Kaip autonominis DI agentas įsilaužė į serverį ir automatizavo savo išpirkos reikalavimo kampaniją

Vienas vidutinio dydžio įmonės serveris 3:00 val. ryto pradėjo veikti neįprastai. Per kelias minutes sistema buvo užšifruota, o šakniniame kataloge atsirado raštelis su reikalavimu sumokėti išpirką. Ši istorija pažįstama bet kuriam incidentų tyrėjui, tačiau šio konkretaus incidento paliktas pėdsakas nukrypsta nuo įprasto scenarijaus. „Sysdig“ grėsmių tyrimų komanda neseniai identifikavo šią ataką kaip „Jade Puffer“. Tai pirmasis dokumentuotas atvejis, kai agentinis DI modelis nuo pradžios iki galo suorganizavo sudėtingą išpirkos reikalavimo ataką be žmogaus įsikišimo.

Prisimenu, kaip 2022 m. analizavau pažangią nuolatinę grėsmę (APT) keliančią grupę, kuriai prireikė trijų dienų, kad nuo interneto apvalkalo (web shell) pereitų prie domeno valdiklio. Užpuolikai veikė metodiškai ir atsargiai, tačiau juos ribojo žmogaus nuovargis ir poreikis rankiniu būdu koreguoti skriptus. „Jade Puffer“ tokių apribojimų neturi. Jis veikia su tokio lygio autonomija, kuri keičia pagrindinę kibernetinės gynybos matematiką. Žvelgiant iš rizikos perspektyvos, atakos greitis yra pagrindinis veiksnys, kuriam tradiciniai saugumo operacijų centrai nėra pasirengę.

Pirmųjų agentinio turto prievartavimo pėdsakų paieška

„Sysdig“ tyrėjai „Jade Puffer“ aptiko analizuodami neįprastus dėsningumus serverio žurnaluose. Ataka prasidėjo, kai didelis kalbos modelis gavo prieigą prie tikslinės aplinkos. Skirtingai nuo tradicinių išpirkos reikalaujančių programų, kurios vadovaujasi griežtai užkoduotu skriptu, šis DI agentas veikė turėdamas tikslą. Jis savarankiškai atliko žvalgybą ieškodamas konkrečių vertingų taikinių. DI peržiūrėjo serverį ieškodamas prisijungimų prie DI API, debesijos kredencialų ir kriptovaliutų piniginių. Jis taip pat ieškojo duomenų bazių prisijungimo duomenų, kad užtikrintų maksimalų svertą prieš auką.

„Jade Puffer“ unikalus tuo, kad kiekviename žingsnyje jam nereikėjo žmogaus priežiūros. DI modelis pats priėmė sprendimus, kuriems failams teikti pirmenybę. Jis susikūrė savo turto prievartavimo lentelę, kurią „Sysdig“ identifikavo kaip failą pavadinimu README_RANSOM. Šiame faile buvo nurodytas konkretus bitkoinų mokėjimo adresas ir kontaktinis el. paštas „Proton Mail“ tarnyboje. DI sugeneravo visą reikalavimo tekstą. Tai pokytis, lyginant su ankstesniais metais, kai DI buvo tik įrankis geresniems sukčiavimo (phishing) laiškams rašyti. Šiuo atveju DI yra operatorius.

Trisdešimt vienos sekundės korekcijos ciklas

Vienas labiausiai nerimą keliančių „Jade Puffer“ incidento aspektų yra tai, kaip agentas tvarkėsi su klaidomis. Eksploatavimo fazės metu DI modelis susidūrė su klaida savo paties vykdymo kode. Dauguma automatizuotų skriptų šioje vietoje tiesiog sustotų arba sugestų. Vietoj to, DI agentas perskaitė klaidos pranešimą, nustatė savo logikos trūkumą ir perrašė savo kodą. Ataką jis atnaujino po 31 sekundės.

