นักวิจัยได้ค้นพบ Phantom กรอบงานการบุกรุกที่ขับเคลื่อนด้วย AI ซึ่งถูกใช้โดยเครือข่ายของปฏิบัติการแรนซัมแวร์ INC และ The Gentlemen เพื่อขยายการบุกรุก การค้นพบกรอบงานแรนซัมแวร์ AI Phantom นี้เป็นเครื่องบ่งชี้ที่มีประโยชน์ว่าเครื่องมือของอาชญากรกำลังมุ่งหน้าไปทางใด: ใช้ความพยายามน้อยลงต่อเหยื่อแต่ละราย และมีเหยื่อมากขึ้นต่อผู้โจมตีแต่ละราย

รายละเอียดที่เปิดเผยต่อสาธารณะมีจำกัด ดังนั้นบทความนี้จึงยึดตามสิ่งที่ได้รับการรายงานและหลีกเลี่ยงการคาดเดารายละเอียดทางเทคนิค สิ่งที่ชัดเจนคือทิศทางของการเปลี่ยนแปลง และการป้องกันที่สำคัญในการรับมือส่วนใหญ่เป็นสิ่งที่คุ้นเคยกันดี

สิ่งที่นักวิจัยค้นพบใน Phantom

ตามรายงาน Phantom เป็นกรอบงานการบุกรุกที่ขับเคลื่อนด้วย AI เครือข่ายของกลุ่มแรนซัมแวร์สองกลุ่มคือ INC และ The Gentlemen ได้ใช้งานมันเพื่อขยายการบุกรุกแรนซัมแวร์ ในโลกของแรนซัมแวร์ เครือข่ายคือผู้ปฏิบัติการที่ดำเนินการโจมตีจริง มักใช้เครื่องมือและโครงสร้างพื้นฐานที่จัดหาโดยกลุ่มแกนกลาง กรอบงานที่ใช้ร่วมกันทำให้เครือข่ายจำนวนมากมีความสามารถเดียวกัน

รายงานอธิบายกรอบงานนี้ว่าเป็นวิธีในการทำให้การบุกรุกเป็นอัตโนมัติและขยายขนาด เราไม่มีรายละเอียดที่ยืนยันได้ที่นี่เกี่ยวกับช่องโหว่เฉพาะที่มันกำหนดเป้าหมาย จำนวนเหยื่อที่ได้รับผลกระทบ หรือโมเดล AI ที่มันใช้ ดังนั้นเราจะไม่คาดเดาเกี่ยวกับสิ่งเหล่านั้น หากนักวิจัยเผยแพร่ข้อมูลเพิ่มเติม รายละเอียดเหล่านั้นจะมีความสำคัญสำหรับผู้ป้องกัน

AI ลดอุปสรรคต่อแรนซัมแวร์อย่างไร

การบุกรุกแรนซัมแวร์แต่เดิมเกี่ยวข้องกับหลายขั้นตอน: การหาช่องทางเข้า การเคลื่อนที่ภายในเครือข่าย การระบุข้อมูลที่มีค่า และการ déploy เพย์โหลดการเข้ารหัส แต่ละขั้นตอนต้องใช้เวลาและทักษะ การทำงานอัตโนมัติโจมตีคอขวดเหล่านั้น เมื่อกรอบงานจัดการส่วนที่ซ้ำซากหรือทางเทคนิคของกระบวนการ เครือข่ายที่มีประสบการณ์น้อยก็สามารถพยายามโจมตีที่เคยต้องใช้ผู้ปฏิบัติการที่มีประสบการณ์ และผู้ที่มีประสบการณ์ก็สามารถดำเนินการพยายามได้มากขึ้นในครั้งเดียว

นั่นคือความกังวลหลักเกี่ยวกับเครื่องมืออย่าง Phantom มันไม่ได้ทำให้การโจมตีใดๆ ฉลาดขึ้นเสมอไป มันทำให้การโจมตีมีต้นทุนถูกในการเปิดตัว ซึ่งเพิ่มระดับพื้นฐานของความเสี่ยงสำหรับทุกคน รวมถึงเป้าหมายที่เคยเล็กเกินไปที่จะคุ้มค่าความพยายามแบบแมนนวลของผู้โจมตี

แนวโน้มที่กว้างขึ้นของการรุกด้วยความช่วยเหลือของ AI ไม่ได้จำกัดอยู่แค่แรนซัมแวร์ OpenAI ได้เปิดเผยว่าโมเดล Astra ของบริษัทสามารถค้นหาช่องโหว่ zero-day และสร้าง exploit ที่ใช้งานได้ ซึ่งเราได้รายงานไว้ในบทความของเราเกี่ยวกับ OpenAI's Astra AI และความสามารถในการค้นหาช่องโหว่ zero-day และสร้าง exploit เมื่อรวมกันแล้ว การพัฒนาดังกล่าวแสดงให้เห็นว่า AI กำลังบีบอัดเวลาและความเชี่ยวชาญที่จำเป็นในการเปลี่ยนจากเป้าหมายไปสู่การถูกบุกรุกอย่างไร

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

สำหรับบุคคลทั่วไป: แรนซัมแวร์มักถูกเชื่อมโยงกับบริษัท แต่การทำงานอัตโนมัติทำให้การกำหนดเป้าหมายแบบกว้างและฉวยโอกาสทำได้ง่ายขึ้น อุปกรณ์ส่วนตัว สำนักงานที่บ้าน และบัญชีคลาวด์ที่เก็บภาพถ่ายครอบครัวหรือเอกสารอาจถูกกวาดเข้าไปในแคมเปญประเภทเดียวกัน ผลในทางปฏิบัติคือ "คงไม่มีใครสนใจโจมตีฉัน" เป็นสมมติฐานที่อ่อนแอกว่าเมื่อก่อน

