุกจริงอย่างไร

เอเจนต์เขียนโค้ดด้วย AI ของ Cursor เร่งห่วงโซ่การโจมตีของแรนซัมแวร์ Aurora อย่างไร

Cursor ถูกออกแบบมาเป็นเครื่องมือเพิ่มผลผลิตสำหรับนักพัฒนาซอฟต์แวร์ที่ถูกกฎหมาย ช่วยให้พวกเขาเขียน แก้ไข และปรับปรุงโค้ดได้เร็วขึ้นโดยทำหน้าที่เป็นผู้ช่วยเขียนโค้ดที่ขับเคลื่อนด้วย AI กรณี Aurora แสดงให้เห็นว่าความสามารถเดียวกันนั้นถูกนำไปใช้ใหม่โดยผู้ปฏิบัติการแรนซัมแวร์เพื่อเร่งงานภายในสภาพแวดล้อมของเหยื่อ แทนที่จะเขียนสคริปต์ทุกตัวด้วยตนเองหรือแก้ไขอุปสรรคทางเทคนิคแต่ละอย่างด้วยมือ ผู้ปฏิบัติการดูเหมือนจะใช้เอเจนต์ AI เป็นตัวคูณกำลัง ให้มันจัดการงานที่ซ้ำซากหรือต้องใช้ความเชี่ยวชาญทางเทคนิคสูง ในขณะที่มนุษย์เป็นผู้กำหนดกลยุทธ์โดยรวม

รูปแบบนี้สอดคล้องกับแนวโน้มที่กว้างขึ้นซึ่งนักวิจัยด้านความปลอดภัยได้ชี้ให้เห็น: เครื่องมือเขียนโค้ดด้วย AI ลดอุปสรรคทางเทคนิคสำหรับการดำเนินการบุกรุกที่ซับซ้อน ผู้ปฏิบัติการไม่จำเป็นต้องเป็นผู้เชี่ยวชาญด้านสคริปต์หรือนักพัฒนาแคร์แวร์ หากเอเจนต์ AI สามารถสร้าง ปรับแต่ง และแก้ไขโค้ดได้ตามความต้องการ บันทึกของ Aurora ชี้ให้เห็นว่านี่ไม่ใช่การทดลองครั้งเดียว การใช้งานต่อเนื่องเป็นเวลาหกสัปดาห์ในสิบเครือข่ายชี้ให้เห็นถึงขั้นตอนการทำงานที่ผู้ปฏิบัติการได้ปรับปรุงและพึ่งพาซ้ำแล้วซ้ำเล่า ไม่ใช่สิ่งแปลกใหม่ที่ลองครั้งเดียวแล้วละทิ้ง

แรนซัมแวร์ที่ใช้ AI ช่วยเหลือ vs. แรนซัมแวร์อัตโนมัติเต็มรูปแบบ: กรณีนี้อยู่ตรงไหน

ควรระบุให้ชัดเจนว่ากรณี Aurora แท้จริงแล้วคืออะไร นี่ไม่ใช่ตัวอย่างของการโจมตีแรนซัมแวร์ที่ดำเนินการด้วยตัวเอง ผู้ปฏิบัติการที่เป็นมนุษย์อยู่ในตำแหน่งขับเคลื่อนอย่างชัดเจน โดยใช้เอเจนต์ AI เป็นเครื่องมือเพื่อเคลื่อนที่เร็วขึ้นและฝ่าอุปสรรคทางเทคนิค คล้ายกับที่นักพัฒนาอาจพึ่งพาผู้ช่วยเพื่อเร่งงานเขียนโค้ด สิ่งนี้ทำให้ Aurora อยู่ในหมวดหมู่ที่ใช้ AI ช่วยเหลืออย่างชัดเจน ไม่ใช่อัตโนมัติเต็มรูปแบบ

