Một báo cáo từ Help Net Security mô tả sự thay đổi đáng lo ngại trong cách các nhóm ransomware vận hành. Nhóm đứng sau ransomware Aur0ra được cho là đã cung cấp thông tin đăng nhập bị đánh cắp cho các AI agent và để chúng di chuyển qua mạng của nạn nhân nhằm đạt được quyền truy cập quản trị miền. Tóm lại, sự kết hợp giữa AI agent, ransomware và thông tin đăng nhập bị đánh cắp không còn chỉ là rủi ro lý thuyết. Nó đang được sử dụng để thực hiện công việc mà trước đây đòi hỏi những kẻ tấn công có kỹ năng.

Các chi tiết công khai còn hạn chế, nên cần thận trọng về những gì chúng ta biết và những gì chưa biết. Dưới đây là những gì báo cáo nêu, tại sao điều đó quan trọng, và những bước thực tế để giảm thiểu rủi ro phơi nhiễm của bạn.

Nhóm Aur0ra đã làm gì với AI agent

Theo báo cáo, các toán viên Aur0ra không chỉ đơn thuần dùng AI để viết email lừa đảo hoặc trau chuốt ghi chú đòi tiền chuộc. Họ đã trao thông tin đăng nhập bị đánh cắp cho các AI agent và để những agent này di chuyển qua mạng của nạn nhân với mục tiêu đạt được quyền truy cập quản trị miền.

Trong ngữ cảnh này, AI agent là phần mềm có thể nhận một mục tiêu, quyết định các bước thực hiện, chạy lệnh, đọc kết quả và điều chỉnh. Thay vì một kẻ tấn công là người gõ từng lệnh và diễn giải từng phản hồi, agent tự thực hiện phần lớn vòng lặp đó. Mục tiêu được báo cáo là quản trị miền — mức truy cập thường cho phép kiểm soát hầu hết tài khoản và máy trong một tổ chức dựa trên Windows.

Bản tóm tắt nguồn không cung cấp thêm chi tiết kỹ thuật, nên chúng tôi sẽ không suy đoán về công cụ mà các agent đã sử dụng hay số lượng nạn nhân bị ảnh hưởng.

Thông tin đăng nhập bị đánh cắp trở thành quyền quản trị miền như thế nào

Thông tin đăng nhập bị đánh cắp thường là điểm khởi đầu cho một vụ xâm nhập mạng. Một tên người dùng và mật khẩu, một token phiên, hoặc một đăng nhập truy cập từ xa có thể cho phép kẻ tấn công bước qua cửa trước thay vì phá tường.

Từ đó, mô hình chung của một vụ chiếm đoạt mạng trở nên quen thuộc với những người phòng thủ:

  • Kẻ tấn công đăng nhập bằng một tài khoản hợp lệ, có thể trông giống hoạt động bình thường.
  • Chúng khám phá mạng để tìm hiểu hệ thống và tài khoản nào tồn tại.
  • Chúng tìm kiếm thông tin đăng nhập mạnh hơn hoặc cấu hình sai cho phép di chuyển ngang.
  • Chúng tiếp tục leo thang cho đến khi nắm quyền quản trị miền.

Một khi kẻ tấn công có quyền quản trị miền, việc triển khai ransomware trên nhiều hệ thống cùng lúc trở nên dễ dàng hơn nhiều. Đó là lý do mục tiêu được báo cáo của các agent Aur0ra quan trọng. Quản trị miền là điểm mà một vụ xâm nhập có thể biến thành khủng hoảng toàn tổ chức.

Bài học chính là chuỗi này bắt đầu từ một đăng nhập hợp lệ. Bảo vệ thông tin đăng nhập mạnh mẽ và kiểm soát chặt chẽ truy cập từ xa sẽ tấn công vào bước sớm nhất và rẻ nhất trong quy trình.

Tại sao AI hạ thấp rào cản cho kẻ tấn công ransomware

Trước đây, việc di chuyển qua mạng để tiến tới quản trị miền đòi hỏi sự kiên nhẫn, kinh nghiệm và thời gian. Kẻ tấn công phải đọc kết quả, đưa ra phán đoán và tránh kích hoạt cảnh báo. Lao động đó giới hạn số nạn nhân mà một nhóm có thể xử lý.

