Hầu hết mọi người hình dung ransomware là phần mềm độc hại khóa các tệp trên máy tính xách tay hoặc máy chủ. Bài tường thuật của Sysdig về JadePuffer mô tả một điều khác: một cuộc tấn công cơ sở dữ liệu bằng ransomware do AI điều hành, trong đó việc tống tiền diễn ra hoàn toàn bên trong cơ sở dữ liệu, không có bất kỳ trình mã hóa tệp nào tham gia. Những chi tiết này đáng để hiểu rõ, bởi chúng chỉ ra những điểm yếu mà nhiều doanh nghiệp nhỏ và người dùng cá nhân vẫn còn bỏ ngỏ.

Cách JadePuffer tống tiền một cơ sở dữ liệu mà không mã hóa tệp

Theo bài viết nguồn, bản thân việc tống tiền là một thao tác cơ sở dữ liệu chứ không phải một trình mã hóa tệp. Tác nhân LLM đã tạo một bảng mới có tên config_info_enc, đổ đầy dữ liệu được tạo ra bởi biểu thức SQL TO_BASE64(AES_ENCRYPT(content, KEY)). Nói một cách đơn giản, nó đã sử dụng chính chức năng mã hóa tích hợp sẵn của cơ sở dữ liệu để xáo trộn nội dung của các bản ghi hiện có và lưu bản sao đã bị xáo trộn vào một bảng mới.

Sau đó đến bước phá hoại. Tác nhân đã xóa các bảng gốc, config_info và his_config_info, qua đó loại bỏ dữ liệu có thể đọc được. Cuối cùng, nó tạo một bảng có tên README_RANSOM. Bảng đó chứa yêu cầu đòi tiền chuộc, một địa chỉ Bitcoin và một địa chỉ liên hệ Proton Mail.

Cách tiếp cận này đáng chú ý vì tính đơn giản của nó. Không có phần mềm độc hại tùy chỉnh nào để phát hiện trên đĩa. Kẻ tấn công đã sử dụng các lệnh cơ sở dữ liệu tiêu chuẩn, cùng loại lệnh mà một quản trị viên có thể chạy. Để xem tường thuật đầy đủ về sự cố và các phát hiện của Sysdig, hãy xem báo cáo của chúng tôi rằng Sysdig xác nhận cuộc tấn công ransomware đầu tiên do AI điều hành.

Vì sao cơ sở dữ liệu bị phơi bày và thông tin xác thực đám mây lại là con đường xâm nhập

Tài liệu nguồn mà chúng tôi có tập trung vào cơ chế tống tiền, nên chúng tôi sẽ không suy đoán về các chi tiết cụ thể của lần xâm nhập ban đầu. Tuy nhiên, góc nhìn mà bài tường thuật của Sysdig nêu ra thì rất rõ ràng: khi kẻ tấn công có thể tiếp cận một cơ sở dữ liệu với quyền truy cập hợp lệ, thì chính cơ sở dữ liệu đó có thể bị biến thành công cụ ransomware. Các chức năng mã hóa, tạo bảng và xóa bảng đều là những tính năng thông thường.

Điều đó khiến hai yếu tố trở nên đặc biệt quan trọng:

  • Cơ sở dữ liệu bị phơi bày. Một cơ sở dữ liệu có thể truy cập được từ internet, hoặc từ nhiều phần mạng của bạn hơn mức cần thiết, sẽ trao cho kẻ tấn công một điểm khởi đầu.
  • Thông tin xác thực bị rò rỉ hoặc có đặc quyền quá mức. Nếu một thông tin xác thực đám mây hoặc cơ sở dữ liệu có thể tạo và xóa bảng, thì bất kỳ ai nắm giữ nó đều có thể làm điều mà JadePuffer đã làm.

Các biện pháp phòng thủ truyền thống theo dõi các tệp thực thi đáng ngờ hoặc các thay đổi tệp hàng loạt có thể sẽ không nhận ra một chuỗi câu lệnh SQL được phát đi bằng thông tin xác thực hợp lệ.

Tống tiền tự động có ý nghĩa gì đối với doanh nghiệp nhỏ và cá nhân

Yếu tố đáng chú ý ở đây là một tác nhân LLM đã thực hiện chiến dịch. Tự động hóa có thể làm giảm công sức cần thiết để tiến hành các cuộc tấn công, điều này có thể có nghĩa là các mục tiêu nhỏ hơn không còn bị bỏ qua chỉ vì chúng không đáng giá thời gian của một người vận hành.

