От массового целевого фишинга до взлома систем подписи транзакций — северокорейские хакерские группировки стали более опасными благодаря использованию ИИ
Каждый раз, сталкиваясь с последствиями хакерской атаки, мы прежде всего проверяем, сколько денег было потеряно. Однако больше внимания следует уделять изменению методов атак. Если искусственный интеллект (ИИ) сокращает время и усилия, необходимые для подготовки атаки, системы защиты, спроектированные исходя из прежних людских ресурсов и скорости атак, могут оказаться неэффективными.
Согласно анализу Microsoft (MS), три из восьми исследованных северокорейских хакерских группировок достигли этапа интеграции ИИ в повседневные атакующие операции. Также были выявлены случаи массового создания персонализированных PDF-документов-приманок, нацеленных на пользователей из Южной Кореи. Это указывает на то, что будущий фишинг может приходить не в виде неуклюжих сообщений, одинаковых для всех, а как естественные предложения, адаптированные к рабочим задачам и интересам получателя.
Раньше фишинговые письма можно было распознать по неестественным формулировкам и небрежному оформлению. Теперь нельзя доверять сообщению только потому, что оно написано гладко и соответствует рабочему контексту. Даже в материалах, которыми люди регулярно обмениваются в повседневной работе, — инвестиционных предложениях, тестовых заданиях при найме, запросах на интервью и документах для совместной работы — необходимо отдельно проверять отправителя и канал доставки.
Масштабные кражи цифровых активов, происходящие почти ежедневно, показывают разрушительную силу, которую может иметь такая угроза. Компания по анализу блокчейна TRM Labs недавно проанализировала отток около 6,36 млрд долларов из связанных с Binance кошельков, причем большая часть перемещения средств произошла примерно за 20 минут. Ответственной за атакой была названа северокорейская хакерская группировка «Трейдертрейдер»
Одна из причин для беспокойства в связи с этой хакерской атакой — увеличение числа попыток атак. Если злоумышленники тратят меньше времени на составление документов и изменение кода, у них появляется возможность обращаться к большему числу целей и быстрее менять неудачные сценарии. Защищающимся компаниям и пользователям приходится распознавать соответственно больше подозрительных обращений. Независимо от того, насколько выросла вероятность успешной атаки, нагрузка на защиту становится значительно выше, чем прежде.
Биржи должны не допускать, чтобы одна компрометация приводила к масштабному выводу средств
Первое, что следует проверить биржам и компаниям, работающим с цифровыми активами, — это путь от рабочих учетных записей и устройств до полномочий на перемещение активов. Система должна быть спроектирована так, чтобы даже при компрометации ноутбука или учетной записи одного сотрудника злоумышленник не мог сразу получить доступ к ключевым системам и полномочиям на подпись транзакций.
Для этого необходимо разделить права доступа к средам разработки и рабочим средам и к средам управления активами, предоставляя нужным людям только необходимый объем полномочий и только на необходимое время. Для крупных выводов средств и важных изменений настроек следует предусмотреть независимую процедуру утверждения, при которой утверждающий может проверить фактический адрес получателя и содержание транзакции. Даже структура с несколькими утверждающими может быть уязвима для общих слабых мест, если она зависит от одного и того же устройства или одинаковых административных полномочий.
Необходимо также контролировать объем активов, хранящихся в горячих кошельках, и лимиты на вывод средств. Цель безопасности не ограничивается предотвращением проникновения. Она также должна включать ограничение диапазона действий и суммы, которыми злоумышленник может распорядиться после проникновения.
Одной проверки заголовка документа или совпадения с известным вредоносным ПО для обнаружения угроз также недостаточно. Следует отслеживать изменения в реальном поведении: необычные входы администраторов, внезапные изменения полномочий, нетипичные запросы на подпись и перемещения средств. Необходимо заранее определить, кто остановит вывод средств при срабатывании предупреждения и по каким каналам уведомит соответствующие органы и других участников рынка.
Необходимы привычки индивидуальной проверки и система совместного реагирования
Индивидуальные пользователи также должны повысить стандарты безопасности. Получая сообщение от биржи или сервиса кошелька, лучше проверять его через официальное приложение или самостоятельно сохраненный адрес, а не переходить по ссылке внутри сообщения. Даже если файл получен по работе, но требует неожиданного входа в систему или установки программы, следует проверить подлинность запроса через отдельный канал связи, известный заранее.
При самостоятельном хранении цифровых активов важно никогда не вводить фразу восстановления онлайн и не передавать ее другим лицам. Даже при использовании аппаратного кошелька ответственность за проверку того, что именно вы подтверждаете, сохраняется. Хранение на бирже и самостоятельное хранение связаны с разными рисками, поэтому выбор следует делать с учетом собственных возможностей управления активами.
Реакция компаний и государства также не должна ограничиваться рамками отдельных организаций. Необходимо быстро обмениваться адресами и доменами, использованными в атаках, а также признаками компрометации, и заранее поддерживать в рабочем состоянии систему экстренной связи между биржами, компаниями по кибербезопасности и следственными органами. Одновременно следует помогать партнерам, которым не хватает специалистов и бюджета на безопасность, повышать уровень защиты.
В эпоху, когда ИИ ускоряет подготовку атак, нельзя ожидать, что каждый пользователь будет каждый раз принимать идеальное решение. Необходимы одновременно процедуры аутентификации, помогающие пользователю быть внимательнее, структура полномочий, ограничивающая последствия одной ошибки, и система реагирования, позволяющая немедленно остановить операции при обнаружении аномальных признаков.
Чтобы индустрия цифровых активов сохраняла доверие, безопасность нельзя рассматривать как дополнительную функцию сервиса. Задача состоит не только в том, чтобы предупреждать о повышении изощренности злоумышленников, но и в создании структуры, способной защитить активы пользователей даже при фактической компрометации. Именно на эту задачу отрасль должна ответить в связи с нынешним взломом Binance.