MI-ügynökökre bízta a hálózatok feltérképezését az Aur0ra bandája
Jelszavakat kerestek és egyes hálózatokon tartománykezelői jogosultságot is szereztek azok az MI-ügynökök, amelyeket az Aur0ra zsarolóvírus mögött álló csoport használt. A Sophos vizsgálata szerint a behatolást és a kártevő telepítését továbbra is emberek irányították.
A támadók célokat és hozzáférést adtak az ügynököknek
A Sophos augusztus végén a Cursor MI-alapú programozási asszisztenshez kapcsolódó nyomokat talált. Ezek alapján a cég által GOLD OGRE néven követett csoport belépési adatokat, proxyhozzáférést, célpontokat és feladatokat adott az ügynököknek.
Az eszközök ezután feltérképezték a hálózatot és az Active Directory környezetet. Jelszavakat kerestek hálózati megosztásokban, dokumentumokban és biztonsági mentésekben, majd kevés emberi közreműködéssel haladtak tovább a hálózaton.
Néhány hálózaton tartománykezelői hozzáférést is szereztek. Ezen áldozatok közül három később megjelent az Aur0ra adatszivárogtató oldalán.
Az utasításokból a támadók módszerei is látszanak
A kutatók az ügynököknek adott utasításokból is megszereztek néhányat. Az egyikben az irányító azt állította, hogy egy Windows AD-hálózatot kell tesztelni, és felajánlotta, hogy SOCKS5-proxyt és felhasználói fiókokat állít be.
Egy másik utasítás arra kérte az ügynököt, hogy ne próbálkozzon tovább a tartományi rendszergazdai fiókok jelszavainak találgatásával, hanem keressen kevésbé feltűnő módszereket. Egy további kérés a mentési és NAS-szerverek, valamint a virtualizációs rendszerek felkutatására szólt.
A naplókban cirill betűs elütések is voltak. A Sophos szerint ezek arra utalnak, hogy az operátorok oroszul beszélnek.
Engedélyezett tesztnek állították be a behatolást
A támadók az MI-eszközökbe épített korlátozásokat úgy próbálták megkerülni, hogy a behatolásokat engedélyezett biztonsági tesztként vagy diagnosztikai vizsgálatként írták le. A Cursor Composer modellje mellett az Anthropic, az xAI és a Moonshot modelljeit is használták.
A Sophos elemzése szerint eleinte szinte kizárólag az Anthropic modelljeire támaszkodtak, később vontak be másokat. A váltás a cég szerint összefügghet azzal, hogy az eszközök készítéséről áttértek a behatolásokra.
A kutatók nagy bizonyossággal úgy értékelik, hogy a GOLD OGRE MI-vel tesztelte, megkerülhetik-e eszközei az EDR-termékeket, majd hasonló technológiát adott az Aur0ra-támadásokban részt vevő társainak.
A Sophos szerint a gyors reagálás továbbra is számít
A Sophos szerint az MI felgyorsíthatja a támadási folyamat egyes szakaszait, és csökkentheti a támadáshoz szükséges technikai tudás mértékét. A kutatók azt is nagyon valószínűnek tartják, hogy más zsarolóvírusos csoportok is beépítenek MI-ügynököket a működésükbe.
A cég szerint a meglévő védelmi intézkedések továbbra is hatékonyak. Ide sorolja az internet felől elérhető eszközök javítását, az adathalászatnak ellenálló többtényezős hitelesítést és az EDR-riasztások figyelését. A sikeres védekezéshez azonban gyors válaszra van szükség.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum