據(jù)AWS最新事件報(bào)告顯示，網(wǎng)絡(luò)犯罪分子利用現(xiàn)成的生成式AI工具，在一個(gè)多月內(nèi)成功入侵了分布在55個(gè)國(guó)家的600多臺(tái)互聯(lián)網(wǎng)暴露的FortiGate防火墻。

這次攻擊活動(dòng)從1月中旬持續(xù)到2月中旬，攻擊者并非依賴(lài)復(fù)雜的零日漏洞，而是采用類(lèi)似"逐一嘗試數(shù)字門(mén)把手"的方式，只不過(guò)以機(jī)器速度執(zhí)行，背后有AI提供輔助。

AWS表示，這個(gè)以經(jīng)濟(jì)利益為動(dòng)機(jī)的俄語(yǔ)犯罪團(tuán)伙掃描暴露的FortiGate管理界面，嘗試常用或弱密碼憑據(jù)，一旦成功入侵就會(huì)獲取配置文件，從而獲得受害者網(wǎng)絡(luò)的路線(xiàn)圖。

該云服務(wù)巨頭的安全團(tuán)隊(duì)發(fā)現(xiàn)，攻擊者使用多種商業(yè)AI工具生成攻擊手冊(cè)、腳本和操作說(shuō)明，這使得技能相對(duì)較低的團(tuán)伙能夠執(zhí)行原本需要更多人力或時(shí)間的攻擊活動(dòng)。調(diào)查人員甚至在被入侵的基礎(chǔ)設(shè)施上發(fā)現(xiàn)了AI生成的代碼和規(guī)劃文件，表明這些工具貫穿整個(gè)工作流程，而不僅僅用于偶爾的腳本編寫(xiě)。

"工具的數(shù)量和多樣性通常表明背后有資源充足的開(kāi)發(fā)團(tuán)隊(duì)，"亞馬遜首席信息安全官CJ Moses表示，"但實(shí)際上，是單個(gè)攻擊者或極小的團(tuán)體通過(guò)AI輔助開(kāi)發(fā)生成了整套工具包。"

一旦防火墻被破解，攻擊者就會(huì)提取包含管理員和VPN憑據(jù)、網(wǎng)絡(luò)拓?fù)湓斍楹头阑饓σ?guī)則的配置文件。隨后，他們會(huì)深入環(huán)境內(nèi)部，攻擊Active Directory，轉(zhuǎn)儲(chǔ)憑據(jù)，并尋找橫向移動(dòng)的方法。備份系統(tǒng)，包括Veeam服務(wù)器，也在他們的目標(biāo)清單上。

AWS表示，觀察到的工具雖然功能完整但制作粗糙，具有簡(jiǎn)單的解析邏輯和表明機(jī)器編寫(xiě)初稿的冗余注釋。盡管如此，這些工具對(duì)于大規(guī)模自動(dòng)化攻擊仍然足夠有效，不過(guò)據(jù)報(bào)告，犯罪分子傾向于放棄阻力較大的目標(biāo)，轉(zhuǎn)向更容易攻破的目標(biāo)，這強(qiáng)化了數(shù)量勝過(guò)技巧的策略理念。

從地理分布來(lái)看，這次攻擊活動(dòng)是機(jī)會(huì)主義的而非精確定向的，受害者遍布多個(gè)地區(qū)，包括歐洲、亞洲、非洲和拉丁美洲的部分地區(qū)?；顒?dòng)集群表明，一些入侵可能已經(jīng)獲得了托管服務(wù)提供商或更大共享環(huán)境的訪(fǎng)問(wèn)權(quán)限，放大了下游風(fēng)險(xiǎn)。

該報(bào)告強(qiáng)調(diào)，基本的安全衛(wèi)生措施——如將管理界面從公共互聯(lián)網(wǎng)上移除、強(qiáng)制實(shí)施多因子認(rèn)證以及避免密碼重復(fù)使用——本可以在攻擊開(kāi)始之前就阻止大部分活動(dòng)。

這一發(fā)現(xiàn)出現(xiàn)在谷歌警告犯罪分子越來(lái)越多地將生成式AI直接融入其操作的幾周之后，包括使用其自己的Gemini AI聊天機(jī)器人執(zhí)行從偵察和目標(biāo)分析到釣魚(yú)和惡意軟件開(kāi)發(fā)等各種任務(wù)。

Q&A

Q1：FortiGate防火墻遭受的這次網(wǎng)絡(luò)攻擊有什么特點(diǎn)？

A：這次攻擊的最大特點(diǎn)是犯罪分子使用了生成式AI工具來(lái)增強(qiáng)攻擊能力。攻擊者利用AI生成攻擊手冊(cè)、腳本和操作說(shuō)明，使得原本需要高技能和大團(tuán)隊(duì)的攻擊活動(dòng)能夠由單個(gè)攻擊者或小團(tuán)體完成。攻擊規(guī)模龐大，在一個(gè)多月內(nèi)成功入侵了55個(gè)國(guó)家的600多臺(tái)防火墻。

Q2：攻擊者是如何利用生成式AI進(jìn)行網(wǎng)絡(luò)攻擊的？

A：攻擊者使用多種商業(yè)AI工具來(lái)生成完整的攻擊工具包，包括攻擊手冊(cè)、惡意腳本和操作文檔。AI工具貫穿整個(gè)攻擊工作流程，不僅用于編寫(xiě)代碼，還用于制定攻擊策略和規(guī)劃。調(diào)查人員在被入侵的系統(tǒng)中發(fā)現(xiàn)了AI生成的代碼和規(guī)劃文件，證明AI已經(jīng)深度融入攻擊活動(dòng)中。

Q3：如何防范類(lèi)似的AI增強(qiáng)型網(wǎng)絡(luò)攻擊？

A：報(bào)告強(qiáng)調(diào)基本的網(wǎng)絡(luò)安全衛(wèi)生措施就能有效防范此類(lèi)攻擊。主要包括：將管理界面從公共互聯(lián)網(wǎng)上移除，避免直接暴露在外；強(qiáng)制實(shí)施多因子認(rèn)證，增加攻擊難度；避免使用重復(fù)或弱密碼。這些基礎(chǔ)防護(hù)措施本可以在攻擊開(kāi)始之前就阻止大部分攻擊活動(dòng)。