Cơ sở hạ tầng của kẻ tấn công bị lộ đã cho các nhà nghiên cứu một cái nhìn hiếm hoi về cách các chi nhánh ransomware đang đưa AI vào hoạt động. Theo báo cáo từ The Hacker News, các chi nhánh này đã sử dụng quy trình AI được con người phê duyệt để khai thác các hệ thống biên, đánh cắp dữ liệu và nhắm vào ước tính 62 tổ chức. Câu chuyện này là một lời nhắc nhở hữu ích rằng các chiến dịch tác nhân AI ransomware nhắm vào thiết bị biên không còn là mối lo lý thuyết nữa, và phần cứng nằm ở rìa mạng của bạn đáng được quan tâm thực sự.
Nguồn tài liệu khá ngắn gọn, vì vậy bài viết này chỉ bám sát những gì đã được báo cáo và tập trung vào những gì người đọc có thể làm về vấn đề này.
Cách các chi nhánh sử dụng tác nhân AI để thực hiện xâm nhập
Chi tiết quan trọng là cụm từ "được con người phê duyệt." Báo cáo mô tả các quy trình AI trong đó một người vẫn nằm trong vòng kiểm soát để phê duyệt từng bước, thay vì một hệ thống hoàn toàn tự động hành động một mình. Trên thực tế, điều đó có nghĩa là AI đảm nhận phần lớn công việc xâm nhập lặp đi lặp lại trong khi một chi nhánh là con người ký duyệt những gì xảy ra tiếp theo.
Mô hình đó quan trọng vì nó làm giảm công sức cần thiết để thực hiện một cuộc tấn công. Những nhiệm vụ từng đòi hỏi một người vận hành có kỹ năng làm việc qua từng giai đoạn có thể được tăng tốc, trong khi con người vẫn giữ quyền kiểm soát các quyết định then chốt. Các chi nhánh trong trường hợp này đã sử dụng những quy trình này để khai thác hệ thống biên và đánh cắp dữ liệu.
Điều này phù hợp với một xu hướng rộng hơn về tự động hóa trong tội phạm mạng. Để biết thêm về cách các công cụ AI đang định hình lại kinh tế học của kẻ tấn công, hãy xem báo cáo trước đây của chúng tôi về cách một công cụ AI có tên Hermes hỗ trợ các cuộc tấn công ransomware.
Tại sao cổng VPN và router lại là điểm xâm nhập
Hệ thống biên là những thiết bị đối mặt với internet mở: cổng VPN, router, tường lửa và các thiết bị tương tự. Chúng hấp dẫn kẻ tấn công vì một lý do đơn giản. Chúng có thể truy cập được từ bất kỳ đâu, chúng thường nằm ngoài phạm vi giám sát bao phủ laptop và máy chủ, và chúng có thể cung cấp một con đường trực tiếp vào mạng nội bộ.
Khi kẻ tấn công xâm nhập một trong những thiết bị này, chúng có thể tiếp cận các tài nguyên nội bộ và lấy dữ liệu ra ngoài mà không cần chạm vào máy tính của người dùng. Đó là lý do tại sao trọng tâm được đề xuất ở đây là vệ sinh vành đai. Một thiết bị được thiết kế để bảo vệ quyền truy cập có thể trở thành con đường xâm nhập nếu nó bị lộ, lỗi thời hoặc cấu hình kém.
Cần nói chính xác: báo cáo mà chúng tôi có không nêu tên sản phẩm hoặc lỗ hổng cụ thể nào, và chúng tôi sẽ không đoán về chúng. Bài học là về loại thiết bị, không phải một nhà cung cấp cụ thể.
Cơ sở hạ tầng bị lộ tiết lộ gì về 62 mục tiêu
Cơ sở hạ tầng bị lộ là thứ cho phép các nhà nghiên cứu ước tính rằng khoảng 62 tổ chức đã bị nhắm mục tiêu. Con số đó là một ước tính, và nó phản ánh những gì hiển thị trong chính thiết lập của kẻ tấn công chứ không phải là số lượng xâm nhập thành công đã được xác nhận.
