นักวิจัยที่ SOCRadar ได้เปิดเผยมุมมองที่หาได้ยากเกี่ยวกับวิธีการทำงานของอาชญากร เซิร์ฟเวอร์ที่เปิดโล่งซึ่งเชื่อมโยงกับพันธมิตรของการปฏิบัติการแรนซัมแวร์ INC และ The Gentlemen เก็บข้อความ AI จำนวน 8,257 ข้อความที่สนทนากับ Claude และ Kimi, ตัวเข้ารหัส 46 ชุด และเหยื่อที่ระบุชื่อ 62 ราย การค้นพบนี้เป็นตัวอย่างที่เป็นรูปธรรมของแก๊งแรนซัมแวร์ที่ใช้ผู้ช่วย AI เป็นส่วนหนึ่งของกิจวัตรประจำวัน และยังให้บทเรียนที่เป็นประโยชน์สำหรับบุคคลและธุรกิจขนาดเล็ก
รายงานต้นฉบับนั้นกระชับ บทความนี้จึงยึดตามสิ่งที่ได้รับการเผยแพร่แล้วและหลีกเลี่ยงการคาดเดารายละเอียดที่ยังไม่ได้รับการเปิดเผยต่อสาธารณะ
สิ่งที่ SOCRadar พบบนเซิร์ฟเวอร์เปิดโล่ง
ตามสรุปผลการค้นพบของ SOCRadar เซิร์ฟเวอร์ถูกทิ้งไว้ให้เข้าถึงได้อย่างเปิดโล่งและเชื่อมโยงกับพันธมิตรของกลุ่มแรนซัมแวร์สองกลุ่ม คือ INC และ The Gentlemen ตัวเลขสามตัวนิยามการค้นพบนี้:
- ข้อความ AI 8,257 ข้อความ ที่แลกเปลี่ยนกับผู้ช่วย Claude และ Kimi
- ตัวเข้ารหัส 46 ชุด หมายถึงเวอร์ชันที่คอมไพล์แล้วของมัลแวร์ล็อกไฟล์ที่พร้อมใช้งาน
- เหยื่อที่ระบุชื่อ 62 ราย องค์กรที่ถูกระบุบนเซิร์ฟเวอร์
เซิร์ฟเวอร์ที่ถูกเปิดเผยในลักษณะนี้ทำงานเหมือนเวิร์กช็อปที่ทิ้งประตูไว้เปิด แทนที่จะเห็นเพียงการโจมตีที่เสร็จสมบูรณ์ นักวิจัยสามารถเห็นเครื่องมือ บันทึก และบทสนทนาการทำงานที่อยู่เบื้องหลัง ข้อผิดพลาดในการปฏิบัติงานของอาชญากร เช่น การปล่อยโครงสร้างพื้นฐานไว้โดยไม่มีการป้องกัน เป็นหนึ่งในไม่กี่วิธีที่นักป้องกันจะได้รับvisibility ในลักษณะนี้
INC และ The Gentlemen ใช้ Claude และ Kimi อย่างไร
รายละเอียดพาดหัวคือปริมาณของการสนทนากับ AI ข้อความกว่าหแปดพันข้อความบ่งชี้ว่าผู้ช่วยเหล่านี้ไม่ใช่การทดลองเป็นครั้งคราว แต่เป็นส่วนหนึ่งของเวิร์กโฟลว์ประจำวันของพันธมิตรเหล่านี้ เนื้อหาต้นฉบับยืนยันการมีอยู่ของแชทควบคู่กับตัวเข้ารหัสและบันทึกเหยื่อ แต่ตามข้อมูลที่มีอยู่ที่นี่ไม่ได้ระบุทุกภารกิจที่ผู้ช่วยถูกใช้ ดังนั้นเราจะไม่คาดเดาเกี่ยวกับพรอมต์หรือผลลัพธ์เฉพาะ
สิ่งที่การรวมกันนี้แสดงให้เห็นคือเครื่องมือแชท AI อยู่เคียงข้างกับกลไกของการรณรงค์โจมตี: มัลแวร์อยู่ด้านหนึ่ง รายชื่อเหยื่ออยู่อีกด้านหนึ่ง และบันทึกการสนทนากับ AI ที่ยาวนานอยู่ตรงกลาง สำหรับนักป้องกัน บทเรียนที่เป็นประโยชน์คือ AI สามารถเร่งงานประจำของอาชญากร ซึ่งอาจลดความพยายามที่จำเป็นในการเตรียมและดำเนินการโจมตี
สิ่งสำคัญอีกประการคือการปรากฏตัวของผู้ช่วยสองตัวที่แตกต่างกัน Claude และ Kimi มาจากนักพัฒนาที่ต่างกัน ซึ่งบ่งชี้ว่าพันธมิตรไม่ได้ผูกติดกับเครื่องมือเดียวและอาจสลับระหว่างกัน
สิ่งที่เหยื่อ 62 รายบ่งบอกเกี่ยวกับการกำหนดเป้าหมาย
เหยื่อที่ระบุชื่อ 62 รายควบคู่กับตัวเข้ารหัส 46 ชุดชี้ไปที่การปฏิบัติการที่เป็นระเบียบและทำซ้ำได้ มากกว่าการบุกรุกครั้งเดียว การมีชุดที่พร้อมใช้งานจำนวนมากบ่งชี้ว่า attackers เตรียมมัลแวร์เวอร์ชันที่ปรับแต่งหรือหลากหลายไว้ล่วงหน้า ซึ่งสามารถทำให้การตรวจจับด้วยลายเซ็นแบบง่ายมีความน่าเชื่อถือน้อยลง