ความแตกต่างนั้นสำคัญเพราะ researchers ยังได้บันทึกกรณีที่อยู่ไกลออกไปในสเปกตรัม Sysdig ได้รายงานถึงสิ่งที่อธิบายว่าเป็น การโจมตีแรนซัมแวร์ด้วย AI อัตโนมัติเต็มรูปแบบครั้งแรก ซึ่งเอเจนต์ AI ดำเนินการบุกรุกโดยมีการควบคุมจากมนุษย์แบบเรียลไทม์เพียงเล็กน้อยหรือไม่มีเลย Sysdig's researchers ยังได้บันทึกแคมเปญที่เรียกว่า JADEPUFFER ซึ่งโมเดลภาษาขนาดใหญ่สั่งการการโจมตีส่วนใหญ่ต่อเป้าหมายด้านการแพทย์ และต่อมาได้ติดตามผู้คุกคามรายเดียวกันที่สร้าง เครื่องมือแรนซัมแวร์ใหม่ที่มุ่งเป้าไปที่ตัวโมเดล AI เอง เมื่อมองร่วมกัน Aurora และกรณีอัตโนมัติเหล่านี้勾勒出สเปกตรัม: ปลายด้านหนึ่งคือผู้ปฏิบัติการที่เป็นมนุษย์ใช้ AI เป็นตัวเร่งความเร็ว อีกด้านหนึ่งคือเอเจนต์ AI ที่ทำงานด้วยความเป็นอิสระที่เพิ่มขึ้น Aurora แสดงให้เห็นว่าแม้แต่ปลายด้านที่ใช้ AI ช่วยเหลือของสเปกตรัมนั้นก็กำลังสร้างแคมเปญจริงที่มีเหยื่อหลายรายอยู่แล้ว

สิ่งนี้หมายถึงอะไรสำหรับคุณ

สำหรับองค์กรส่วนใหญ่ ความเสี่ยงทันทีไม่ใช่ว่าเอเจนต์ AI จะโจมตีเครือข่ายด้วยแรนซัมแวร์เพียงลำพังข้ามคืน แต่คือผู้โจมตีที่มีระดับการเข้าถึงหรือทักษะทางเทคนิคอยู่แล้วสามารถเคลื่อนที่ได้เร็วขึ้นและโจมตีเป้าหมายได้มากขึ้นในช่วงเวลาเดียวกัน สิ่งนี้เปลี่ยนสมการว่า การบุกรุกสามารถพัฒนาจากจุดเริ่มต้นไปสู่การประนีประนอมเครือข่ายทั้งหมดได้เร็วเพียงใด ซึ่งเพิ่มแรงกดดันให้กับการตรวจจับตั้งแต่เนิ่นๆ มากกว่าการพึ่งพาเพียงการหยุดการบุกรุกเริ่มต้น

ลำดับความสำคัญด้านการป้องกันบางประการโดดเด่นจากกรณีนี้ สุขอนามัยด้านข้อมูลประจำตัวที่แข็งแกร่งยังคงเป็นพื้นฐาน เนื่องจากเครื่องมือ AI ไม่ได้สร้างการเข้าถึงใหม่ด้วยตัวเอง พวกมันยังคงต้องการข้อมูลประจำตัวที่ถูกต้องหรือจุดตั้งหลักที่มีอยู่เพื่อทำงานภายในเครือข่าย การแบ่งส่วนเครือข่ายจำกัดว่าผู้ปฏิบัติการ ไม่ว่าจะใช้ AI ช่วยเหลือหรือไม่ จะเคลื่อนที่ได้ไกลแค่ไหนเมื่อเข้ามาแล้ว จำกัดความเสียหายให้อยู่ในส่วนเล็กๆ ของสภาพแวดล้อม และการตรวจสอบการใช้งานเครื่องมือที่ผิดปกติ รวมถึงเอเจนต์เขียนโค้ดด้วย AI ที่ทำงานในบริบทที่ไม่ควร ให้โอกาสทีมรักษาความปลอดภัยในการจับกิจกรรมที่ใช้ AI ช่วยเหลือก่อนที่จะลุกลามเป็นเหตุการณ์แรนซัมแวร์เต็มรูปแบบ

ประเด็นสำคัญ

  • ผู้ปฏิบัติการแรนซัมแวร์กำลังใช้เอเจนต์เขียนโค้ดด้วย AI เช่น Cursor เพื่อเร่งการบุกรุกจริง ไม่ใช่แค่ทดลองเท่านั้น
  • แคมเปญ Aurora ซึ่งบันทึกไว้ในเครือข่ายเหยื่อสิบแห่งเป็นเวลาหกสัปดาห์ แสดงถึงการช่วยเหลือด้วย AI ที่มนุษย์ควบคุม ไม่ใช่ความเป็นอัตโนมัติเต็มรูปแบบ
  • สุขอนามัยด้านข้อมูลประจำตัว การแบ่งส่วนเครือข่าย และการตรวจสอบกิจกรรม AI ที่ไม่คาดคิดเป็นขั้นตอนที่ปฏิบัติได้จริงที่องค์กรสามารถทำได้ตอนนี้
  • การเข้าใจว่าแคมเปญอยู่ตรงไหนในสเปกตรัมตั้งแต่ AI ช่วยเหลือจนถึงอัตโนมัติเต็มรูปแบบช่วยให้ทีมรักษาความปลอดภัยปรับการป้องกันหลายชั้นที่เหมาะสม แทนที่จะพึ่งพาเครื่องมือเดียว