Атаки ШІ-програм-вимагачів стають значно швидшими

Нове дослідження групи з кіберрозвідки Unit 42 компанії Palo Alto Networks вказує на тривожну зміну в тому, як розгортаються кампанії програм-вимагачів. Згідно з отриманими даними, агенти штучного інтелекту можуть дозволити зловмисникам переміщатися по скомпрометованій мережі та завершити вторгнення всього за 10 годин. Така швидкість змінює правила гри для кожного, хто відповідає за захист мережі, і має реальні наслідки для того, як швидко можуть бути розкриті персональні та організаційні дані.

Програми-вимагачі традиційно передбачали багатоетапний процес: отримання початкового доступу, тихе дослідження мережі, підвищення привілеїв та, зрештою, пошук і шифрування або викрадення цінних даних. Кожен із цих етапів раніше займав час, часто дні або тижні, що давало командам із безпеки можливість виявити підозрілу активність до того, як було завдано серйозної шкоди. Дослідження Unit 42 припускає, що агенти штучного інтелекту значно стискають цей графік, автоматизуючи етапи розвідки та горизонтального переміщення, які раніше вимагали ручних зусиль операторів-людей.

Як агенти ШІ прискорюють вторгнення програм-вимагачів

Основна проблема, яку визначає Unit 42, полягає в тому, що агенти штучного інтелекту можуть діяти зі ступенем автономності, якого бракує традиційним інструментам атак. Замість того, щоб хакер-людина вручну перевіряв мережу на наявність слабких місць, агенту ШІ можна поставити завдання, наприклад, знайти шлях до чутливих даних, а потім він самостійно працює над досягненням цієї мети, адаптуючись у разі виникнення перешкод. Це зменшує потребу в постійному контролі з боку людини під час атаки та усуває більшу частину затримок, пов'язаних із методом спроб і помилок, які раніше уповільнювали вторгнення.

Така автоматизація не вимагає від зловмисників винаходу абсолютно нових технік експлуатації. Вона просто робить наявні методи швидшими та послідовнішими. Це важливо, оскільки багато операцій програм-вимагачів досі покладаються на відомі вразливості, розкриті облікові дані, невиправлене програмне забезпечення або неправильно налаштовані системи для отримання початкової точки опори. Потрапивши всередину, агент на основі ШІ може переміщатися по мережі швидше, ніж це зазвичай може зробити атакуючий-людина, скорочуючи час, який захисники мають на виявлення та реагування.

Чому швидші атаки підвищують ставки для конфіденційності та безпеки даних

Наслідки цієї тенденції для конфіденційності є значними. Атаки програм-вимагачів більше не зводяться лише до блокування файлів для отримання викупу. Багато сучасних кампаній також передбачають викрадення чутливих даних перед шифруванням, зокрема персональних записів, фінансової інформації або конфіденційних ділових документів, і погрози оприлюднити їх, якщо викуп не буде сплачено. Коли вторгнення можна завершити за години, а не за дні, вікно можливостей, у яке організація може виявити зловмисника та перекрити доступ до того, як дані будуть викрадені, різко скорочується.

Для звичайних користувачів це означає, що будь-яка організація, яка зберігає ваші персональні дані, чи то медичний заклад, фінансова установа чи інтернет-магазин, стикається зі стислішим графіком виявлення та зупинки зловмисників до того, як інформацію буде скопійовано. Команди з безпеки, які покладаються на періодичну перевірку журналів або повільніші процеси ручного розслідування, можуть просто вже бути недостатньо швидкими. Це частина ширшої закономірності, коли невиправлені або погано моніторизовані системи залишаються легким входом для зловмисників. Зусилля, такі як додавання активно експлуатованих уразливостей до списку відомих експлуатованих уразливостей CISA, підкреслюють, як швидко відомі слабкі місця програмного забезпечення перетворюються на зброю після того, як стають публічними, а прискорені штучним інтелектом програми-вимагачі лише додають терміновості швидкому закриттю цих прогалин.

Що це означає для вас

Якщо ви звичайний користувач, навряд чи ви станете прямою ціллю такого роду керованих ШІ програм-вимагачів, які описує Unit 42. Ці атаки загалом спрямовані на корпоративні мережі, а не на особисті пристрої. Однак опосередкований ефект має значення: швидші вторгнення програм-вимагачів підвищують імовірність того, що компанії, які зберігають ваші дані, можуть зазнати зламу з меншим попередженням та, потенційно, з меншим часом для запобігання викраденню вашої інформації до початку шифрування.

Для ІТ- та команд із безпеки повідомлення є чіткішим. Час виявлення та реагування, який колись вважався достатнім, може вже бути недостатньо швидким, коли зловмисники можуть завершити вторгнення приблизно за час однієї робочої зміни. Швидші атаки означають, що автоматизоване виявлення, швидке встановлення виправлень і суворо контрольований доступ стають менш опційними та більш фундаментальними.

Практичні висновки

Хоча це дослідження спрямоване насамперед на корпоративних захисників, є кроки, які застосовуються широко:

  • Своєчасно встановлюйте виправлення для програмного забезпечення та систем, оскільки затримка з виправленнями дає як атакуючим-людям, так і керованим ШІ зловмисникам легку можливість для проникнення.
  • Використовуйте надійні унікальні паролі та вмикайте багатофакторну автентифікацію, де це можливо, щоб ускладнити отримання початкового доступу.
  • Якщо ви керуєте мережею, надавайте пріоритет інструментам автоматизованого виявлення, які можуть позначати незвичне горизонтальне переміщення майже в реальному часі, а не лише постфактум.
  • Будьте в курсі інформації про постачальників і послуги, якими ви користуєтеся, і звертайте увагу на повідомлення про порушення безпеки, щоб діяти швидко, якщо ваші дані могли бути розкриті.

Зростання атак програм-вимагачів із підтримкою ШІ є нагадуванням про те, що кібербезпека — це безперервний процес, а не разове виправлення. Оскільки зловмисники застосовують швидші, автоматизованіші методи, збереження проактивного підходу до базової гігієни безпеки залишається одним із найефективніших способів зниження ризику як для організацій, так і для окремих осіб, чиї дані вони захищають.