ต้นฉบับไม่ได้แจกแจงว่าอุตสาหกรรมหรือภูมิภาคใดที่เหยื่อสังกัดอยู่ ดังนั้นการสรุปที่ชัดเจนเกี่ยวกับการกำหนดเป้าหมายภาคส่วนจึงเป็นสิ่งที่ผิด การตีความที่สมเหตุสมผลนั้นแคบกว่า: พันธมิตรแรนซัมแวร์เก็บรายการเป้าหมายที่กำลังดำเนินการและเตรียมเครื่องมือไว้ล่วงหน้า รูปแบบนี้สอดคล้องกับแนวโน้มที่กว้างขึ้นของกลุ่มที่โจมตีองค์กรที่กดดันได้ง่ายกว่า ซึ่งเป็นธีมที่สำรวจในบทความของเราเกี่ยวกับแก๊งแรนซัมแวร์ Qilin และ Akira ที่ยกระดับการโจมตีห่วงโซ่อุปทาน
สิ่งนี้หมายความสำหรับคุณอย่างไร
หากคุณดำเนินธุรกิจขนาดเล็กหรือจัดการอุปกรณ์ของคุณเอง ข่าวนี้อาจรู้สึกห่างไกล แต่บทเรียนนั้นเป็นเรื่องปฏิบัติ AI ไม่ได้คิดค้นวิธีใหม่ในการบุกรุกมากเท่ากับทำให้วิธีที่มีอยู่เร็วขึ้นในการเตรียม นั่นหมายความว่าพื้นฐานมีความสำคัญมากขึ้น ไม่ใช่น้อยลง
- บุคคลทั่วไป: ผู้โจมตียังคงพึ่งพารหัสผ่านที่ถูกขโมย ซอฟต์แวร์ที่ไม่ได้แพตช์ และผู้ใช้ที่ถูกหลอก การเข้าสู่ระบบที่แข็งแกร่งและไม่ซ้ำใครและการอัปเดตอุปกรณ์ยังคงเป็นอุปสรรคที่มีประสิทธิภาพ
- ธุรกิจขนาดเล็ก: การเป็นธุรกิจเล็กไม่ใช่การป้องกัน พันธมิตรเก็บรายชื่อเหยื่อ และการเตรียมการมีต้นทุนต่ำเมื่อเครื่องมือถูกสร้างไว้แล้ว
- ทุกคน: อย่าสันนิษฐานว่าคุณสามารถตรวจจับการโจมตีได้จากถ้อยคำที่เลอะเทอะหรือเทคนิคที่งุ่มง่าม AI สามารถช่วยขัดเกลาทั้งสองอย่างได้
วิธีลดความเสี่ยงแรนซัมแวร์ด้วยการสำรองข้อมูล การแพตช์ และ MFA
สามนิสัยทำหน้าที่ส่วนใหญ่ในการป้องกันแรนซัมแวร์ ไม่ว่าใครหรืออะไรก็ตามที่ช่วยผู้โจมตี:
- รักษาการสำรองข้อมูลแบบออฟไลน์หรือแบบไม่เปลี่ยนรูป แรนซัมแวร์ถูกออกแบบมาเพื่อล็อกไฟล์ของคุณ และการสำรองข้อมูลที่ผู้โจมตีเข้าถึงไม่ได้จะเปลี่ยนวิกฤตให้เป็นความไม่สะดวก ทดสอบการกู้คืนเป็นประจำ เพราะการสำรองข้อมูลที่ไม่ได้ทดสอบคือการเดา
- แพตช์อย่างทันท่วงที ติดตั้งอัปเดตสำหรับระบบปฏิบัติการ เบราว์เซอร์ อุปกรณ์ VPN และเครื่องมือเข้าถึงระยะไกลโดยเร็วที่สุด ให้ความสำคัญกับสิ่งใดก็ตามที่เปิดเผยต่ออินเทอร์เน็ต
- เปิดใช้การตรวจสอบสิทธิ์หลายปัจจัย (MFA) เปิดใช้กับอีเมล การเข้าถึงระยะไกล บัญชีผู้ดูแลระบบ และบริการคลาวด์ รหัสผ่านที่ถูกขโมยเพียงอย่างเดียวจะกลายเป็นประโยชน์น้อยลงมาก
เพิ่มขั้นตอนสนับสนุนอีกเล็กน้อย: จำกัดสิทธิ์ผู้ดูแลระบบ แยกส่วนระบบที่สำคัญออกจากระบบประจำวัน และจดบันทึกว่าต้องโทรหาใครหากคุณถูกโจมตี
บทสรุป
การค้นพบของ SOCRadar เป็นเครื่องเตือนใจว่าแก๊งแรนซัมแวร์ที่ใช้ผู้ช่วย AI กำลังดำเนินการในระดับที่วัดเป็นพันๆ ข้อความ มัลแวร์หลายสิบชุด และเหยื่อหลายสิบราย คุณไม่สามารถควบคุมสิ่งที่อาชญากรทำกับเครื่องมือเหล่านี้ได้ แต่คุณสามารถควบคุมระดับความพร้อมของคุณได้ ตั้งค่าการสำรองข้อมูลออฟไลน์ แพตช์อย่างรวดเร็ว และเปิดใช้ MFA ในสัปดาห์นี้ เพื่อทำความเข้าใจแรงกดดันที่กว้างขึ้นต่อองค์กร อ่านบทความของเราเกี่ยวกับวิธีที่แก๊งแรนซัมแวร์อย่าง Qilin และ Akira กำหนดเป้าหมายห่วงโซ่อุปทาน
