Дослідники виявили Phantom — керований ШІ фреймворк вторгнення, який використовують афіліати програм-вимагачів INC та The Gentlemen для масштабування своїх зломів. Виявлення цього фреймворку програм-вимагачів на базі ШІ Phantom є корисним маркером того, куди прямує злочинний інструментарій: менше ручних зусиль на жертву та більше жертв на одного зловмисника.

Публічні деталі обмежені, тому цей пост дотримується того, що було повідомлено, і уникає здогадок щодо технічних особливостей. Зрозумілим є напрямок руху, а захист, який має значення у відповідь, переважно знайомий.

Що дослідники знайшли в Phantom

Згідно зі звітом, Phantom — це керований ШІ фреймворк вторгнення. Афіліати двох угруповань програм-вимагачів, INC та The Gentlemen, використовували його для масштабування своїх вторгнень із програмами-вимагачами. У світі програм-вимагачів афіліати — це оператори, які фактично здійснюють атаки, часто використовуючи інструменти та інфраструктуру, надані основною групою. Спільний фреймворк дає багатьом афіліатам однакові можливості.

У звіті фреймворк описано як спосіб автоматизувати та масштабувати зломи. Ми не маємо підтверджених деталей про конкретні вразливості, на які він націлений, скільки жертв він зачепив або на які моделі ШІ він спирається, тому ми не будемо про це спекулювати. Якщо дослідники опублікують більше, ці деталі матимуть значення для захисників.

Як ШІ знижує бар'єр до програм-вимагачів

Вторгнення з програмами-вимагачами традиційно включали багато кроків: знайти спосіб проникнути, переміщатися мережею, знайти цінні дані та розгорнути корисне навантаження шифрування. Кожен крок потребує часу та навичок. Автоматизація атакує саме це вузьке місце. Коли фреймворк бере на себе повторювані або технічні частини процесу, менш досвідчені афіліати можуть здійснювати атаки, які колись вимагали досвідчених операторів, а досвідчені можуть запускати більше спроб одночасно.

Це основна проблема з такими інструментами, як Phantom. Він не обов'язково робить якусь окрему атаку розумнішою. Він робить атаки дешевшими для запуску, що підвищує базовий рівень ризику для всіх, включаючи цілі, які раніше були занадто малими, щоб вартувати ручних зусиль зловмисника.

Ширша тенденція наступу за допомогою ШІ не обмежується програмами-вимагачами. OpenAI повідомила, що її модель Astra може знаходити zero-day та створювати робочі експлойти, про що ми розповідали в нашому огляді ШІ Astra від OpenAI та її здатність знаходити zero-day і створювати експлойти. Разом ці розробки показують, як ШІ стискає час і експертизу, необхідні для переходу від цілі до компрометації.

Що це означає для вас

Для фізичних осіб: Програми-вимагачі зазвичай асоціюються з компаніями, але автоматизація робить широке, опортуністичне націлювання простішим. Особисті пристрої, домашні офіси та хмарні облікові записи, що зберігають сімейні фотографії чи документи, можуть бути захоплені в тих самих кампаніях. Практичний ефект полягає в тому, що «ніхто не потурбується атакувати мене» є слабшим припущенням, ніж раніше.

Для малого бізнесу: Малі фірми часто не мають спеціальної команди з безпеки, що робить їх привабливими, коли зловмисники можуть масштабувати дешево. Якщо вторгнення станеться, вам також потрібно подумати про реагування, включаючи юридичні обов'язки. В Австралії, наприклад, правила обов'язкового звітування про програми-вимагачі змінюють те, як менші компанії обробляють атаки, як ми пояснювали в нашій статті про правила звітування про програми-вимагачі в Австралії та ризики конфіденційності для МСП. Знання своїх обов'язків до інциденту набагато простіше, ніж вивчення їх під час нього.

Ніщо у звіті про Phantom не свідчить про новий, незупинний метод атаки. Суть у обсязі та доступності, і саме тут базова гігієна безпеки окупається.

Практичний захист: MFA, патчі, резервні копії та обізнаність щодо фішингу

Автоматизація, як правило, вражає найлегші цілі першими. Підвищення вартості проникнення залишається найефективнішою відповіддю.

  • Увімкніть багатофакторну автентифікацію (MFA). Надайте пріоритет електронній пошті, хмарному сховищу, віддаленому доступу та адміністративним обліковим записам. Де можливо, використовуйте додаток-автентифікатор або апаратний ключ замість SMS-кодів.
  • Встановлюйте патчі своєчасно. Оновлюйте операційні системи, браузери, VPN та пристрої брандмауера, а також бізнес-програмне забезпечення. Увімкніть автоматичні оновлення, де можете, і ведіть інвентаризацію систем, доступних з інтернету, щоб нічого не забути.
  • Зберігайте офлайн або незмінні резервні копії. Дотримуйтесь підходу 3-2-1: три копії, два типи носіїв, одна збережена офлайн або поза межами вашої основної мережі. Регулярно перевіряйте відновлення з них.
  • Будьте обережні з фішингом. Ставтеся скептично до неочікуваних вкладень, запитів на вхід та термінових запитів щодо платежів або паролів. Перевіряйте через окремий канал, перш ніж діяти.
  • Обмежуйте доступ. Використовуйте окремі адміністративні та повсякденні облікові записи, і видаляйте доступ для людей, яким він більше не потрібен.
  • Підготуйте простий план реагування. Знайте, кому телефонувати, як ізолювати уражені пристрої та які правила звітування до вас застосовуються.

Ключові висновки

Виявлення фреймворку програм-вимагачів на базі ШІ Phantom показує, що зловмисники інвестують в автоматизацію для масштабування вторгнень із програмами-вимагачами, причому афіліати INC та The Gentlemen, за повідомленнями, серед тих, хто його використовує. Ви не можете контролювати, як злочинці будують свої інструменти, але ви можете контролювати, чи ваші облікові записи, системи та резервні копії є легкими цілями.

Почніть цього тижня: увімкніть MFA на ваших найважливіших облікових записах, встановіть очікувані оновлення, перевірте, що у вас є офлайн-резервна копія, яка справді відновлюється, та освіжіть свої звички щодо фішингу. Для більшого контексту про наступ за допомогою ШІ читайте наш матеріал про Astra та виявлення zero-day, а якщо ви керуєте малим бізнесом, ознайомтеся з нашим поясненням про правила звітування про програми-вимагачі для МСП в Австралії, щоб спланувати реагування на інциденти.