В то время как искусственный интеллект (ИИ) сокращает промежуток времени между обнаружением уязвимости и её использованием, а также снижает барьер для входа злоумышленников, новые данные компании Sysdig показывают, что опытные операторы-люди могут действовать столь же оперативно после получения первоначального доступа.
В одном из примеров, приведённом компанией, специализирующейся на облачной безопасности, злоумышленник за восемь секунд перешёл с уязвимого ноутбука Marimo на бастионный хост SSH, используя набор пользовательских инструментов на языке Python, который он «написал и отладил вручную», без участия какого-либо ИИ-агента.
«Восемь секунд — это именно та скорость, которую мы ожидаем увидеть в атаках с использованием ИИ», — заявила команда Sysdig по исследованию угроз. «Этот оператор достиг цели исключительно благодаря своим навыкам и по пути беспрепятственно обошел ловушку, в которую попадали все агентные злоумышленники (ATA), которых мы анализировали в контексте этой же уязвимости CVE. Опытные злоумышленники не только могут действовать со скоростью машины, но и зачастую лучше уклоняются от обнаружения защитниками».
Было установлено, что цепочка атак использует уязвимость CVE-2026-39987 (оценка CVSS: 9,3) — уязвимость, позволяющую удалённо выполнять код без предварительной аутентификации, затрагивающую все версии Marimo, которая стала активно эксплуатироваться в течение нескольких часов после публичного раскрытия.
Получив первоначальный доступ, злоумышленник, как сообщается, запустил сквозную цепочку перехода по учетным данным, используя уязвимость Marimo для получения полного интерактивного доступа к командной оболочке, после чего выполнил вызов Amazon Web Services (AWS) Secrets Manager с использованием учетных данных, похищенных с скомпрометированного экземпляра, и получил доступ по SSH к бастионному хосту с помощью извлеченного закрытого ключа —
- 18:57:22: Новое соединение WebSocket
- 18:57:26: Поиск по учетным данным, хранящимся в приложении, возвращает похищенный ключ AWS
- 18:57:30: Зафиксирована аутентификация по SSH на бастионном хосте
Вся эта активность длилась с 12:52, когда было установлено первое соединение WebSocket с адреса «172.236.12[.]17» к конечной точке WebSocket «/terminal/ws», предоставленной Marimo, до 21:50, в течение чего злоумышленник развернул прослушиватель типа asyncssh на VPS, принадлежащем ему.
«В течение девятичасовой сессии злоумышленник выдал более 850 интерактивных команд, не использовал никаких узнаваемых общедоступных инструментов для атак и вручную создавал свои скрипты прямо во время сессии», — сообщили в Sysdig. «Методика работы оператора сводилась к единственному запуску Python3 в фоновом режиме, а не к использованию агентской платформы: он извлекал учетные данные, получал SSH-ключ из Secrets Manager, записывал его на диск и за один раз проходил аутентификацию на бастионе через SSH».
«ИИ, возможно, меняет экономику атак — больше целей, более быстрое время до эксплуатации уязвимости и меньше ручной рутинной работы над повторяющимися задачами — но он пока не заменил опытного злоумышленника, который знает, как создавать инструменты с нуля и избегать ловушек».
Эти выводы появились после того, как Hunt.io раскрыла подробности кампании по криптомайнингу, в ходе которой были скомпрометированы 3 562 сервера Redis, вероятно, в результате широкомасштабного сканирования в Интернете потенциальных хостов Redis на порту 6379 с одновременным запуском трёх параллельных конвейеров —
- поиск целей WordPress, в ходе которого сканировался список HTTPS-хостов на наличие версии WordPress, установленных плагинов, а также на то, открыты ли доступ к XML-RPC или спискам каталогов
- вставка SSH-ключей в файл authorized_keys на основе AOF, которая использует режим файла «только добавление» (AOF) Redis для вставки SSH-ключей в файл authorized_keys
- проверка возможности выхода из песочницы Lua, в ходе которой выполняются команды Redis EVAL и предпринимаются попытки выхода из песочницы на трёх хостах («47.250.92[.]230», «34.166.99[.]116» и «20.198.10[.]42»)
Основной метод эксплуатации заключается в использовании команды SLAVEOF для проникновения контролируемого злоумышленником контента на целевой сервер Redis, что приводит к развертыванию майнера XMRig. Эта активность, о которой стало известно после обнаружения незащищенной рабочей среды по адресу 188.245.99[.]156, пока не была приписана какому-либо известному злоумышленнику или группе.
«Подтвержденные жертвы используют версии Redis от 2.8.17 (2015 г.) до 7.2.0 (2023 г.) и Linux — от RHEL/CentOS 6 (с истекшим сроком поддержки) до текущих ядер Ubuntu, что указывает на отсутствие аутентификации как на уязвимость, а не на ошибку, связанную с конкретной версией», — сообщили в Hunt.io.
«Набор инструментов использует четыре метода в трёх сервисах, но только несанкционированная репликация Redis сработала в широких масштабах: инъекция ключей SSH и выход из песочницы MongoDB не дали результата ни в одной из 2 810 попыток, а полная цепочка «учетные данные WordPress — веб-шелл» была восстановлена, но не подтверждена в масштабе».
В последние месяцы один оператор также был связан с масштабной кампанией под названием «Operation CameraSwarm», в ходе которой было скомпрометировано более 14 000 IP-камер Dahua с использованием атак методом перебора, уязвимостей обхода аутентификации (CVE-2021-33044 и CVE-2021-33045), а также метода ретрансляции по сети «peer-to-peer» (P2P).