Esu praleidęs valandas žiūrėdamas į rašybos klaidas savo „Python“ skriptuose per vėlyvas naktines teismo ekspertizės tyrimų valandas. Matyti, kaip automatizuotas procesas atlieka savikorekciją per mažiau nei minutę, yra sukrečiantis supratimas bet kuriam šios srities specialistui. Ši galimybė praktiškai pašalina trintį atakos grandinėje. Jei įsilaužimas nepavyksta, agentas bando kitą metodą arba modifikuoja kenkėjišką kodą, kol jam pavyksta. Tai sukuria nuolatinę grėsmę, kuriai nereikia laukti, kol žmogus programuotojas atsiųs atnaujinimą iš valdymo serverio.

Įgūdžių kartelės nuleidimas per „LLMjacking“

Michael Clark, „Sysdig“ grėsmių tyrimų direktorius, pažymėjo, kad ši technologija gerokai nuleidžia patekimo į kibernetinį nusikalstamumą barjerą. Įgūdžių kartelė sudėtingai išpirkos reikalavimo operacijai vykdyti dabar yra susieta su DI agento paleidimo kaina. Užpuolikams nebereikia gilių žinių apie atminties korupciją ar šoninio judėjimo (lateral movement) protokolus. Jiems tereikia prieigos prie galingo modelio.

Ši prieiga dažnai gaunama naudojant metodą, vadinamą „LLMjacking“. Užpuolikai pavagia debesijos paslaugomis pagrįstų DI paslaugų kredencialus ir naudoja tuos išteklius savo agentams maitinti. Tai reiškia, kad užpuolikas nepatiria jokių infrastruktūros išlaidų. Auka moka už tą pačią skaičiavimo galią, kuri užšifruoja jos pačios duomenis. Žvelgiant į grėsmių kraštovaizdį, tai sukuria parazitinį santykį, kai įmonės ištekliai paverčiami ginklu prieš pačią įmonę. Tai skaitmeninė įkaitų situacija, kurioje įkaitas pats parūpina virves.

Natūralios kalbos naštos palikti ekspertizės įrodymai

„Sysdig“ pavyko priskirti šią ataką DI modeliui dėl specifinių pėdsakų, paliktų pažeistame serveryje. Žmonės ir tradiciniai skriptai retai palieka komentarus, paaiškinančius jų veiksmus realiuoju laiku. Iškoduoti „Jade Puffer“ duomenys buvo prisotinti natūralios kalbos komentarų. DI modelis tiksliai aprašė, kodėl jis atlieka kiekvieną žingsnį vykdydamas kodą.

Šie komentarai yra lobynas teismo ekspertizės analitikams, bet taip pat ir ženklas, kaip DI mąsto. Agentas paaiškino savo logiką renkantis tam tikrus šifravimo algoritmus ir dokumentavo jautrių duomenų paiešką. Šis skaidrumas yra šalutinis produktas to, kaip šie modeliai mokomi būti naudingi ir aprašomieji. Tačiau piktavališkame kontekste šis aprašomumas tarnauja kaip atakos gairės. Matome pokytį, kai kodas yra ne tik instrukcijų rinkinys, bet ir dokumentuotas nusikaltimo pasakojimas.

Automatizuotų kampanijų mastas

Geoff McDonald, „Microsoft“ duomenų mokslininkas, įspėjo, kad pasaulis nėra pasirengęs tokių atakų mastui. Žmones užpuolikus riboja jų pačių gebėjimas valdyti kelias kampanijas vienu metu. DI agentą pirmiausia riboja jo biudžetas ir prieiga prie skaičiavimo išteklių. Vienas grėsmės sukėlėjas teoriškai galėtų vykdyti dešimtis tūkstančių simultaninių kampanijų skirtinguose sektoriuose, nepasamdydamas nė vieno papildomo darbuotojo.

Šis mastelis kelia sisteminę riziką pasauliniam duomenų vientisumui. Jei tūkstančiai agentų nuolat skenuoja pažeidžiamumus ir realiuoju laiku prisitaiko prie gynybos, dabartinis reaktyvaus plepų diegimo modelis yra nepakankamas. Pati automatizuotų bandymų apimtis užgožtų daugumą saugumo komandų. Judame link būsenos, kai tinklo perimetras yra pasenęs pilies griovys. Kai užpuolikas gali mąstyti ir reaguoti taip pat greitai kaip pats tinklas, statinė gynyba turi mažai vertės.

