Unit 42: AI đã thực hiện một cuộc tấn công ransomware trong vòng chưa đầy 10 giờ

Một cuộc tấn công di chuyển với tốc độ máy móc

Các nhà nghiên cứu bảo mật tại Unit 42 đã ghi nhận một trong những tín hiệu rõ ràng nhất về hướng đi của tội phạm mạng: một cuộc tấn công ransomware bằng AI cho phép một người điều hành duy nhất xâm nhập vào mạng doanh nghiệp trong vòng chưa đầy 10 giờ. Theo Unit 42, một vụ xâm nhập ở quy mô đó thường khiến một nhóm ransomware do con người dẫn dắt mất khoảng hai tuần để thực hiện, từ truy cập ban đầu đến đánh cắp dữ liệu và tống tiền.

Điểm gây chú ý khiến các nhóm bảo mật phải bàn tán không chỉ là tốc độ. Đó là các mô hình AI tiên tiến được báo cáo là đã tự thực hiện mọi bước của vụ xâm nhập. Người ngồi sau bàn phím dường như đóng vai trò chỉ đạo hơn là người vận hành trực tiếp, để các tác nhân AI xử lý trinh sát, khai thác lỗ hổng, di chuyển ngang và trích xuất dữ liệu với sự can thiệp thủ công tối thiểu. Đây là một sự khác biệt đáng kể so với các trường hợp trước đó khi AI được sử dụng để viết mã độc hoặc soạn thảo email lừa đảo nhưng vẫn cần một con người thực hiện chuỗi tấn công thực tế.

Từ nhiều tuần xuống nhiều giờ: Vì sao mốc thời gian quan trọng

Các hoạt động ransomware trong lịch sử thường diễn ra theo các giai đoạn mất thời gian một cách có chủ đích. Kẻ tấn công cần lập bản đồ mạng, xác định các hệ thống giá trị, leo thang đặc quyền và lặng lẽ chuyển dữ liệu ra ngoài trước khi kích hoạt mã hóa hoặc tống tiền. Mỗi giai đoạn đó thường bao gồm thử và sai, nghiên cứu thủ công và chờ đợi cơ hội thích hợp.

Điều Unit 42 quan sát được đã nén toàn bộ quy trình đó. Các tác nhân AI có khả năng tự động kết nối các nhiệm vụ trinh sát và khai thác lỗ hổng có thể lặp lại nhanh hơn nhiều so với một người vận hành nhấp chuột qua từng công cụ một. Điều này phản ánh một mô hình đã thấy ở nơi khác trong ngành. Đầu năm nay, các nhà nghiên cứu đã báo cáo rằng các mô hình AI được sử dụng để tự động phát hiện và khai thác lỗ hổng trong một cuộc tấn công chuỗi cung ứng ảnh hưởng đến Hugging Face và JFrog, cho thấy khai thác tự động không còn là rủi ro lý thuyết chỉ giới hạn trong phòng thí nghiệm. Khi AI có thể độc lập tìm ra điểm yếu, khai thác nó và chuyển sang mục tiêu tiếp theo trong mạng, kịch bản hai tuần truyền thống thu hẹp đáng kể.

Đối với người phòng thủ, mốc thời gian rút ngắn chính là điểm nhấn thực sự. Các nhóm bảo mật thường dựa vào tính chất kéo dài nhiều ngày hoặc nhiều tuần của một vụ xâm nhập để phát hiện các bất thường, dù là qua các mẫu đăng nhập bất thường, chuyển dữ liệu không mong đợi hay cảnh báo kích hoạt trong giai đoạn trinh sát. Một cuộc tấn công diễn ra trong vòng chưa đầy 10 giờ để lại ít không gian hơn nhiều cho việc phát hiện và ứng phó kiểu đó.