Tự động hóa thay đổi phương trình đó. Nếu AI agent có thể xử lý phần lớn việc khám phá và leo thang, một nhóm có thể cần ít người có kỹ năng hơn và ít thời gian thao tác trực tiếp hơn cho mỗi nạn nhân. Hoạt động được báo cáo của Aur0ra cho thấy rằng:

  • Các toán viên ít kinh nghiệm hơn có thể thử xâm nhập những vụ mà trước đây đòi hỏi chuyên môn.
  • Các toán viên có kinh nghiệm có thể chạy nhiều vụ xâm nhập song song hơn.
  • Thời gian từ truy cập ban đầu đến xâm phạm hoàn toàn có thể rút ngắn, để lại ít không gian hơn cho người phòng thủ phản ứng.

Đây là những hàm ý hợp lý từ hành vi được báo cáo, không phải các phép đo đã được xác nhận. Tuy nhiên, các nhóm ransomware có lịch sử lâu dài trong việc thích nghi công cụ và hạ tầng để duy trì hiệu quả. Bài viết của chúng tôi về cách ransomware DeadLock thêm ứng dụng Session để tránh bị gỡ bỏ cho thấy cùng một mô hình từ góc độ khác: các toán viên liên tục thay đổi phương thức khi có thứ gì đó cản trở, và họ áp dụng bất cứ thứ gì khiến công việc rẻ hơn và kiên cường hơn.

Điều này có ý nghĩa gì với bạn

Tin tốt là AI agent vẫn cần thứ gì đó để làm việc. Trong trường hợp được báo cáo, thứ đó là thông tin đăng nhập bị đánh cắp. Người phòng thủ không thể kiểm soát công cụ của kẻ tấn công thông minh đến đâu, nhưng họ có thể kiểm soát mức độ hữu ích của một đăng nhập bị đánh cắp.

Đối với cá nhân, đây là lời nhắc rằng mật khẩu bị tái sử dụng hoặc bị lộ có thể trở thành mắt xích đầu tiên trong một chuỗi lớn hơn nhiều, đặc biệt nếu bạn dùng cùng một đăng nhập cho công việc và các dịch vụ cá nhân. Đối với doanh nghiệp nhỏ và đội ngũ IT, điều đó có nghĩa là các hệ thống truy cập từ xa, bao gồm cổng VPN và dịch vụ desktop từ xa, xứng đáng được xem xét kỹ lưỡng như bất kỳ điểm vào nào khác.

Cách giảm thiểu rủi ro phơi nhiễm với các cuộc tấn công dựa trên thông tin đăng nhập

Không bước nào trong số này là xa lạ, và kết hợp lại, chúng khiến một mật khẩu bị đánh cắp trở nên ít giá trị hơn nhiều:

  1. Kiểm tra mật khẩu của bạn. Sử dụng trình quản lý mật khẩu để cấp cho mỗi tài khoản một mật khẩu dài, duy nhất. Thay đổi bất kỳ mật khẩu nào đã xuất hiện trong một vụ vi phạm đã biết.
  2. Bật xác thực đa yếu tố (MFA). Ưu tiên phương thức dựa trên ứng dụng hoặc phần cứng hơn SMS khi có thể, và yêu cầu MFA trên email, tài khoản quản trị và mọi truy cập từ xa.
  3. Xem xét cài đặt VPN và truy cập từ xa. Xác nhận ai có quyền truy cập, xóa các tài khoản không còn cần thiết, và đảm bảo đăng nhập từ xa yêu cầu MFA. Giữ phần mềm cổng được vá.
  4. Hạn chế đặc quyền. Tài khoản hàng ngày không nên có quyền quản trị. Ít tài khoản mạnh hơn đồng nghĩa với ít đường dẫn đến quản trị miền hơn.
  5. Theo dõi các đăng nhập bất thường. Đăng nhập vào giờ lạ, từ vị trí không quen thuộc, hoặc vào hệ thống mà người dùng không bao giờ chạm đến xứng đáng được xem xét kỹ hơn.
  6. Duy trì sao lưu ngoại tuyến. Các bản sao lưu đã được kiểm tra mà kẻ tấn công không thể truy cập cho bạn cách khôi phục mà không phải trả tiền.

Kết luận

Báo cáo Aur0ra là một ví dụ rõ ràng về việc AI agent, ransomware và thông tin đăng nhập bị đánh cắp kết hợp với nhau để tự động hóa quá trình leo thang tới quản trị miền. Công cụ của kẻ tấn công có thể đang trở nên nhanh hơn, nhưng điểm vào vẫn là thứ bạn có thể gia cố. Hãy bắt đầu ngay tuần này: kiểm tra mật khẩu của bạn, bật MFA ở mọi nơi có hỗ trợ, và xem xét cài đặt VPN và truy cập từ xa. Để biết thêm về cách các toán viên ransomware thích nghi công cụ và hạ tầng, hãy đọc bài viết của chúng tôi về ransomware DeadLock và việc sử dụng ứng dụng Session.