Help Net Security的一份报告描述了勒索软件团伙运作方式中一个令人担忧的转变。据报道，Aur0ra勒索软件背后的团伙将窃取的凭据交给了AI智能体，并让它们在受害者网络中移动，以获取域管理员权限。简而言之，AI智能体、勒索软件和窃取凭据的组合不再仅仅是理论上的风险。它正被用于完成曾经需要熟练人工操作员才能完成的工作。
公开细节有限，因此对我们已知和未知的内容保持谨慎是值得的。以下是报告的内容、为何重要，以及哪些实际步骤可以降低你的暴露风险。
Aur0ra团伙利用AI智能体做了什么
根据该报告，Aur0ra的操作者并非仅仅使用AI来撰写钓鱼邮件或润色勒索信。他们将窃取的凭据交给了AI智能体，并让这些智能体在受害者网络中穿行，目标是获取域管理员权限。
在此语境下，AI智能体是一种能够接受目标、决定步骤、运行命令、读取结果并进行调整的软件。不再是人类攻击者输入每条命令并解读每个响应，智能体会自行完成这一循环中的大部分工作。据报道的目标是域管理员，这一访问级别通常可以控制基于Windows的组织中的大多数账户和机器。
来源摘要未提供进一步的技术细节，因此我们不会推测智能体使用了哪些工具或影响了多少受害者。
窃取的凭据如何变为域管理员权限
窃取的凭据通常是网络入侵的起点。用户名和密码、会话令牌或远程访问登录可以让攻击者从正门走入，而无需破墙而入。
从那时起，网络接管的总体模式对防御者来说并不陌生：
- 攻击者使用有效账户登录，这看起来可能像正常活动。
- 他们探索网络以了解存在哪些系统和账户。
- 他们寻找更强大的凭据或配置错误，以便横向移动。
- 他们不断升级，直到拥有域管理员权限。
一旦攻击者拥有域管理员权限，同时向许多系统部署勒索软件就变得容易得多。这就是为什么Aur0ra智能体据报的目标如此重要。域管理员是入侵可能转变为全组织危机的节点。
关键教训是，这一链条始于一次有效登录。强大的凭据保护和对远程访问的严格控制，攻击的是该过程中最早且成本最低的环节。
为什么AI降低了勒索软件攻击者的门槛
从历史上看，在网络中移动以获取域管理员权限需要耐心、经验和时间。攻击者必须读取结果、做出判断，并避免触发警报。这种劳动限制了单个团伙能够处理多少受害者。
自动化改变了这一等式。如果AI智能体能够处理大部分探索和升级工作，一个团伙可能只需要更少的熟练人员，并且每个受害者所需的亲自动手时间也更少。据报道的Aur0ra活动表明：
- 经验较少的操作者可能尝试曾经需要专业知识的入侵。
- 有经验的操作者可能并行执行更多入侵。
- 从初始访问到完全攻陷的时间可能缩短，留给防御者的反应空间更少。
这些是对所报道行为的合理推断，而非已确认的测量结果。尽管如此，勒索软件团伙在调整其工具和基础设施以保持有效性方面有着长期记录。我们关于DeadLock勒索软件添加Session应用以逃避打击的报道从另一个角度展示了同样的模式：当某些东西阻碍操作者时，他们会不断改变方法，并采用任何能让工作更便宜、更具韧性的手段。
这对你意味着什么
好消息是，AI智能体仍然需要一些东西来发挥作用。在报道的案例中，那就是窃取的凭据。防御者无法控制攻击者的工具多么聪明，但他们可以控制一个被盗登录究竟有多大用处。
对个人而言，这提醒我们，重复使用或泄露的密码可能成为更大链条中的第一环，尤其是当你在工作和个人服务中使用相同的登录信息时。对小型企业和IT团队而言，这意味着远程访问系统，包括VPN网关和远程桌面服务，应像任何其他入口点一样受到严格审查。
如何降低基于凭据的攻击暴露风险
这些步骤都不稀奇，并且它们结合起来会使被盗密码的价值大大降低：
- 审计你的密码。 使用密码管理器为每个账户设置唯一且长的密码。更改任何已在已知泄露事件中出现的密码。
- 开启多因素认证（MFA）。 尽可能优先使用基于应用或基于硬件的方法，而非短信，并在电子邮件、管理员账户和所有远程访问上要求MFA。
- 审查VPN和远程访问设置。 确认谁有访问权限，移除不再需要的账户，并确保远程登录要求MFA。保持网关软件已打补丁。
- 限制权限。 日常账户不应拥有管理员权限。强大的账户越少，通往域管理员的路径就越少。
- 留意异常登录。 在奇怪时间、来自不熟悉位置或登录到用户从不接触的系统的登录，值得进一步检查。
- 保留离线备份。 经过测试且攻击者无法触及的备份为你提供了一种无需支付赎金即可恢复的方式。
底线
Aur0ra报告清楚地展示了AI智能体、勒索软件和窃取凭据结合在一起，自动化了向域管理员攀升的过程。攻击者的工具可能正变得更快，但入口点仍然是你能够加固的东西。从本周开始：审计你的密码，在所有提供的地方启用MFA，并审查你的VPN和远程访问设置。欲了解更多关于勒索软件操作者如何调整其工具和基础设施的信息，请阅读我们关于DeadLock勒索软件及其使用Session应用的文章。
