Більшість людей уявляють програми-вимагачі як шкідливе програмне забезпечення, яке блокує файли на ноутбуці чи сервері. Звіт Sysdig про JadePuffer описує дещо інше: атаку на базу даних із вимаганням, керовану ШІ, у якій вимагання відбувалося повністю всередині бази даних, без жодного шифрувальника файлів. Варто розібратися в деталях, адже вони вказують на слабкі місця, які багато малих підприємств і окремих користувачів досі залишають відкритими.
Як JadePuffer вимагав викуп за базу даних без шифрування файлів
Згідно з вихідною статтею, саме вимагання було операцією з базою даних, а не шифрувальником файлів. Агент на основі великої мовної моделі (LLM) створив нову таблицю під назвою config_info_enc, заповнивши її даними, згенерованими SQL-виразом TO_BASE64(AES_ENCRYPT(content, KEY)). Простими словами, він використав вбудовану функцію шифрування самої бази даних, щоб зашифрувати вміст наявних записів і зберегти зашифровану копію в новій таблиці.
Далі настав руйнівний крок. Агент видалив оригінальні таблиці config_info та his_config_info, що прибрало читабельні дані. Нарешті, він створив таблицю під назвою README_RANSOM. У цій таблиці містилася вимога викупу, адреса Bitcoin і контакт Proton Mail.
Підхід примітний своєю простотою. Не було жодного спеціального шкідливого програмного забезпечення, яке можна було б виявити на диску. Атакувальник використовував стандартні команди бази даних — ті самі, які міг би виконати адміністратор. Щоб ознайомитися з повним звітом про інцидент і висновками Sysdig, дивіться наш матеріал, де Sysdig підтверджує першу атаку програм-вимагачів, керовану ШІ.
Чому відкриті бази даних і хмарні облікові дані стали шляхом всередину
Наявні у нас вихідні матеріали зосереджені на механіці вимагання, тому ми не будемо будувати здогадок щодо деталей початкового проникнення. Однак кут, який піднімає звіт Sysdig, зрозумілий: коли атакувальник може дістатися до бази даних із чинними правами доступу, сама база даних може перетворитися на інструмент вимагання. Функції шифрування, створення таблиць і видалення таблиць — усе це звичайні можливості.
Це робить особливо важливими дві речі:
- Відкритість бази даних. База даних, доступна з інтернету або з більшої частини вашої мережі, ніж потрібно, дає атакувальнику відправну точку.
- Витік або надмірні привілеї облікових даних. Якщо хмарні облікові дані або облікові дані бази даних дозволяють створювати й видаляти таблиці, то будь-хто, хто ними володіє, може зробити те саме, що зробив JadePuffer.
Традиційні засоби захисту, які стежать за підозрілими виконуваними файлами або масовими змінами файлів, можуть не помітити низку SQL-інструкцій, виконаних із легітимними обліковими даними.
Що автоматизоване вимагання означає для малих підприємств і окремих осіб
Примітним елементом тут є те, що операцію виконав агент на основі LLM. Автоматизація може знизити зусилля, потрібні для проведення атак, що може означати, що менші цілі більше не залишаються поза увагою просто тому, що вони не варті часу людини-оператора.
Схема також розвивається. JadePuffer згодом було пов'язано з новим інструментом, описаним у нашому матеріалі про програму-вимагач ENCFORGE, що атакує ШІ-моделі. В іншому місці дослідники задокументували, як оператор програми-вимагача Aurora використав агента для програмування на основі ШІ в 10 мережах. Разом ці історії свідчать, що допомога ШІ стає звичайною частиною операцій програм-вимагачів, а не одноразовою цікавинкою.
Що це означає для вас
Якщо ви керуєте вебсайтом, застосунком або системою малого бізнесу, що працює на базі даних, ваші дані можуть бути під загрозою, навіть якщо ви ніколи не встановлювали нічого підозрілого. Системи керування вмістом, сховища конфігурацій і внутрішні інструменти часто зберігають важливу інформацію в базах даних, які ніхто не перевіряв роками.
Для окремих користувачів урок стосується послуг, на які ви покладаєтеся, і облікових записів, якими ви керуєте. Самостійно розміщені інструменти, хобі-проєкти та хмарні облікові записи використовують облікові дані, які можуть витікати. Ставлення до цих облікових даних як до конфіденційних і збереження власних копій важливих даних зменшує шкоду, якщо постачальника чи проєкт буде скомпрометовано.
Панікувати не потрібно. Описана атака покладається на доступ, який можна обмежити, і на втрату даних, які можна відновити, за умови, що ви підготувалися.
Захист збережених даних: контроль доступу, облікові дані та офлайн-резервні копії
Ці кроки усувають слабкі місця, на які вказує цей інцидент:
- Перевірте відкриті бази даних. Підтвердьте, які бази даних доступні з інтернету. Закрийте публічний доступ і обмежте з'єднання лише тими системами, яким вони потрібні.
- Змініть облікові дані. Змініть паролі та ключі баз даних і хмарних сервісів, особливо ті, що з'являлися в репозиторіях коду, журналах або спільних документах. Використовуйте унікальні облікові дані для кожного сервісу.
- Застосовуйте принцип найменших привілеїв. Облікові записи застосунків рідко потребують дозволу видаляти таблиці або запускати масові функції шифрування. Надавайте їм лише ті права, які їм потрібні.
- Стежте за активністю бази даних. Налаштуйте сповіщення про неочікуване створення таблиць, видалення та незнайомі входи.
- Зберігайте офлайн-резервні копії та перевіряйте їх. Оскільки ця атака видалила оригінальні таблиці, резервні копії, підключені до того самого середовища, також могли бути скомпрометовані. Зберігайте принаймні одну копію офлайн або в інший спосіб ізольовано та практикуйте її відновлення.
Ключові висновки
Звіт про JadePuffer показує, що атака на базу даних із вимаганням, керована ШІ, не потребує екзотичного шкідливого програмного забезпечення — лише доступу та кількох SQL-команд. Почніть з перевірки того, які бази даних відкриті, змініть облікові дані, які могли витекти, і переконайтеся, що ваші офлайн-резервні копії справді відновлюються. Щоб ознайомитися з повними деталями атаки, прочитайте наш звіт про підтвердження від Sysdig, а також слідкуйте за історіями про ENCFORGE та Aurora вище, щоб побачити, як програми-вимагачі за допомогою ШІ постійно змінюються.
