Khung Phantom AI cung cấp năng lực cho INC và The Gentlemen Ransomware

Các nhà nghiên cứu đã phát hiện Phantom, một khung xâm nhập do AI điều khiển được các chi nhánh của chiến dịch ransomware INC và The Gentlemen sử dụng để mở rộng quy mô các vụ xâm nhập. Việc phát hiện khung ransomware AI Phantom này là một dấu hiệu hữu ích cho thấy công cụ tội phạm đang đi về đâu: ít nỗ lực thủ công hơn cho mỗi nạn nhân, và nhiều nạn nhân hơn cho mỗi kẻ tấn công.

Thông tin công khai còn hạn chế, vì vậy bài viết này chỉ dựa trên những gì đã được báo cáo và tránh suy đoán về các chi tiết kỹ thuật cụ thể. Điều rõ ràng là hướng đi, và các biện pháp phòng thủ quan trọng để đối phó phần lớn là những biện pháp quen thuộc.

Những gì các nhà nghiên cứu tìm thấy ở Phantom

Theo báo cáo, Phantom là một khung xâm nhập do AI điều khiển. Các chi nhánh của hai nhóm ransomware, INC và The Gentlemen, đã sử dụng nó để mở rộng quy mô các vụ xâm nhập ransomware của họ. Trong thế giới ransomware, chi nhánh là những người vận hành thực sự tiến hành các cuộc tấn công, thường sử dụng công cụ và hạ tầng do một nhóm cốt lõi cung cấp. Một khung dùng chung mang lại cho nhiều chi nhánh cùng một năng lực.

Báo cáo mô tả khung này như một cách để tự động hóa và mở rộng quy mô các vụ xâm nhập. Chúng tôi không có thông tin xác nhận ở đây về các lỗ hổng cụ thể mà nó nhắm tới, số lượng nạn nhân mà nó đã ảnh hưởng, hay những mô hình AI mà nó dựa vào, nên chúng tôi sẽ không suy đoán về những điều đó. Nếu các nhà nghiên cứu công bố thêm, những chi tiết đó sẽ quan trọng đối với các nhà phòng thủ.

Cách AI hạ thấp rào cản đối với ransomware

Các vụ xâm nhập ransomware theo truyền thống bao gồm nhiều bước: tìm cách xâm nhập, di chuyển trong mạng, xác định dữ liệu có giá trị và triển khai mã độc mã hóa. Mỗi bước đều tốn thời gian và kỹ năng. Tự động hóa tấn công vào những điểm nghẽn đó. Khi một khung xử lý các phần lặp đi lặp lại hoặc kỹ thuật của quá trình, các chi nhánh ít kinh nghiệm hơn có thể thử các cuộc tấn công mà trước đây đòi hỏi những người vận hành dày dạn, và những người có kinh nghiệm có thể chạy nhiều nỗ lực cùng lúc hơn.

Đó là mối lo ngại cốt lõi với các công cụ như Phantom. Nó không nhất thiết làm cho bất kỳ cuộc tấn công đơn lẻ nào thông minh hơn. Nó làm cho các cuộc tấn công rẻ hơn để khởi chạy, điều này nâng cao mức rủi ro cơ bản cho tất cả mọi người, bao gồm cả những mục tiêu trước đây quá nhỏ để đáng cho nỗ lực thủ công của kẻ tấn công.

Xu hướng rộng lớn hơn của tấn công có sự hỗ trợ của AI không chỉ giới hạn ở ransomware. OpenAI đã tiết lộ rằng mô hình Astra của họ có thể tìm ra lỗ hổng zero-day và xây dựng khai thác hoạt động được, điều mà chúng tôi đã đề cập trong bài viết về Astra AI của OpenAI và khả năng tìm lỗ hổng zero-day và xây dựng khai thác. Cùng nhau, những phát triển này cho thấy AI đang rút ngắn thời gian và chuyên môn cần thiết để đi từ mục tiêu đến xâm phạm.

Điều này có ý nghĩa gì với bạn

Đối với cá nhân: Ransomware thường được liên kết với các công ty, nhưng tự động hóa làm cho việc nhắm mục tiêu rộng rãi, cơ hội trở nên dễ dàng hơn. Thiết bị cá nhân, văn phòng tại nhà và tài khoản đám mây chứa ảnh gia đình hoặc tài liệu có thể bị cuốn vào cùng các loại chiến dịch. Tác động thực tế là "không ai buồn tấn công tôi" là một giả định yếu hơn so với trước đây.