Một vài điểm nổi bật:
- Kẻ tấn công cũng mắc lỗi. Máy chủ của kẻ tấn công bị cấu hình sai hoặc bị lộ có thể tiết lộ công cụ, quy trình và danh sách mục tiêu mà các nhà phòng thủ nếu không sẽ không bao giờ thấy.
- Việc nhắm mục tiêu có vẻ có hệ thống. Một danh sách hàng chục tổ chức cho thấy một quy trình có thể lặp lại chứ không phải một cuộc xâm nhập đơn lẻ.
- Đánh cắp dữ liệu là một phần của kịch bản. Các chi nhánh không chỉ nhắm đến mã hóa; chúng còn đánh cắp dữ liệu, điều này tạo thêm áp lực cho nạn nhân.
Bài học rộng hơn là hỗ trợ AI có thể giúp các chi nhánh mở rộng quy mô. Ngay cả khi một người phê duyệt hành động, một người vận hành duy nhất có thể xử lý nhiều mục tiêu cùng lúc.
Điều này có ý nghĩa gì với bạn
Nếu bạn điều hành một mạng doanh nghiệp, bạn là đối tượng trực tiếp nhất. Bất kỳ thiết bị VPN, tường lửa hoặc router nào chấp nhận kết nối từ internet đều là một phần bề mặt tấn công của bạn, và kẻ tấn công đang tìm kiếm những thiết bị bị bỏ mặc không vá hoặc không được quản lý.
Nếu bạn là người dùng gia đình, hồ sơ rủi ro khác đi nhưng không phải bằng không. Router gia đình thường được xuất xưởng với các tùy chọn quản trị từ xa mà nhiều người không bao giờ xem xét. Để chúng bật và không được vá là kiểu lỗ hổng mà công cụ tự động được xây dựng để tìm ra.
Không có gì trong số này đòi hỏi phải hoảng loạn. Nó đòi hỏi bảo trì định kỳ mà nhiều người bỏ qua.
Cách kiểm tra và tăng cường thiết bị biên của bạn
Bắt đầu với khả năng hiển thị, sau đó giảm thiểu phơi nhiễm.
- Tìm hiểu những gì đang bị lộ. Liệt kê mọi router, cổng VPN và tường lửa đối mặt với internet. Kiểm tra giao diện quản lý và cổng nào có thể truy cập được từ bên ngoài mạng của bạn.
- Vá firmware. Kiểm tra trang cập nhật của nhà cung cấp và áp dụng firmware hiện tại. Bật cập nhật tự động nếu thiết bị hỗ trợ.
- Tắt truy cập từ xa không cần thiết. Nếu bạn không cần quản trị từ xa, hãy tắt nó đi. Ở nơi bạn cần, hãy giới hạn nó cho các địa chỉ tin cậy cụ thể.
- Bật MFA. Yêu cầu xác thực đa yếu tố trên đăng nhập VPN và bảng quản trị, và thay thế mật khẩu mặc định hoặc dùng lại.
- Xem lại nhật ký. Tìm các đăng nhập bất thường, thay đổi cấu hình không mong đợi hoặc truyền dữ liệu ra ngoài với khối lượng lớn.
- Loại bỏ phần cứng hết hạn sử dụng. Các thiết bị không còn nhận được cập nhật bảo mật là một rủi ro thường trực.
Những điểm chính cần ghi nhớ
Chiến dịch được báo cáo cho thấy các cuộc tấn công của tác nhân AI ransomware nhắm vào thiết bị biên hiệu quả nhất đối với thiết bị bị lộ và bị bỏ mặc. Quy trình AI được con người phê duyệt giúp các chi nhánh di chuyển nhanh hơn, nhưng các điểm xâm nhập vẫn bình thường: thiết bị đối mặt internet với cài đặt yếu.
Tuần này, hãy kiểm tra router hoặc thiết bị VPN của bạn về phơi nhiễm internet, vá firmware, tắt truy cập từ xa mà bạn không cần, và bật MFA. Để biết thêm bối cảnh về cách tự động hóa đang thay đổi ransomware, hãy đọc bài viết của chúng tôi về công cụ ransomware Hermes.
