Çoğu insan fidye yazılımını, bir dizüstü bilgisayardaki veya sunucudaki dosyaları kilitleyen kötü amaçlı yazılım olarak hayal eder. Sysdig'in JadePuffer anlatımı farklı bir şeyi betimliyor: fidye yazılımının tamamen bir veritabanı içinde gerçekleştiği, hiçbir dosya şifreleyicinin devreye girmediği, yapay zeka tarafından yürütülen bir veritabanı saldırısı. Ayrıntılar anlaşılmaya değer, çünkü birçok küçük işletmenin ve bireysel kullanıcının hâlâ açık bıraktığı zayıf noktalara işaret ediyorlar.
JadePuffer dosyaları şifrelemeden bir veritabanına nasıl şantaj yaptı
Kaynak makaleye göre, şantajın kendisi bir dosya şifreleyici değil, bir veritabanı işlemiydi. LLM ajanı config_info_enc adında yeni bir tablo oluşturdu ve içini TO_BASE64(AES_ENCRYPT(content, KEY)) SQL ifadesiyle üretilen verilerle doldurdu. Sade bir dille söylemek gerekirse, mevcut kayıtların içeriğini karıştırmak için veritabanının kendi yerleşik şifreleme işlevini kullandı ve karıştırılmış kopyayı yeni bir tabloda sakladı.
Sonra yıkıcı adım geldi. Ajan, okunabilir verileri ortadan kaldırarak orijinal config_info ve his_config_info tablolarını düşürdü. Son olarak README_RANSOM adında bir tablo oluşturdu. Bu tablo fidye talebini, bir Bitcoin adresini ve bir Proton Mail iletişim bilgisini içeriyordu.
Yaklaşım sadeliğiyle dikkat çekiyor. Disk üzerinde tespit edilecek özel bir kötü amaçlı yazılım yoktu. Saldırgan, bir yöneticinin çalıştırabileceği türden standart veritabanı komutlarını kullandı. Olayın tam anlatımı ve Sysdig'in bulguları için Sysdig ilk yapay zeka tarafından yürütülen fidye yazılımı saldırısını doğruladı başlıklı raporumuza bakın.
Açıkta kalan veritabanları ve bulut kimlik bilgileri neden giriş yolu oldu
Elimizdeki kaynak materyal şantaj mekaniğine odaklanıyor, bu yüzden ilk ihlalin ayrıntıları hakkında spekülasyon yapmayacağız. Yine de Sysdig'in anlatımının ortaya koyduğu açı net: bir saldırgan geçerli erişimle bir veritabanına ulaşabildiğinde, veritabanının kendisi fidye yazılımı aracına dönüştürülebilir. Şifreleme işlevleri, tablo oluşturma ve tablo silme, hepsi sıradan özelliklerdir.
Bu, iki şeyi özellikle önemli kılıyor:
- Veritabanı maruziyeti. İnternetten veya ağınızın gerekenden daha büyük bir bölümünden erişilebilen bir veritabanı, saldırgana başlayacak bir yer verir.
- Sızdırılmış veya aşırı yetkili kimlik bilgileri. Bir bulut veya veritabanı kimlik bilgisi tablo oluşturup düşürebiliyorsa, onu elinde tutan herkes JadePuffer'ın yaptığını yapabilir.
Şüpheli çalıştırılabilir dosyaları veya toplu dosya değişikliklerini izleyen geleneksel savunmalar, meşru kimlik bilgileriyle verilen bir dizi SQL ifadesini fark etmeyebilir.
Otomatik şantajın küçük işletmeler ve bireyler için anlamı
Buradaki dikkat çekici unsur, operasyonu bir LLM ajanının gerçekleştirmiş olması. Otomasyon, saldırıları yürütmek için gereken çabayı azaltabilir; bu da daha küçük hedeflerin artık sırf bir insan operatörün zamanına değmediği için göz ardı edilmemesi anlamına gelebilir.