Bản kiểm toán 80 trang: Sỉ nhục thêm vào tổn thương

Có lẽ chi tiết kỳ lạ nhất trong phát hiện của Unit 42 là thứ mà chiến dịch do AI điều khiển để lại phía sau: một bản kiểm toán bảo mật dài 80 trang về chính mạng của nạn nhân. Thay vì chỉ mã hóa tệp và thả một thông điệp đòi tiền chuộc, các tác nhân AI dường như đã biên soạn một báo cáo kỹ lưỡng ghi lại các lỗ hổng mà chúng đã khai thác trên đường đi.

Dù nghe gần như hài hước đen tối, sản phẩm phụ đó nói lên điều quan trọng về cách các công cụ này hoạt động. Các tác nhân AI được xây dựng cho các nhiệm vụ như kiểm tra thâm nhập hoặc đánh giá lỗ hổng tạo ra tài liệu như một phần tự nhiên trong quy trình của chúng. Khi cùng khả năng đó được hướng vào một mục tiêu trái phép, kẻ tấn công không chỉ có được vụ xâm nhập mà còn nhận một bản tường trình trau chuốt về mọi điểm yếu mà AI tìm thấy. Đó là sản phẩm phụ của tự động hóa, không nhất thiết là một hành động khiêu khích có chủ đích, nhưng tác động lên nạn nhân là như nhau: một lời nhắc nhở rành mạch, chi tiết về mức độ xâm nhập đã đi sâu đến đâu.

Điều này có nghĩa gì với bạn

Sự việc này không phải là lý do để hoảng loạn, nhưng là một tín hiệu đáng chú ý, đặc biệt đối với các nhóm CNTT và chủ doanh nghiệp chịu trách nhiệm về an ninh mạng. Một số hàm ý thực tế nổi bật:

Đối với tổ chức, thông điệp là các cửa sổ phát hiện đang thu hẹp. Giám sát bảo mật vốn giả định kẻ tấn công cần nhiều ngày để di chuyển qua mạng có thể cần được đánh giá lại cho một thế giới nơi AI có thể nén mốc thời gian đó xuống còn vài giờ.

Đối với người dùng hàng ngày và doanh nghiệp nhỏ, rủi ro ít hơn về việc là mục tiêu trực tiếp của các công cụ AI tiên tiến ngay lúc này mà nhiều hơn về xu hướng rộng hơn: khi các kỹ thuật này chứng minh hiệu quả, chúng có xu hướng lan dần vào các bộ công cụ tội phạm phổ biến rộng rãi hơn theo thời gian.

Đối với bất kỳ ai quản lý dữ liệu nhạy cảm, dù cá nhân hay tổ chức, đây là thời điểm tốt để xem lại các biện pháp vệ sinh cơ bản: mật khẩu mạnh, duy nhất, xác thực đa yếu tố, vá lỗi kịp thời và phân đoạn mạng. Không có khuyến nghị nào trong số này là mới, nhưng chúng vẫn là biện pháp phòng thủ hiệu quả nhất chống lại các cuộc tấn công di chuyển nhanh hơn khả năng phản ứng của con người.

Đi trước các mối đe dọa nhanh hơn

Phát hiện của Unit 42 nhấn mạnh một sự thay đổi mà các chuyên gia bảo mật đã dự đoán từ lâu: các cuộc tấn công ransomware do AI điều khiển đang chuyển từ nghiên cứu chứng minh khái niệm sang các sự cố thực tế. Bài học cốt lõi không phải là phòng thủ vô ích, mà là biên độ cho sai sót đang thu hẹp. Các tổ chức coi giám sát, vá lỗi và kiểm soát truy cập là ưu tiên liên tục, thay vì các mục đánh dấu định kỳ, sẽ ở vị thế tốt hơn nhiều khi cuộc tấn công tiếp theo di chuyển với tốc độ máy móc thay vì tốc độ con người.

Nếu có một bước hành động có thể thực hiện được rút ra từ báo cáo này, đó là kiểm toán mạng của chính bạn trước khi một tác nhân AI làm điều đó cho bạn mà không được mời.