Відкрита інфраструктура зловмисників дала дослідникам рідкісну можливість побачити, як партнери програм-вимагачів застосовують штучний інтелект. За повідомленням The Hacker News, партнери використовували схвалені людиною робочі процеси ШІ для експлуатації периферійних систем, викрадення даних і атак на приблизно 62 організації. Ця історія є корисним нагадуванням про те, що кампанії AI-агентів і програм-вимагачів проти периферійних пристроїв більше не є теоретичною проблемою, і що обладнання на периферії вашої мережі заслуговує на реальну увагу.
Джерельний матеріал короткий, тому цей пост обмежується тим, що було повідомлено, і зосереджується на тому, що читачі можуть із цим зробити.
Як партнери використовували AI-агентів для проведення вторгнень
Ключова деталь — це фраза «схвалено людиною». У повідомленні описуються робочі процеси ШІ, у яких людина залишається в контурі, щоб схвалювати кроки, а не повністю автономна система, що діє самостійно. На практиці це означає, що ШІ виконує значну частину повторюваної роботи зі вторгнення, тоді як людина-партнер затверджує, що відбувається далі.
Ця модель важлива, оскільки вона знижує зусилля, необхідні для проведення атаки. Завдання, які колись вимагали кваліфікованого оператора, що проходить кожен етап, можна прискорити, зберігаючи за людиною контроль над ключовими рішеннями. Партнери в цьому випадку використовували ці робочі процеси для експлуатації периферійних систем і викрадення даних.
Це вписується в ширшу картину автоматизації в кіберзлочинності. Докладніше про те, як інструменти ШІ змінюють економіку атак, читайте в нашому попередньому звіті про те, як інструмент ШІ під назвою Hermes забезпечує атаки програм-вимагачів.
Чому VPN-шлюзи та маршрутизатори стали точкою входу
Периферійні системи — це пристрої, що стикаються з відкритим інтернетом: VPN-шлюзи, маршрутизатори, міжмережеві екрани та подібні пристрої. Вони привабливі для зловмисників з простої причини. Вони доступні звідусіль, часто перебувають поза моніторингом, який охоплює ноутбуки та сервери, і можуть забезпечити прямий шлях до внутрішньої мережі.
Коли зловмисник компрометує один із таких пристроїв, він може отримати доступ до внутрішніх ресурсів і витягнути дані, навіть не торкаючись комп'ютера користувача. Ось чому запропонований тут акцент — це гігієна периметра. Пристрій, призначений для захисту доступу, може стати шляхом всередину, якщо він відкритий, застарілий або погано налаштований.
Варто бути точним: у наявному повідомленні не називаються конкретні продукти чи вразливості, і ми не будемо їх вгадувати. Висновок стосується категорії пристроїв, а не конкретного постачальника.
Що відкрита інфраструктура говорить про 62 цілі
Саме відкрита інфраструктура дозволила дослідникам оцінити, що цілями були приблизно 62 організації. Це число є оцінкою і відображає те, що було видно у власній інфраструктурі зловмисника, а не підтверджену кількість успішних зломів.
Кілька моментів виділяються:
- Зловмисники теж помиляються. Неправильно налаштовані або відкриті сервери зловмисників можуть розкрити інструменти, робочі процеси та списки цілей, які захисники інакше ніколи б не побачили.
- Таргетинг виглядає системним. Список із десятків організацій свідчить про повторюваний процес, а не про разове вторгнення.
- Викрадення даних є частиною сценарію. Партнери прагнули не лише шифрування; вони також викрадали дані, що чинить додатковий тиск на жертв.
Ширший урок полягає в тому, що допомога ШІ може допомогти партнерам масштабуватися. Навіть коли людина схвалює дії, один оператор потенційно може опрацювати багато цілей.
Що це означає для вас
Якщо ви керуєте бізнес-мережею, ви є найбільш безпосередньою аудиторією. Будь-який VPN-пристрій, міжмережевий екран або маршрутизатор, що приймає з'єднання з інтернету, є частиною вашої поверхні атаки, і зловмисники шукають ті, що залишилися без патчів або без нагляду.
Якщо ви домашній користувач, профіль ризику інший, але не нульовий. Домашні маршрутизатори часто постачаються з опціями віддаленого адміністрування, які багато людей ніколи не переглядають. Залишати їх увімкненими та без патчів — це саме той тип прогалини, який покликані знаходити автоматизовані інструменти.
Ніщо з цього не вимагає паніки. Це вимагає рутинного обслуговування, яке багато людей пропускають.
Як перевірити та зміцнити власні периферійні пристрої
Почніть із видимості, потім зменшіть вплив.
- З'ясуйте, що відкрито. Перелічіть кожен маршрутизатор, VPN-шлюз і міжмережевий екран, що стикається з інтернетом. Перевірте, які інтерфейси управління та порти доступні ззовні вашої мережі.
- Оновіть прошивку. Перевірте сторінку оновлень вашого постачальника та встановіть актуальну прошивку. Увімкніть автоматичні оновлення, якщо пристрій їх підтримує.
- Вимкніть непотрібний віддалений доступ. Якщо вам не потрібне віддалене адміністрування, вимкніть його. Там, де воно потрібне, обмежте його конкретними довіреними адресами.
- Увімкніть MFA. Вимагайте багатофакторну автентифікацію для входів у VPN і панелей адміністрування, а також замініть типові або повторно використані паролі.
- Перегляньте журнали. Шукайте незвичайні входи, неочікувані зміни конфігурації або великі вихідні передачі.
- Виведіть з експлуатації застаріле обладнання. Пристрої, які більше не отримують оновлень безпеки, є постійним ризиком.
Ключові висновки
Повідомлена кампанія показує, що атаки AI-агентів і програм-вимагачів на периферійні пристрої найкраще працюють проти обладнання, яке є відкритим і занедбаним. Схвалені людиною робочі процеси ШІ допомагають партнерам діяти швидше, але точки входу залишаються звичайними: пристрої, підключені до інтернету, зі слабкими налаштуваннями.
Цього тижня перевірте ваш маршрутизатор або VPN-пристрій на предмет відкритості в інтернеті, оновіть прошивку, вимкніть непотрібний віддалений доступ і увімкніть MFA. Для ширшого контексту про те, як автоматизація змінює програми-вимагачі, прочитайте нашу статтю про інструмент програм-вимагачів Hermes.