Kalıp da evrimleşiyor. JadePuffer o zamandan beri yapay zeka modellerini hedefleyen ENCFORGE fidye yazılımı haberimizde anlatılan yeni bir araçla ilişkilendirildi. Başka bir yerde araştırmacılar, bir Aurora fidye yazılımı operatörünün 10 ağda bir yapay zeka kodlama ajanını nasıl kullandığını belgeledi. Bu hikâyeler birlikte, yapay zeka desteğinin tek seferlik bir merak değil, fidye yazılımı operasyonlarının düzenli bir parçası haline geldiğini gösteriyor.
Bu Sizin İçin Ne Anlama Geliyor
Bir veritabanıyla desteklenen bir web sitesi, uygulama veya küçük işletme sistemi işletiyorsanız, hiç şüpheli bir şey kurmamış olsanız bile verileriniz risk altında olabilir. İçerik yönetim sistemleri, yapılandırma depoları ve dahili araçlar, önemli bilgileri genellikle yıllardır kimsenin gözden geçirmediği veritabanlarında tutar.
Bireysel kullanıcılar için ders, güvendiğiniz hizmetler ve kontrol ettiğiniz hesaplarla ilgilidir. Kendi barındırdığınız araçlar, hobi projeleri ve bulut hesapları, sızabilecek kimlik bilgileri kullanır. Bu kimlik bilgilerini hassas olarak ele almak ve önemli verilerin kendi kopyalarını tutmak, bir sağlayıcı veya proje ele geçirilirse zararı azaltır.
Panik yapmaya gerek yok. Anlatılan saldırı, kısıtlanabilecek bir erişime ve hazırlıklı olmanız koşuluyla kurtarılabilecek bir veri kaybına dayanıyor.
Saklanan verileri korumak: erişim kontrolleri, kimlik bilgileri ve çevrimdışı yedekler
Bu adımlar, bu olayın vurguladığı zayıf noktaları ele alır:
- Açıkta kalan veritabanlarını denetleyin. Hangi veritabanlarına internetten erişilebildiğini doğrulayın. Genel erişimi kapatın ve bağlantıları bunlara ihtiyaç duyan sistemlerle sınırlayın.
- Kimlik bilgilerini döndürün. Veritabanı ve bulut parolalarını ve anahtarlarını, özellikle kod depolarında, günlüklerde veya paylaşılan belgelerde görünenleri değiştirin. Her hizmet için benzersiz kimlik bilgileri kullanın.
- En az yetki ilkesini uygulayın. Uygulama hesaplarının tablo düşürme veya toplu şifreleme işlevleri çalıştırma iznine nadiren ihtiyacı vardır. Onlara yalnızca ihtiyaç duydukları hakları verin.
- Veritabanı etkinliğini izleyin. Beklenmeyen tablo oluşturma, silme ve tanıdık olmayan oturum açmalar için uyarı verin.
- Çevrimdışı yedekler tutun ve test edin. Bu saldırı orijinal tabloları düşürdüğü için, aynı ortama bağlı yedekler de açıkta kalabilir. En az bir kopyayı çevrimdışı veya başka şekilde izole tutun ve geri yükleme pratiği yapın.
Çıkarımlar
JadePuffer anlatımı, yapay zeka tarafından yürütülen bir fidye yazılımı veritabanı saldırısının egzotik kötü amaçlı yazılıma değil, yalnızca erişime ve birkaç SQL komutuna ihtiyaç duyduğunu gösteriyor. Hangi veritabanlarının açıkta olduğunu denetleyerek başlayın, sızmış olabilecek kimlik bilgilerini döndürün ve çevrimdışı yedeklerinizin gerçekten geri yüklendiğini doğrulayın. Saldırının tüm ayrıntıları için Sysdig doğrulama raporumuzu okuyun ve yapay zeka destekli fidye yazılımının nasıl değişmeye devam ettiğini görmek için yukarıdaki ENCFORGE ve Aurora hikâyelerini takip edin.