Đối với doanh nghiệp nhỏ: Các công ty nhỏ thường thiếu đội ngũ bảo mật chuyên dụng, điều này khiến họ trở nên hấp dẫn khi kẻ tấn công có thể mở rộng quy mô với chi phí thấp. Nếu xảy ra xâm nhập, bạn cũng cần nghĩ về phản ứng, bao gồm cả nghĩa vụ pháp lý. Ví dụ, tại Úc, các quy tắc báo cáo ransomware bắt buộc đang thay đổi cách các công ty nhỏ hơn xử lý các cuộc tấn công, như chúng tôi đã giải thích trong bài viết về Quy tắc báo cáo ransomware của Úc và rủi ro riêng tư đối với SME. Biết nghĩa vụ của bạn trước khi xảy ra sự cố dễ dàng hơn nhiều so với việc học chúng trong lúc sự cố đang diễn ra.

Không có gì trong báo cáo về Phantom cho thấy một phương pháp tấn công mới, không thể ngăn chặn. Điểm mấu chốt là khối lượng và khả năng tiếp cận, và đó chính xác là nơi vệ sinh bảo mật cơ bản mang lại hiệu quả.

Các biện pháp phòng thủ thực tế: MFA, vá lỗi, sao lưu và nhận thức về lừa đảo

Tự động hóa có xu hướng đánh vào những mục tiêu dễ nhất trước. Nâng cao chi phí xâm nhập vẫn là phản ứng hiệu quả nhất.

• Bật xác thực đa yếu tố (MFA). Ưu tiên email, lưu trữ đám mây, truy cập từ xa và tài khoản quản trị. Nơi có thể, hãy sử dụng ứng dụng xác thực hoặc khóa phần cứng thay vì mã SMS.
• Vá lỗi kịp thời. Cập nhật hệ điều hành, trình duyệt, thiết bị VPN và tường lửa, và phần mềm doanh nghiệp. Bật cập nhật tự động nơi bạn có thể, và duy trì danh mục các hệ thống hướng ra internet để không bỏ sót điều gì.
• Giữ bản sao lưu ngoại tuyến hoặc bất biến. Tuân theo phương pháp 3-2-1: ba bản sao, hai loại phương tiện, một bản được lưu ngoại tuyến hoặc ngoài tầm với của mạng chính. Kiểm tra khôi phục từ chúng thường xuyên.
• Giữ thận trọng với lừa đảo. Hãy hoài nghi về các tệp đính kèm bất ngờ, lời nhắc đăng nhập và yêu cầu thanh toán hoặc mật khẩu khẩn cấp. Xác minh qua một kênh riêng trước khi hành động.
• Hạn chế quyền truy cập. Sử dụng tài khoản quản trị và tài khoản hàng ngày riêng biệt, và loại bỏ quyền truy cập của những người không còn cần đến.
• Chuẩn bị một kế hoạch phản ứng đơn giản. Biết ai cần gọi, cách cô lập các thiết bị bị ảnh hưởng và các quy tắc báo cáo nào áp dụng cho bạn.

Điểm mấu chốt

Việc phát hiện khung ransomware AI Phantom cho thấy kẻ tấn công đang đầu tư vào tự động hóa để mở rộng quy mô xâm nhập ransomware, với các chi nhánh của INC và The Gentlemen nằm trong số những người được báo cáo là sử dụng nó. Bạn không thể kiểm soát cách tội phạm xây dựng công cụ của chúng, nhưng bạn có thể kiểm soát liệu tài khoản, hệ thống và bản sao lưu của bạn có phải là mục tiêu dễ hay không.

Hãy bắt đầu tuần này: bật MFA trên các tài khoản quan trọng nhất của bạn, cài đặt các bản cập nhật đang chờ, kiểm tra rằng bạn có bản sao lưu ngoại tuyến thực sự khôi phục được, và làm mới thói quen chống lừa đảo của bạn. Để biết thêm bối cảnh về tấn công có sự hỗ trợ của AI, hãy đọc bài viết của chúng tôi về Astra và phát hiện zero-day, và nếu bạn điều hành một doanh nghiệp nhỏ, hãy xem bài giải thích của chúng tôi về Quy tắc báo cáo ransomware cho SME của Úc để lập kế hoạch phản ứng sự cố của bạn.