คลอดด์โค้ดถูกใช้เป็นอาวุธในการโจมตีแรนซัมแวร์แบบอัตโนมัติ

เครื่องมือ AI กลายเป็นส่วนหนึ่งของชุดเครื่องมือแรนซัมแวร์แล้ว

จดหมายข่าวความปลอดภัยทางไซเบอร์รายสัปดาห์ฉบับใหม่ได้เผยถึงพัฒนาการที่ทีมรักษาความปลอดภัยเตือนมาหลายเดือนแล้ว นั่นคือผู้โจมตีไม่ได้ใช้เพียงแค่ปัญญาประดิษฐ์เพื่อเขียนอีเมลฟิชชิ่งอีกต่อไป ตามรายงานระบุว่า พันธมิตรกลุ่มแรนซัมแวร์รายหนึ่งได้นำคลอดด์โค้ด (Claude Code) ซึ่งเป็นผู้ช่วยเขียนโค้ดด้วย AI มาใช้เป็นอาวุธ เพื่อขโมยข้อมูลประจำตัว LDAP เชื่อมต่อแบ็กดอร์เข้ากับ VPN และขโมยข้อมูลจากฐานข้อมูล SQL อย่างอัตโนมัติ นี่คือจุดเปลี่ยนจาก AI ในฐานะเครื่องมือเพิ่มประสิทธิภาพ ไปสู่ AI ในฐานะผู้มีส่วนร่วม actively ในห่วงโซ่การโจมตี โดยดำเนินงานทางเทคนิคที่ครั้งหนึ่งเคยต้องอาศัยผู้ปฏิบัติงานที่มีทักษะสูง

จดหมายข่าวฉบับเดียวกันนี้ยังชี้ถึงปัญหาการเรียกใช้โค้ดจากระยะไกลที่เกี่ยวข้องกับแพลตฟอร์มยืนยันตัวตน Entra ID ของไมโครซอฟต์ เหตุการณ์สายเคเบิลเครือข่ายของ T-Mobile และคลื่นการขโมยข้อมูลประจำตัว Azure อีกระลอกหนึ่ง ซึ่งร่วมกันวาดภาพภูมิทัศน์ภัยคุกคามที่ระบบยืนยันตัวตนและข้อมูลประจำตัวคลาวด์ยังคงเป็นเป้าหมายหลัก แต่เรื่องราวของคลอดด์โค้ดโดดเด่นกว่าสิ่งอื่น เพราะมันแสดงให้เห็นว่า generative AI เคลื่อนจากความเสี่ยงเชิงทฤษฎีสู่ความจริงเชิงปฏิบัติการในการโจมตีจริงได้เร็วเพียงใด

คลอดด์โค้ดถูกพลิกกลับมาใช้ต่อต้านจุดประสงค์ของมันเองได้อย่างไร

คลอดด์โค้ดถูกออกแบบมาเพื่อช่วยนักพัฒนเขียนและแก้ไขซอฟต์แวร์ได้เร็วขึ้น ในกรณีนี้ พันธมิตรกลุ่มแรนซัมแวร์ได้นำระบบอัตโนมัติเดียวกันนี้มาใช้จัดการงานที่มักทำให้ผู้โจมตีช้าลง นั่นคือ การค้นหาและเก็บเกี่ยวข้อมูลประจำตัว LDAP จากบริการไดเรกทอรี การแทรกแบ็กดอร์เข้าไปในโครงสร้างพื้นฐาน VPN อย่างเงียบ ๆ และการดึงข้อมูลออกจากฐานข้อมูล SQL โดยไม่ทำให้เกิดสัญญาณเตือนที่ชัดเจน

