Вымогатели с ИИ пока чаще появляются в прогнозах, чем в разборах инцидентов, но атаки уже ускоряются. В цикле Malware Month у The Register Микко Хиппонен подводит итог десяти лет корпоративных шифровальщиков и конца им не видит. Командам в РФ и СНГ стоит смотреть не на даты, а на часы между украденной учёткой и шифрованием.

Десять лет корпоративных шифровальщиков: почему конца не видно?

The Register выпустила в цикле Malware Month материал к десятилетию первой корпоративной атаки вымогателей. Главная мысль Микко Хиппонена (Mikko Hyppönen) вынесена в заголовок: конца не видно. Подзаголовок издания мрачно шутит, что работа в ИБ поэтому остаётся надёжной ставкой на долгую карьеру.

Схема за десять лет почти не изменилась. Злоумышленники проникают в сеть, закрепляются, выгружают данные, шифруют и требуют плату дважды: за ключ и за молчание. Изменились скорость и разделение труда. ИИ продолжает ту же линию: нового типа атаки он не придумывает, но каждый шаг обходится дешевле.

В соседних материалах The Register этот тезис хорошо виден. Злоумышленники из России выдают себя за поддержку Signal и рассылают фишинг. Локальный SharePoint атакуют через zero-day, потому что патчи Microsoft не закрыли уязвимость. Обе новости рассказывают про точки входа, и как раз через такие точки обычно начинается шифрование.

Чем вымогатели с ИИ отличаются от обычных?

Под «вымогателями с ИИ» обычно понимают одно из четырёх: фишинг, написанный моделью, автоматический поиск уязвимостей, агента, который сам ведёт вторжение, или генерацию новых вариантов вредоноса. Итог в любом случае прежний: простой систем и шантаж утечкой.

Предпосылки атаки тоже прежние:

• VPN, RDP и вход в SaaS доступны из интернета;
• MFA слабая или обходится через исключения;
• сервисные учётные записи с лишними правами;
• резервные копии управляются из того же домена;
• выгрузку данных наружу никто не замечает.

Если этих условий нет, злоумышленник с моделью упирается в ту же стену, что и без неё.

Где ИИ уже ускоряет атаку вымогателей?

Быстрее всего ИИ работает там, где раньше уходило человеческое время. Типовая цепочка такая: разведка, фишинг или украденная учётка, повышение прав, перемещение по сети, выгрузка, шифрование.

Рынок Ransomware-as-a-Service давно делится на разработчиков, аффилиатов, брокеров начального доступа и переговорщиков. Каждый экономит часы на своём участке:

• разведка: модель по вакансиям и открытым профилям за минуты собирает оргструктуру, подрядчиков и стек;
• фишинг: письмо в духе фальшивой поддержки Signal на чистом русском под конкретного сотрудника;
• сортировка украденных доступов: сессии, токены и ключи ранжируются по ценности без ручного разбора.

Мы уже писали, как вымогатели уже автоматизируют атаки с помощью ИИ. Это происходит сейчас, а не в отдалённом будущем.

Отсюда практический вывод: живые сессии и ключи ценнее паролей. Если сменить пароль и не отозвать сессии, токены и ключи у провайдера, окно атаки останется открытым. С защитой то же самое: ИИ ускоряет и пентестеров, подробнее в разборе о том, как ИИ уже изменил пентест.

Что закрыть до начала шифрования?

Закрывать нужно учётные записи, сессии, подрядчиков, резервные копии и периметр. Ниже наши рабочие ориентиры, их можно проверить на учениях:

• MFA, устойчивая к фишингу (FIDO2, аппаратные ключи), на VPN, RDP, IdP и почте, без исключений «для одного сервиса».
• Отзыв доступа: регламент, по которому все сессии, токены и ключи пользователя гасятся не дольше чем за час после подозрения.
• Журналы IdP, VPN, EDR и почты храните минимум 90 дней, лучше 180, и вне основного домена.
• CI/CD: сервисные учётки с узкими правами, секреты в хранилище, а не в репозитории.
• Подрядчики: отдельные учётки, доступ на срок, журнал действий. Команда подрядчика с правами администратора в проде сама по себе становится поверхностью атаки.
• Резервные копии: хотя бы одна неизменяемая или офлайн-копия, администраторы копий отдельно от доменных. Раз в квартал восстанавливайте реальный сервис и замеряйте RTO и RPO.
• Патчи интернет-сервисов ставьте по графику и проверяйте результат: история с SharePoint показывает, что установленный патч ещё не значит закрытую уязвимость.

Из практики. На учениях мы начинаем с украденной рабочей учётки VPN или SaaS и засекаем время до обнаружения, отзыва сессий и изоляции сегмента. Чаще проваливается не обнаружение, а отзыв: токены живут дольше, чем думает команда.

Вторая беда: журналы хранятся слишком мало, и после инцидента точку входа уже не найти. Такой сценарий удобно отрабатывать на Red Team, симуляции целевой атаки.

Что делать, если данные уже украли?

При двойном вымогательстве резервные копии спасают от простоя, но не от публикации. Украденные данные остаются рычагом давления даже после полного восстановления систем, поэтому выгрузку надо ловить раньше шифрования.

У российских операторов персональных данных сроки жёсткие. По 152-ФЗ о факте инцидента Роскомнадзор нужно уведомить в течение 24 часов, о результатах внутреннего расследования в течение 72 часов. Распишите заранее, кто принимает решение, кто готовит уведомление и кто собирает журналы. В день атаки на это времени не будет.

Частые вопросы

Чем вымогатели с ИИ отличаются от обычных?

Скоростью и ценой каждого шага. Модель ускоряет разведку, пишет фишинг на языке жертвы и сортирует украденные доступы, но входят злоумышленники по-прежнему через фишинг, учётки и непропатченные сервисы.

Помогает ли смена пароля, если сессии уже украдены?

Сама по себе нет. Нужно отозвать активные сессии, токены и ключи у провайдера, иначе злоумышленник остаётся внутри. Наш ориентир: не дольше часа после подозрения.

Какие резервные копии переживают шифрование?

Неизменяемые или офлайн-копии, которыми управляют отдельные администраторы, не из основного домена. Восстановление реального сервиса стоит проверять хотя бы раз в квартал.

Что проверять в доступах подрядчиков?

Отдельные учётки для каждого подрядчика, срок действия доступа, минимальные права и журнал действий. Постоянные права администратора в проде у внешней команды лучше убрать.

Какие сроки уведомления действуют в России при утечке?

По 152-ФЗ Роскомнадзор уведомляют о факте инцидента в течение 24 часов, а о результатах внутреннего расследования в течение 72 часов.

Хотите узнать, сколько времени у вас пройдёт от украденной учётки до шифрования? Команда HirexTech проведёт тестирование на проникновение по реалистичному сценарию вымогателей.