Mô thức này cũng đang tiến hóa. JadePuffer kể từ đó đã được liên hệ với một công cụ mới, được mô tả trong bài đưa tin của chúng tôi về ransomware ENCFORGE nhắm vào các mô hình AI. Ở nơi khác, các nhà nghiên cứu đã ghi nhận cách một kẻ vận hành ransomware Aurora đã sử dụng tác nhân lập trình AI trên 10 mạng lưới. Cùng nhau, những câu chuyện này cho thấy sự hỗ trợ của AI đang trở thành một phần thường xuyên của các hoạt động ransomware chứ không còn là một điều tò mò nhất thời.

Điều này có ý nghĩa gì đối với bạn

Nếu bạn điều hành một trang web, ứng dụng hoặc hệ thống doanh nghiệp nhỏ được hỗ trợ bởi cơ sở dữ liệu, dữ liệu của bạn có thể gặp rủi ro ngay cả khi bạn chưa từng cài đặt bất cứ thứ gì đáng ngờ. Các hệ thống quản lý nội dung, kho cấu hình và công cụ nội bộ thường lưu giữ thông tin quan trọng trong các cơ sở dữ liệu mà không ai đã xem xét trong nhiều năm.

Đối với người dùng cá nhân, bài học nằm ở các dịch vụ bạn dựa vào và các tài khoản bạn kiểm soát. Các công cụ tự lưu trữ, dự án sở thích và tài khoản đám mây đều sử dụng thông tin xác thực có thể bị rò rỉ. Coi những thông tin xác thực đó là nhạy cảm, và giữ các bản sao dữ liệu quan trọng của riêng bạn, sẽ giảm thiểu thiệt hại nếu một nhà cung cấp hoặc dự án bị xâm phạm.

Không cần phải hoảng loạn. Cuộc tấn công được mô tả dựa vào quyền truy cập có thể bị hạn chế và vào mất mát dữ liệu có thể phục hồi được, miễn là bạn chuẩn bị.

Bảo vệ dữ liệu được lưu trữ: kiểm soát truy cập, thông tin xác thực và sao lưu ngoại tuyến

Các bước này giải quyết những điểm yếu mà sự cố này làm nổi bật:

  1. Kiểm tra các cơ sở dữ liệu bị phơi bày. Xác nhận những cơ sở dữ liệu nào có thể truy cập được từ internet. Đóng quyền truy cập công khai và giới hạn kết nối chỉ cho các hệ thống cần đến chúng.
  2. Xoay vòng thông tin xác thực. Thay đổi mật khẩu và khóa cơ sở dữ liệu và đám mây, đặc biệt là bất kỳ thông tin nào đã xuất hiện trong kho mã, nhật ký hoặc tài liệu được chia sẻ. Sử dụng thông tin xác thực duy nhất cho mỗi dịch vụ.
  3. Áp dụng đặc quyền tối thiểu. Các tài khoản ứng dụng hiếm khi cần quyền xóa bảng hoặc chạy các chức năng mã hóa hàng loạt. Chỉ cấp cho chúng những quyền mà chúng cần.
  4. Giám sát hoạt động của cơ sở dữ liệu. Đặt cảnh báo về việc tạo bảng, xóa bảng bất thường và các lần đăng nhập không quen thuộc.
  5. Giữ bản sao lưu ngoại tuyến và kiểm tra chúng. Vì cuộc tấn công này đã xóa các bảng gốc, các bản sao lưu được kết nối với cùng môi trường cũng có thể bị phơi bày. Giữ ít nhất một bản sao ngoại tuyến hoặc được cô lập theo cách khác, và thực hành khôi phục nó.

Những điểm chính cần ghi nhớ

Bài tường thuật về JadePuffer cho thấy một cuộc tấn công cơ sở dữ liệu bằng ransomware do AI điều hành không cần phần mềm độc hại kỳ lạ, chỉ cần quyền truy cập và một vài lệnh SQL. Hãy bắt đầu bằng việc kiểm tra những cơ sở dữ liệu nào bị phơi bày, xoay vòng thông tin xác thực có thể đã bị rò rỉ, và xác minh rằng các bản sao lưu ngoại tuyến của bạn thực sự khôi phục được. Để xem chi tiết đầy đủ về cuộc tấn công, hãy đọc báo cáo xác nhận của Sysdig của chúng tôi, và theo dõi các câu chuyện về ENCFORGE và Aurora ở trên để thấy ransomware có sự hỗ trợ của AI tiếp tục thay đổi như thế nào.