Звіт від Help Net Security описує тривожну зміну в тому, як діють угруповання програм-вимагачів. Група, що стоїть за програмою-вимагачем Aur0ra, за повідомленнями, надала AI-агентам викрадені облікові дані й дозволила їм переміщатися мережами жертв у напрямку доступу рівня доменного адміністратора. Коротко кажучи, поєднання AI-агентів, програм-вимагачів і викрадених облікових даних більше не є лише теоретичним ризиком. Його використовують для виконання роботи, яка колись вимагала кваліфікованих людських операторів.

Публічні подробиці обмежені, тому варто бути обережними щодо того, що ми знаємо, а що — ні. Нижче наведено те, що йдеться у звіті, чому це важливо та які практичні кроки зменшують вашу вразливість.

Що угруповання Aur0ra робило з AI-агентами

Згідно зі звітом, оператори Aur0ra не просто використовували AI для написання фішингових листів чи вдосконалення текстів вимог про викуп. Вони передали викрадені облікові дані AI-агентам і дозволили цим агентам переміщатися мережами жертв із метою досягнення доступу рівня доменного адміністратора.

AI-агент у цьому контексті — це програмне забезпечення, яке може отримати ціль, визначити кроки, виконувати команди, читати результати й коригувати дії. Замість того щоб атакувальник-людина вводив кожну команду й інтерпретував кожну відповідь, агент виконує більшу частину цього циклу самостійно. Заявленою ціллю був доменний адміністратор — рівень доступу, який зазвичай дає контроль над більшістю облікових записів і машин в організації на базі Windows.

Короткий виклад джерела не надає подальших технічних деталей, тому ми не будемо робити припущень про те, які інструменти використовували агенти або скільки жертв постраждало.

Як викрадені облікові дані перетворюються на доступ рівня доменного адміністратора

Викрадені облікові дані часто є відправною точкою для вторгнення в мережу. Ім'я користувача й пароль, токен сеансу або логін віддаленого доступу можуть дозволити атакувальнику увійти через парадні двері, а не пробивати стіну.

Далі загальна схема захоплення мережі виглядає знайомою для фахівців із захисту:

  • Атакувальник входить із дійсним обліковим записом, що може виглядати як звичайна активність.
  • Він досліджує мережу, щоб дізнатися, які системи та облікові записи існують.
  • Він шукає потужніші облікові дані або неправильні конфігурації, що дозволяють переміщатися вбік.
  • Він продовжує підвищувати привілеї, доки не отримає права доменного адміністратора.

Щойно атакувальник отримує доступ рівня доменного адміністратора, розгортання програм-вимагачів на багатьох системах одночасно стає значно простішим. Саме тому заявлена ціль агентів Aur0ra має значення. Доменний адміністратор — це точка, у якій вторгнення може перетворитися на кризу масштабу всієї організації.

Ключовий урок полягає в тому, що цей ланцюжок починається з дійсного входу. Надійний захист облікових даних і жорсткий контроль над віддаленим доступом атакують найраніший і найдешевший крок процесу.

Чому AI знижує бар'єр для атакувальників із програмами-вимагачами

Історично переміщення мережею в напрямку доменного адміністратора вимагало терпіння, досвіду й часу. Атакувальникам доводилося читати результати, приймати рішення й уникати спрацювання сигналізацій. Ця праця обмежувала кількість жертв, з якими могло впоратися одне угруповання.

Автоматизація змінює це рівняння. Якщо AI-агенти можуть виконувати значну частину дослідження й підвищення привілеїв, угрупованню може знадобитися менше кваліфікованих людей і менше ручної роботи на кожну жертву. Заявлена активність Aur0ra свідчить про те, що:

  • Менш досвідчені оператори могли б здійснювати вторгнення, які колись вимагали експертизи.
  • Досвідчені оператори могли б проводити більше вторгнень паралельно.
  • Час між початковим доступом і повною компрометацією міг би скоротитися, залишаючи захисникам менше часу на реагування.

Це обґрунтовані наслідки заявленої поведінки, а не підтверджені вимірювання. Втім, угруповання програм-вимагачів мають давню історію адаптації своїх інструментів та інфраструктури, щоб залишатися ефективними. Наш матеріал про те, як DeadLock ransomware додає застосунок Session для уникнення вилучень, показує ту саму закономірність з іншого боку: оператори постійно змінюють свої методи, коли щось стає їм на заваді, і впроваджують усе, що робить роботу дешевшою та стійкішою.

Що це означає для вас

Хороша новина полягає в тому, що AI-агентам усе ще потрібно з чимось працювати. У заявленому випадку цим «чимось» були викрадені облікові дані. Захисники не можуть контролювати, наскільки витонченими є інструменти атакувальника, але вони можуть контролювати, наскільки корисним виявиться викрадений логін.

Для окремих осіб це нагадування про те, що повторно використані або скомпрометовані паролі можуть стати першою ланкою значно більшого ланцюжка, особливо якщо ви використовуєте той самий логін для роботи й особистих сервісів. Для малого бізнесу та IT-команд це означає, що системи віддаленого доступу, зокрема VPN-шлюзи й служби віддаленого робочого столу, заслуговують на таку саму ретельність, як і будь-яка інша точка входу.

Як зменшити свою вразливість до атак на основі облікових даних

Жоден із цих кроків не є екзотичним, і разом вони роблять викрадений пароль значно менш цінним:

  1. Проведіть аудит своїх паролів. Використовуйте менеджер паролів, щоб дати кожному обліковому запису унікальний довгий пароль. Змініть будь-які, що з'явилися у відомих витоках.
  2. Увімкніть багатофакторну автентифікацію (MFA). За можливості надавайте перевагу методам на основі застосунків або апаратних засобів над SMS, і вимагайте MFA для електронної пошти, адміністративних облікових записів і всього віддаленого доступу.
  3. Перегляньте налаштування VPN і віддаленого доступу. Підтвердьте, хто має доступ, видаліть облікові записи, які більше не потрібні, і переконайтеся, що віддалені входи вимагають MFA. Тримайте програмне забезпечення шлюзів оновленим.
  4. Обмежте привілеї. Повсякденні облікові записи не повинні мати прав адміністратора. Менше потужних облікових записів означає менше шляхів до доменного адміністратора.
  5. Стежте за незвичайними входами. Входи в неробочий час, із незнайомих місць або до систем, яких користувач ніколи не торкається, заслуговують на пильнішу увагу.
  6. Зберігайте офлайн-резервні копії. Перевірені резервні копії, до яких атакувальники не можуть дістатися, дають вам спосіб відновитися без сплати викупу.

Підсумок

Звіт про Aur0ra є чітким прикладом того, як AI-агенти, програми-вимагачі та викрадені облікові дані об'єднуються, щоб автоматизувати сходження до доменного адміністратора. Інструменти атакувальника можуть ставати швидшими, але точка входу залишається тим, що ви можете зміцнити. Почніть цього тижня: проведіть аудит своїх паролів, увімкніть MFA всюди, де вона пропонується, і перегляньте налаштування VPN і віддаленого доступу. Щоб дізнатися більше про те, як оператори програм-вимагачів адаптують свої інструменти та інфраструктуру, прочитайте наш матеріал про DeadLock ransomware та використання ним застосунку Session.