Кейс: Кража данных с помощью ИИ всего за три часа

Специалисты департамента комплексного реагирования на киберугрозы Positive Technologies (PT ESCIR) впервые в своей практике расследовали успешную атаку на инфраструктуру российской компании, которая, предположительно, была полностью произведена ИИ-агентами.

От первоначального проникновения через внешний сервис до утечки конфиденциальной информации из внутренних критически важных систем прошло около трёх часов.

Атаку отличали высокая скорость и большое количество действий за короткое время. При этом некоторые шаги взломщиков выглядели нелогичными с точки зрения человека: они получили доступ к более чем десяти узлам корпоративной инфраструктуры, используя разные способы доставки инструментов и адаптируя их под конкретные задачи.

В ходе акции появлялись десятки скриптов, которые запускались на нескольких серверах с интервалом в секунды. Хакеры не только создавали и изменяли инструменты, но и настраивали рабочее окружение под свои задачи: устанавливали необходимые библиотеки и программные компоненты. Технически сложные действия сочетались с простыми ошибками — например, неверным синтаксисом команд или неправильными названиями компонентов. После неудачных попыток быстро следовали исправления или новые способы решения задачи.

«Мы уже наблюдали экспериментальные атаки с использованием ИИ, а злоумышленники давно применяют его на отдельных этапах. Но это первый случай в практике PT ESC IR, когда мы расследовали успешную атаку на инфраструктуру Linux и Windows, предположительно полностью проведенную ИИ-агентами. На это указывают скорость и характер действий. Агенты одновременно пробовали разные способы продвижения по инфраструктуре, допускали ошибки и практически сразу их исправляли. Атака была очень шумной и развивалась необычайно быстро. Примечательно и то, что первоначальный доступ был получен через ошибку в конфигурации внешнего сервиса, которую довольно трудно обнаружить вручную. Все это даёт нам основания предполагать, что ИИ-агенты могли самостоятельно пройти всю цепочку атаки — от первоначального проникновения до утечки данных», — отметил Денис Гойденко, руководитель департамента комплексного реагирования на киберугрозы Positive Technologies.

Применение агентов может существенно усложнить установление того, кто стоит за взломом. Инструменты создаются и изменяются непосредственно в ходе акции, а последовательность действий не всегда соответствует привычным сценариям работы злоумышленников. В таких условиях специалистам сложнее опираться на характерные приёмы и инструменты, которые традиционно помогают связывать атаки с конкретными группировками.

Развитие автономных атак меняет и требования к защите корпоративной инфраструктуры. Если раньше многие действия хакеров зависели от скорости работы человека, то боты способны выполнять множество задач за минуты. Это сокращает время, за которое защитникам необходимо обнаружить кибератаку и остановить её развитие.

«В PT ESC IR мы всегда уделяли большое внимание автоматизации расследования и реагирования на киберинциденты. Но теперь меняется сам характер угроз. Если атаки начинают развиваться без постоянного участия человека, прежнего уровня автоматизации уже недостаточно. Защитникам нужны инструменты, способные с сопоставимой скоростью обнаруживать подозрительную активность, анализировать происходящее и помогать останавливать атаку. Именно над развитием таких возможностей мы сейчас активно работаем», — добавил Денис Гойденко.