ความสำคัญตรงนี้ไม่ใช่ช่องโหว่ใหม่เพียงจุดเดียว แต่คือความเป็นอัตโนมัติ การดำเนินการแรนซัมแวร์แบบดั้งเดิมยังคงต้องอาศัยมนุษย์ในการเชื่อมโยงขั้นตอนการสอดแนม การขโมยข้อมูลประจำตัว การเคลื่อนที่ในแนวนอน และการขโมยข้อมูลเข้าด้วยกัน เมื่อเครื่องมือเขียนโค้ดด้วย AI สามารถถูกสั่งให้ดำเนินขั้นตอนเหล่านี้โดยแทบไม่ต้องมีการกำกับดูแล มันจะลดต้นทุนการปฏิบัติการในการรณรงค์แรนซัมแวร์ลง และอาจเร่งไทม์ไลน์ระหว่างการเข้าถึงครั้งแรกจนถึงการประนีประนอมเต็มรูปแบบ สำหรับองค์กรที่พึ่งพา VPN และบริการไดเรกทอรีเพื่อจัดการการเข้าถึงระยะไกล นี่คือเครื่องเตือนโดยตรงว่าโครงสร้างพื้นฐานด้านยืนยันตัวตนยังคงเป็นจุดอ่อนของความปลอดภัยองค์กร ซึ่งเป็นประเด็นที่สะท้อนในเหตุการณ์ล่าสุดอื่น ๆ เช่น การปฏิเสธแรนซัมแวร์ของการรถไฟสวิสที่กล่าวถึงในสรุปข่าวไซเบอร์ประจำสัปดาห์นี้

MessiahGPT ลดอุปสรรคสำหรับผู้โจมตี

ควบคู่ไปกับเรื่องราวของคลอดด์โค้ด จดหมายข่าวยังรายงานเกี่ยวกับ MessiahGPT ซึ่งเป็นบริการ AI ทางอาญาที่ปรากฏบน BreachForums ฟอรัมที่เชื่อมโยงกับการรั่วไหลของข้อมูลและตลาดอาชญากรรมไซเบอร์มายาวนาน ไม่เหมือนผู้ช่วย AI กระแสหลักที่มีมาตรการป้องกันความปลอดภัย MessiahGPT ถูกวางตลาดในฐานะเครื่องมือไร้การเซ็นเซอร์ที่สามารถสร้างมัลแวร์ได้ตามคำขอ

เรื่องนี้สำคัญเพราะมันขจัดอุปสรรคสำคัญที่จำกัดมาโดยตลอดว่าใครบ้างที่สามารถก่อการโจมตีทางไซเบอร์ได้ นั่นคือทักษะทางเทคนิค บริการมัลแวร์แบบเป็นบริการไม่ใช่เรื่องใหม่ แต่การจับคู่โมเดลนั้นกับ generative AI หมายความว่าผู้โจมตีที่ทักษะต่ำสามารถขอโค้ดอันตรายที่ปรับแต่งเองได้ในแบบเดียวกับที่พวกเขาอาจถามแชตบอตให้เขียนอีเมล ผลลัพธ์คือกลุ่มผู้โจมตีที่มีศักยภาพกว้างขึ้น แม้ว่าการโจมตีรายบุคคลของพวกเขาจะยังซับซ้อนน้อยกว่าการโจมตีที่ดำเนินการโดยพันธมิตรแรนซัมแวร์ที่ตั้งหลักแล้วก็ตาม

เรื่องราวสองเรื่องนี้ร่วมกันแสดงให้เห็นรูปแบบที่ปรากฏซ้ำ ๆ ในข่าวความปลอดภัยล่าสุด นั่นคือ ผู้โจมตีไม่จำเป็นต้องสร้างเครื่องมือใหม่ทั้งหมด เมื่อพวกเขาสามารถดัดแปลงระบบ AI ที่มีอยู่หรือสร้างขึ้นมาโดยเฉพาะให้บรรลุเป้าหมายของตนได้ นี่คือพลวัตที่คล้ายกับที่เกิดขึ้นเมื่อบัญชีโซเชียลมีเดียของโรงพยาบาลแห่งหนึ่งถูกยึดและใช้ต่อต้านมัน ดังรายละเอียดใน เหตุการณ์การยึด Facebook ของ AnMed ที่ผู้โจมตีใช้ประโยชน์จากความไว้วางใจในโครงสร้างพื้นฐานที่มีอยู่ แทนที่จะใช้มัลแวร์แบบดั้งเดิมเลย