สำหรับธุรกิจขนาดเล็ก: บริษัทขนาดเล็กมักขาดทีมรักษาความปลอดภัยเฉพาะ ซึ่งทำให้เป็นเป้าหมายที่น่าสนใจเมื่อผู้โจมตีสามารถขยายขนาดได้อย่างถูกต้นทุน หากเกิดการบุกรุก คุณยังต้องคิดถึงการรับมือ รวมถึงหน้าที่ทางกฎหมาย ตัวอย่างเช่น ในออสเตรเลีย กฎการรายงานแรนซัมแวร์ภาคบังคับกำลังเปลี่ยนวิธีที่บริษัทขนาดเล็กจัดการกับการโจมตี ดังที่เราอธิบายไว้ในบทความของเราเกี่ยวกับ กฎการรายงานแรนซัมแวร์ของออสเตรเลียและความเสี่ยงด้านความเป็นส่วนตัวสำหรับ SMEs การรู้หน้าที่ของคุณก่อนเกิดเหตุการณ์นั้นง่ายกว่าการเรียนรู้ระหว่างเกิดเหตุมาก

ไม่มีสิ่งใดในรายงาน Phantom ที่บ่งชี้ถึงวิธีการโจมตีแบบใหม่ที่ไม่อาจหยุดยั้งได้ ประเด็นคือปริมาณและการเข้าถึงได้ และนั่นคือจุดที่สุขอนามัยด้านความปลอดภัยขั้นพื้นฐานให้ผลตอบแทนอย่างแท้จริง

การป้องกันในทางปฏิบัติ: MFA การแพตช์ การสำรองข้อมูล และความตระหนักรู้เรื่องฟิชชิง

การทำงานอัตโนมัติมักโจมตีเป้าหมายที่ง่ายที่สุดก่อน การเพิ่มต้นทุนในการเข้าถึงยังคงเป็นการตอบสนองที่มีประสิทธิภาพที่สุด

  • เปิดใช้การยืนยันตัวตนหลายปัจจัย (MFA) ให้ความสำคัญกับอีเมล ที่เก็บข้อมูลบนคลาวด์ การเข้าถึงระยะไกล และบัญชีผู้ดูแลระบบ หากเป็นไปได้ ให้ใช้แอปยืนยันตัวตนหรือฮาร์ดแวร์คีย์แทนรหัส SMS
  • แพตช์อย่างทันท่วงที อัปเดตระบบปฏิบัติการ เบราว์เซอร์ อุปกรณ์ VPN และไฟร์วอลล์ และซอฟต์แวร์ธุรกิจ เปิดใช้การอัปเดตอัตโนมัติเมื่อทำได้ และเก็บบัญชีรายการระบบที่หันสู่อินเทอร์เน็ตเพื่อไม่ให้มีสิ่งใดถูกลืม
  • เก็บสำรองข้อมูลแบบออฟไลน์หรือแบบแก้ไขไม่ได้ ปฏิบัติตามแนวทาง 3-2-1: สามสำเนา สื่อสองประเภท หนึ่งสำเนาเก็บไว้ออฟไลน์หรืออยู่นอกการเข้าถึงของเครือข่ายหลักของคุณ ทดสอบการกู้คืนจากสำเนาเหล่านั้นเป็นประจำ
  • ระมัดระวังกับฟิชชิง สงสัยไฟล์แนบที่ไม่คาดคิด หน้าล็อกอิน และคำขอชำระเงินหรือรหัสผ่านที่เร่งด่วน ตรวจสอบผ่านช่องทางอื่นก่อนดำเนินการ
  • จำกัดการเข้าถึง ใช้บัญชีผู้ดูแลระบบและบัญชีใช้งานประจำวันแยกจากกัน และเพิกถอนการเข้าถึงสำหรับผู้ที่ไม่ต้องการใช้อีกต่อไป
  • เตรียมแผนรับมือง่ายๆ รู้ว่าต้องโทรหาใคร จะแยกอุปกรณ์ที่ได้รับผลกระทบอย่างไร และกฎการรายงานใดที่ใช้กับคุณ

ประเด็นสำคัญ

การค้นพบกรอบงานแรนซัมแวร์ AI Phantom แสดงให้เห็นว่าผู้โจมตีกำลังลงทุนในการทำงานอัตโนมัติเพื่อขยายการบุกรุกแรนซัมแวร์ โดยเครือข่ายของ INC และ The Gentlemen อยู่ในกลุ่มที่มีรายงานว่าใช้งานมัน คุณไม่สามารถควบคุมวิธีที่อาชญากรสร้างเครื่องมือของพวกเขาได้ แต่คุณสามารถควบคุมได้ว่าบัญชี ระบบ และข้อมูลสำรองของคุณเป็นเป้าหมายที่ง่ายหรือไม่

เริ่มต้นสัปดาห์นี้: เปิดใช้ MFA บนบัญชีที่สำคัญที่สุดของคุณ ติดตั้งการอัปเดตที่ค้างอยู่ ตรวจสอบว่าคุณมีข้อมูลสำรองออฟไลน์ที่กู้คืนได้จริง และปรับปรุงนิสัยด้านฟิชชิงของคุณ สำหรับบริบทเพิ่มเติมเกี่ยวกับการรุกด้วยความช่วยเหลือของ AI อ่านรายงานของเราเกี่ยวกับ Astra และการค้นหาช่องโหว่ zero-day และหากคุณดำเนินธุรกิจขนาดเล็ก โปรดอ่านคำอธิบายของเราเกี่ยวกับ กฎการรายงานแรนซัมแวร์สำหรับ SMEs ของออสเตรเลีย เพื่อวางแผนการรับมือเหตุการณ์ของคุณ