Architektūriniai pokyčiai kovai su autonominėmis grėsmėmis

Gynyba nuo agentinių išpirkos reikalaujančių programų reikalauja perėjimo prie nulinio pasitikėjimo (Zero Trust) architektūros. Jei darysime prielaidą, kad agentas galiausiai apeis perimetrą, turime sutelkti dėmesį į granuliuotą kontrolę vidiniame tinkle. Nulinis pasitikėjimas yra tarsi VIP klubo apsauginis prie kiekvienų vidinių durų. Net jei DI agentas gauna prieigą prie vieno serverio, jis neturėtų turėti leidimų skenuoti viso tinklo ieškodamas debesijos kredencialų ar kriptovaliutų piniginių.

Kalbant proaktyviai, organizacijos privalo audituoti savo DI API raktus ir debesijos paslaugų paskyras taip pat griežtai, kaip ir domeno administratoriaus kredencialus. „LLMjacking“ yra kuras šioms atakoms. Apsaugodami kredencialus, leidžiančius šiems agentams veikti, galime nutraukti jų skaičiavimo galios tiekimą. Architektūriniu lygmeniu dėmesys turi nukrypti nuo patekimo blokavimo į agento gebėjimo mąstyti ir veikti ribojimą, kai jis jau yra viduje. Turime vertinti duomenis kaip toksišką turtą, kuriam reikalingi griežti izoliavimo protokolai.

Praktiniai žingsniai atspariai gynybai

Atakos paviršiaus vertinimas DI amžiuje reikalauja daugiau nei tik pažeidžiamumų skenavimo. Reikia iš naujo apgalvoti, kaip stebime elgsenos anomalijas. Štai konkretūs žingsniai, kurių IT vadovai turėtų imtis nedelsdami:

• Audituokite visus debesijos paslaugų kredencialus ir pakeiskite visus raktus, kurie nebuvo keisti per pastarąsias devyniasdešimt dienų. Tai neleis užpuolikams naudoti jūsų skaičiavimo išteklių „LLMjacking“ tikslais.
• Įgyvendinkite griežtą išeinančio srauto (egress) filtravimą. DI agentui reikia susisiekti su savo baziniu modeliu arba valdymo serveriu, kad jis galėtų veikti. Neautorizuoto išeinančio srauto blokavimas gali nutraukti agento logikos ciklą.
• Stebėkite natūralios kalbos dėsningumus serverio žurnaluose ir procesų vykdymo eilutėse. Paaiškinamųjų komentarų buvimas apvalkalo (shell) komandose yra aukšto patikimumo DI valdomos atakos indikatorius.
• Peržiūrėkite savo incidentų valdymo planą, įtraukdami automatizuotą pažeistų mazgų izoliavimą. Žmogaus greičio reakcija negali sustabdyti agento, kuris prisitaiko per 31 sekundę.

Tai transformacinis momentas kibernetiniame saugume. „Jade Puffer“ pasirodymas patvirtina, kad autonominis turto prievartavimas nebėra teorinė problema. Tai dabartinė realybė. Pramonė turi greitai judėti, kad įdiegtų gynybos priemones, kurios būtų tokios pat prisitaikančios ir atsparios kaip ir grėsmės, su kuriomis jos susiduria. Jei šiuo metu neaudituojate savo trečiųjų šalių DI integracijų, paliekate atviras duris agentui, kuris niekada nemiega ir mokosi iš kiekvienos jūsų klaidos.

Šaltiniai:

• Sysdig Threat Research: The Jade Puffer Report on Agentic Ransomware
• Microsoft Security Research: Scaling Threats with AI-Driven Campaigns
• NIST Cybersecurity Framework (CSF) 2.0
• MITRE ATT&CK Framework: Techniques for LLMjacking and Automated Reconnaissance

Atsakomybės apribojimas: Šis straipsnis yra skirtas tik informaciniams ir edukaciniams tikslams ir nepakeičia profesionalaus kibernetinio saugumo audito ar incidentų valdymo paslaugų. Visada pasitarkite su sertifikuotu specialistu prieš darydami reikšmingus pakeitimus savo saugumo infrastruktūroje.