Help Net Security'den bir rapor, fidye yazılımı ekiplerinin nasıl çalıştığına dair endişe verici bir değişimi anlatıyor. Aur0ra fidye yazılımının arkasındaki grubun, yapay zeka ajanlarına çalınmış kimlik bilgileri verdiği ve bu ajanların kurban ağlarında etki alanı yöneticisi erişimine doğru ilerlemesine izin verdiği bildirildi. Kısacası, yapay zeka ajanları, fidye yazılımı ve çalınmış kimlik bilgilerinin birleşimi artık yalnızca teorik bir risk değil. Bir zamanlar yetenekli insan operatörler gerektiren işleri yapmak için kullanılıyor.

Kamuya açık ayrıntılar sınırlı, bu nedenle neyi bildiğimiz ve neyi bilmediğimiz konusunda dikkatli olmakta fayda var. Aşağıda raporun ne söylediği, neden önemli olduğu ve maruziyetinizi azaltacak pratik adımlar yer alıyor.

Aur0ra Grubu Yapay Zeka Ajanlarıyla Ne Yaptı

Rapora göre, Aur0ra operatörleri yapay zekayı yalnızca kimlik avı e-postaları yazmak veya fidye notlarını düzeltmek için kullanmadı. Çalınmış kimlik bilgilerini yapay zeka ajanlarına verdiler ve bu ajanların etki alanı yöneticisi erişimine ulaşma hedefiyle kurban ağlarında dolaşmasına izin verdiler.

Bu bağlamda bir yapay zeka ajanı, bir hedef alabilen, adımlara karar verebilen, komutlar çalıştırabilen, sonuçları okuyabilen ve uyum sağlayabilen yazılımdır. Bir insan saldırganın her komutu yazması ve her yanıtı yorumlaması yerine, ajan bu döngünün büyük bir kısmını kendi başına yapar. Bildirilen hedef, tipik olarak Windows tabanlı bir kuruluştaki çoğu hesap ve makine üzerinde kontrol sağlayan erişim düzeyi olan etki alanı yöneticisiydi.

Kaynak özeti daha fazla teknik ayrıntı sunmuyor, bu nedenle ajanların hangi araçları kullandığı veya kaç kurbanın etkilendiği konusunda spekülasyon yapmayacağız.

Çalınmış Kimlik Bilgileri Nasıl Etki Alanı Yöneticisi Erişimine Dönüşür

Çalınmış kimlik bilgileri genellikle bir ağ ihlalinin başlangıç noktasıdır. Bir kullanıcı adı ve parola, bir oturum belirteci veya bir uzaktan erişim oturum açma bilgisi, bir saldırganın duvarı kırmak yerine ön kapıdan içeri girmesine olanak tanıyabilir.

Buradan itibaren, bir ağ ele geçirmenin genel örüntüsü savunuculara tanıdık gelir:

  • Saldırgan geçerli bir hesapla oturum açar, bu normal etkinlik gibi görünebilir.
  • Hangi sistemlerin ve hesapların mevcut olduğunu öğrenmek için ağı keşfeder.
  • Yatay hareket etmesini sağlayacak daha güçlü kimlik bilgileri veya yanlış yapılandırmalar arar.
  • Etki alanı yöneticisi haklarına sahip olana kadar yükseltmeye devam eder.

Bir saldırgan etki alanı yöneticisi erişimine sahip olduğunda, fidye yazılımını aynı anda birçok sisteme dağıtmak çok daha kolay hale gelir. Aur0ra ajanlarının bildirilen hedefinin önemli olmasının nedeni budur. Etki alanı yöneticisi, bir ihlalin kuruluş çapında bir krize dönüşebileceği noktadır.

Temel ders, bu zincirin geçerli bir oturum açma ile başladığıdır. Güçlü kimlik bilgisi koruması ve uzaktan erişim üzerinde sıkı kontrol, süreçteki en erken ve en ucuz adıma saldırır.

Yapay Zeka Neden Fidye Yazılımı Saldırganları İçin Bariyeri Düşürüyor

Tarihsel olarak, bir ağda etki alanı yöneticisine doğru ilerlemek sabır, deneyim ve zaman gerektiriyordu. Saldırganların sonuçları okuması, yargıda bulunması ve alarmları tetiklemekten kaçınması gerekiyordu. Bu emek, bir ekibin kaç kurbana müdahale edebileceğini sınırlıyordu.

Otomasyon bu denklemi değiştiriyor. Yapay zeka ajanları keşif ve yükseltmenin büyük bir kısmını halledebilirse, bir ekip kurban başına daha az yetenekli kişiye ve daha az el emeğine ihtiyaç duyabilir. Bildirilen Aur0ra etkinliği şunu gösteriyor:

  • Daha az deneyimli operatörler, bir zamanlar uzmanlık gerektiren ihlalleri deneyebilir.
  • Deneyimli operatörler daha fazla ihlali paralel olarak yürütebilir.
  • İlk erişim ile tam ele geçirme arasındaki süre kısalabilir ve savunuculara tepki vermek için daha az alan kalabilir.

Bunlar bildirilen davranışın makul çıkarımlarıdır, doğrulanmış ölçümler değildir. Yine de fidye yazılımı gruplarının etkili kalmak için araçlarını ve altyapılarını uyarlama konusunda uzun bir geçmişi vardır. DeadLock fidye yazılımının kaldırılmalardan kaçmak için Session uygulamasını nasıl eklediği hakkındaki yazımız aynı örüntüyü farklı bir açıdan gösteriyor: operatörler önlerine bir şey çıktığında yöntemlerini değiştirmeye devam ediyor ve işi daha ucuz ve daha dayanıklı hale getiren ne varsa onu benimsiyorlar.

Bu Sizin İçin Ne Anlama Geliyor

İyi haber şu ki yapay zeka ajanlarının hâlâ üzerinde çalışacakları bir şeye ihtiyacı var. Bildirilen durumda, bu şey çalınmış kimlik bilgileriydi. Savunucular bir saldırganın araçlarının ne kadar zekice olduğunu kontrol edemezler, ancak çalınmış bir oturum açmanın ne kadar işe yarayacağını kontrol edebilirler.

Bireyler için bu, özellikle iş ve kişisel hizmetler için aynı oturum açmayı kullanıyorsanız, yeniden kullanılan veya açığa çıkmış parolaların çok daha büyük bir zincirin ilk halkası haline gelebileceğinin bir hatırlatıcısıdır. Küçük işletmeler ve BT ekipleri için bu, VPN geçitleri ve uzak masaüstü hizmetleri dahil olmak üzere uzaktan erişim sistemlerinin diğer herhangi bir giriş noktası kadar dikkatli incelenmesi gerektiği anlamına gelir.

Kimlik Bilgisi Tabanlı Saldırılara Maruziyetinizi Nasıl Azaltırsınız

Bu adımlardan hiçbiri sıra dışı değildir ve birlikte çalınmış bir parolayı çok daha az değerli hale getirirler:

  1. Parolalarınızı denetleyin. Her hesaba benzersiz ve uzun bir parola vermek için bir parola yöneticisi kullanın. Bilinen bir ihlalde ortaya çıkmış olanları değiştirin.
  2. Çok faktörlü kimlik doğrulamayı (MFA) açın. Mümkün olduğunda SMS yerine uygulama tabanlı veya donanım tabanlı yöntemleri tercih edin ve e-posta, yönetici hesapları ve tüm uzaktan erişim için MFA'yı zorunlu kılın.
  3. VPN ve uzaktan erişim ayarlarını gözden geçirin. Kimin erişimi olduğunu doğrulayın, artık ihtiyaç duyulmayan hesapları kaldırın ve uzaktan oturum açmaların MFA gerektirdiğinden emin olun. Geçit yazılımını güncel tutun.
  4. Ayrıcalıkları sınırlayın. Günlük hesapların yönetici hakları olmamalıdır. Daha az güçlü hesap, etki alanı yöneticisine giden daha az yol anlamına gelir.
  5. Olağandışı oturum açmalara dikkat edin. Garip saatlerdeki, tanıdık olmayan konumlardan yapılan veya bir kullanıcının hiç dokunmadığı sistemlere yapılan oturum açmalar daha yakından incelenmeyi hak eder.
  6. Çevrimdışı yedeklemeler bulundurun. Saldırganların erişemeyeceği, test edilmiş yedeklemeler, ödeme yapmadan kurtulmanız için bir yol sağlar.

Özet

Aur0ra raporu, yapay zeka ajanları, fidye yazılımı ve çalınmış kimlik bilgilerinin etki alanı yöneticisine doğru tırmanışı otomatikleştirmek üzere bir araya gelmesinin açık bir örneğidir. Saldırganın araçları hızlanıyor olabilir, ancak giriş noktası hâlâ sıkılaştırabileceğiniz bir şey olarak kalıyor. Bu hafta başlayın: parolalarınızı denetleyin, sunulan her yerde MFA'yı etkinleştirin ve VPN ile uzaktan erişim ayarlarınızı gözden geçirin. Fidye yazılımı operatörlerinin araçlarını ve altyapılarını nasıl uyarladığı hakkında daha fazla bilgi için DeadLock fidye yazılımı ve Session uygulamasını kullanımı hakkındaki yazımızı okuyun.