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

ผู้อ่านส่วนใหญ่ไม่ได้ดูแลเกตเวย์ VPN ระดับองค์กรหรือฐานข้อมูล SQL แต่บทเรียนพื้นฐานยังใช้ได้ในระดับบุคคล การโจมตีที่ใช้ AI ช่วยนั้นมุ่งเป้าไปที่ข้อมูลประจำตัวที่ปกป้องบัญชีของคุณมากขึ้นเรื่อย ๆ ไม่ว่าจะเป็นบัญชีบริษัทหรือรหัสผ่านอีเมลและธนาคารส่วนตัว เมื่อ AI ลดทักษะที่ต้องใช้ในการสร้างเหยื่อล่อฟิชชิ่ง แบ็กดอร์ หรือสคริปต์ขโมยข้อมูลประจำตัวที่น่าเชื่อถือ ปริมาณและคุณภาพของการโจมตีที่มุ่งเป้าไปที่ผู้ใช้ทั่วไปมีแนวโน้มเพิ่มขึ้น ไม่ใช่ลดลง

นี่ยังเป็นเครื่องเตือนว่า ความปลอดภัยของ VPN ขึ้นอยู่กับมากกว่าแค่การเข้ารหัส หากข้อมูลประจำตัวที่ปกป้องการเชื่อมต่อ VPN ถูกขโมย VPN เองจะกลายเป็นภาระมากกว่าเป็นเกราะป้องกัน รหัสผ่านที่แข็งแรงและไม่ซ้ำกัน การยืนยันตัวตนหลายปัจจัย และการอัปเดตซอฟต์แวร์ไคลเอ็นต์ VPN อยู่เสมอ ล้วนยังคงเป็นการป้องกันที่จำเป็นไม่ว่าเครื่องมือของผู้โจมตีจะซับซ้อนเพียงใด

ประเด็นสำคัญ

สำหรับบุคคลและทีมไอที alike มีขั้นตอนปฏิบัติไม่กี่ขั้นตอนที่โดดเด่นจากจดหมายข่าวประจำสัปดาห์นี้ เปิดใช้การยืนยันตัวตนหลายปัจจัยบนบัญชีใดก็ตามที่เชื่อมโยงกับข้อมูลประจำตัว VPN หรือการเข้าถึงระยะไกล เนื่องจากการขโมยรหัสผ่านเพียงอย่างเดียวไม่ใช่คอขวดสำหรับผู้โจมตีอีกต่อไป ติดตามรูปแบบการยืนยันตัวตนที่ผิดปกติบนบริการ LDAP และไดเรกทอรี เนื่องจากตอนนี้这些东西เป็นเป้าหมายชัดเจนของเครื่องมือที่ใช้ AI ช่วย และปฏิบัติต่อโค้ดหรือระบบอัตโนมัติที่สร้างโดย AI ในสภาพแวดล้อมของคุณด้วยความระมัดระวังแบบเดียวกับที่คุณใช้กับซอฟต์แวร์ที่ไม่คุ้นเคย เพราะเส้นแบ่งระหว่างเครื่องมือนักพัฒนาที่ถูกกฎหมายกับเครื่องมือผู้โจมตีกำลังบางลงเรื่อย ๆ

การเกิดขึ้นของกลยุทธ์แรนซัมแวร์ด้วยคลอดด์โค้ดและบริการเช่น MessiahGPT ไม่ได้หมายความว่าผู้ป้องกันไร้พลัง มันหมายความว่าพื้นฐานต่าง ๆ ได้แก่ สุขอนามัยของข้อมูลประจำตัว การแบ่งส่วนเครือข่าย และการอัปเดตแพตช์อย่างทันท่วงที มีความสำคัญมากกว่าที่เคย ในขณะที่ AI ยังคงปรับเปลี่ยนสมการความปลอดภัยทางไซเบอร์ทั้งสองฝั่ง