Лажни напади со вештачка интелигенција се шират меѓу американските компании: Како MSSP-провајдерите можат навреме да ги спречат инцидентите

Напаѓачите се претставуваат како популарни производи за вештачка интелигенција (AI) со цел да шират малициозен софтвер, да крадат сесии од прелистувачите и да компромитираат деловни сметки. ANY.RUN поврза 1.258 јавни анализи во изолирана безбедносна средина (sandbox) со кампањи што користат лажни AI-производи во периодот од април до октомври 2026 година.

Овие кампањи дополнително го зголемуваат оперативниот притисок врз MSSP-провајдерите кои им обезбедуваат управувани безбедносни услуги на американските компании. Компаниите од САД сочинувале 16% од целите за кои била утврдена земјата на потекло.

Сличните напади што се појавуваат кај различни клиенти може да доведат до повторување на истрагите, да ги оптоварат аналитичарите и да го продолжат времето потребно за реакција. Со тоа се отежнува одржувањето на постојано ниво на квалитет на услугите, особено кога активностите на заканувачите се зголемуваат.

Како лажните AI-напади стигнуваат до американските компании

Кампањите што ги истражувал ANY.RUN користат познати брендови за вештачка интелигенција за да ги наведат вработените да извршуваат малициозни команди, да инсталираат компромитирани апликации или да ги внесуваат своите податоци за пристап преку лажни страници за автентикација.

Напаѓачите се претставуваат како Claude, ChatGPT, GitHub Copilot, Gemini и други AI-услуги. Нивните измамнички содржини се појавуваат во спонзорирани резултати од пребарувањето, на легитимни хостинг-сервиси, во споделени разговори со вештачка интелигенција и на лажни веб-страници за преземање софтвер.

Една кампања во која напаѓачите се претставуваат како Claude покажува колку лесно една вообичаена инсталација на софтвер може да доведе до заразување на системот.

При нападот, анализиран преку Interactive Sandbox на ANY.RUN, жртвата наидува на веб-страница што наликува на официјалната страница за преземање на Claude. Со кликнување на копчето за преземање за Windows, команда се копира во привремената меморија (clipboard), а потоа се прикажуваат инструкции за нејзино извршување преку PowerShell.

Наместо да ја инсталира очекуваната апликација, командата ја стартува програмата mshta.exe, презема малициозна HTA-датотека и активира синџир на извршување команди во PowerShell, при што командите се кодирани за да го прикријат нивното вистинско значење.

Завршените анализи открија активност на малициозен софтвер за кражба на информации (infostealer).

Зошто лажните AI-кампањи создаваат притисок врз оперативното работење на MSSP-провајдерите

Еден инцидент поврзан со лажна AI-услуга може да изгледа едноставен откако ќе се открие целиот синџир на извршување на нападот. Оперативните тешкотии се зголемуваат кога еден MSSP-провајдер треба да препознае слични активности кај различни клиенти кои користат различни технологии, безбедносни политики и имаат различни профили на ризик.

Овие кампањи создаваат притисок врз три меѓусебно поврзани процеси во SOC-тимот (центарот за безбедносни операции).

– Мониторинг и покриеност со системи за откривање закани: Напаѓачите постојано ги менуваат домените, хостинг-услугите и AI-брендовите што ги имитираат, поради што новите варијанти на кампањите потешко се откриваат со постојните индикатори.

– Тријажа и управување со ескалацијата: Нападите што користат техники за избегнување на откривањето бараат подлабока истрага, со што се зголемува обемот на работа на аналитичарите, времето за реакција и бројот на непотребни ескалации.

– Лов на закани и подобрување на системите за откривање: Наодите од поединечните истраги треба да се поврзуваат и повторно да се користат за зајакнување на откривањето закани во безбедносните опкружувања на различните клиенти.

Овие предизвици директно влијаат врз показателите со кои раководството на MSSP-провајдерите го следи работењето: MTTD (просечно време за откривање на закана), MTTR (просечно време за реакција и справување со инцидент), стапката на ескалации, трошоците за истраги и усогласеноста со договорените нивоа на услуги (SLA).

Подобрувањето на овие показатели бара координиран пристап кон мониторингот, истрагите и повторната употреба на безбедносните информации.

Подобрување на ефикасноста на Tier 1 преку истрага заснована на однесувањето

Првата можност е да се намали времето што аналитичарите го трошат за да утврдат дали сомнителната активност претставува вистинска закана.

Кампањите со лажни AI-производи покажуваат зошто ова е важно. Страницата за преземање што изгледа сомнително може да делува безопасно сè додека аналитичарот не кликне на копчето за инсталација или не ги следи прикажаните инструкции. Статичката анализа може да даде нецелосна слика за синџирот на извршување што следува.

Interactive Sandbox на ANY.RUN им овозможува на аналитичарите да ги репродуцираат овие интеракции во изолирана средина и да ги набљудуваат процесите што се извршуваат, мрежната активност и малициозното однесување.

За оперативното работење на MSSP-провајдерите, неговата вредност е во тоа што овозможува сложените истраги да се спроведуваат полесно, како дел од секојдневните работни процеси на аналитичарите од Tier 1.

Наместо нејасните случаи веднаш да им се препраќаат на поискусните аналитичари, тимовите од Tier 1 можат да користат докази засновани на однесувањето на системот за да утврдат дали заканата бара изолирање на засегнатиот систем, дополнителна истрага или затворање на случајот.

ANY.RUN известува за 30% помалку ескалации од Tier 1 кон Tier 2 при користење на неговиот Sandbox, како и за медијанско време за откривање закани од 14 секунди.

Намалувањето на непотребните ескалации овозможува подобра распределба на работните задачи меѓу различните нивоа во SOC-тимот. Постарите и поискусни аналитичари можат да се посветат на сложени истраги, додека помладите аналитичари самостојно решаваат поголем дел од рутинските случаи.

За раководството на MSSP-провајдерите, ова создава можност да се одржат квалитетот на истрагите и исполнувањето на договорените нивоа на услуги (SLA), дури и кога се зголемува бројот на безбедносни предупредувања од клиентите.

Проширување на покриеноста со откривање закани во безбедносните опкружувања на клиентите

Ефикасната тријажа помага во справувањето со заканите што веќе предизвикале сомнеж. Но, на MSSP-провајдерите им е потребно и навремено да ги идентификуваат новите кампањи за напади, за да го намалат бројот на успешни компромитирања.

Нападите со лажни AI-производи покажуваат колку брзо поединечните индикатори за напад можат да ја изгубат својата вредност. Домените на кои се пренасочуваат жртвите се менуваат, додека малициозната инфраструктура и моделите на однесување може да опстојат низ повеќе варијанти на истата кампања.

Поради ова, континуирано ажурираните и проверени информации за сајбер-заканите се особено важни за MSSP-провајдерите.

ANY.RUN Threat Intelligence Feeds обезбедуваат индикатори извлечени од реални истраги за малициозен софтвер и фишинг-напади. Овие индикатори можат да се интегрираат во постојните SIEM, EDR и други безбедносни работни процеси за да се подобри откривањето на инфраструктурата поврзана со активни закани.

30% од уникатните малициозни IOC-индикатори што клиентите на ANY.RUN ги откриваат за време на анализите во Sandbox веќе се достапни во TI Feeds на ANY.RUN.

Со интегрирање на овие извори во нивната безбедносна инфраструктура, MSSP-провајдерите можат порано да ја идентификуваат претходно забележаната малициозна инфраструктура. Така, аналитичарите добиваат предност при проверката на заканите, а се намалува и повторувањето на истрагите во безбедносните опкружувања на различните клиенти.

Квалитетот на овие разузнавачки информации е исто толку важен колку и нивната дистрибуција. TI Feeds на ANY.RUN обезбедуваат 99% уникатни IOC-индикатори во споредба со другите извори на информации за закани, помагајќи им на MSSP-провајдерите да ја прошират покриеноста надвор од индикаторите што веќе се достапни во нивната постојна безбедносна инфраструктура.

Овој пристап овозможува порано откривање на новите закани, а истовремено ја намалува зависноста од рачно истражување на секоја кампања за секое управувано безбедносно опкружување.

Зајакнување на проактивната одбрана преку ефикасен лов на закани

Следната можност е да се обезбеди наодите од поединечните истраги да придонесуваат за пошироко подобрување на системите за откривање закани.

Истражувачите на ANY.RUN идентификувале неколку однесувања што постојано се повторуваат во кампањите со лажни AI-производи, меѓу кои:

• Сомнителни команди за инсталација преку PowerShell.
• Извршување на mshta.exe.
• Кодирани инструкции за преземање датотеки.
• Закажани задачи што стартуваат веб-прелистувачи со цел кражба на сесии.

Овие обрасци претставуваат корисна почетна точка за проактивно пребарување и откривање поврзани активности и надвор од првичниот инцидент.

Threat Intelligence Lookup им помага на аналитичарите да ги истражуваат врските меѓу сомнителните индикатори, однесувањето на малициозниот софтвер, претходните забележани активности и поврзаната инфраструктура на кампањите.

Кога аналитичар ќе идентификува заразување со лажен AI-производ кај еден клиент, тимот може да ја истражи поврзаната инфраструктура, да утврди кои индикатори за однесување сè уште се релевантни и да ги искористи тие наоди за пребарување поврзани активности во безбедносните опкружувања на другите клиенти.

Резултатите може да придонесат и за подобрување на правилата за откривање закани, овозможувајќи им на тимовите да ги ажурираат врз основа на забележаното однесување на напаѓачите, наместо да се потпираат исклучиво на новооткриени домени.

Решенијата за разузнавање за сајбер-закани на ANY.RUN обезбедуваат пристап до 24 пати повеќе IOC-индикатори по инцидент, со што се прошируваат достапните докази за поврзување на информациите и проактивно пребарување закани.

Со текот на времето, овој процес им помага на MSSP-провајдерите да ја подобрат покриеноста со системите за откривање закани, користејќи ги информациите што веќе се создаваат преку секојдневните истраги.

Како ANY.RUN им помага на MSSP-провајдерите да го подобрат откривањето закани и реакцијата кај клиентите

ANY.RUN ги комбинира Interactive Sandbox и Threat Intelligence за да им помогне на MSSP-провајдерите да ги зајакнат мониторингот, тријажата и проактивното пребарување закани во безбедносните опкружувања на клиентите. Заедно, овие решенија ја подобруваат покриеноста со откривање закани, го намалуваат обемот на работа при истрагите и овозможуваат повторна употреба на разузнавачките информации кај различни клиенти.

Оперативните придобивки вклучуваат:

– Порано откривање закани: 36% повисока стапка на откривање и до 58% повеќе идентификувани закани, што им помага на MSSP-провајдерите да ја зајакнат заштитата кај своите клиенти.

– Побрзи истраги: 21 минута пократко време за реакција, што им овозможува на аналитичарите да обработат повеќе случаи, а притоа да ги исполнуваат договорените нивоа на услуги (SLA).

– Помалку ескалации: 30% помалку ескалации од Tier 1 кон Tier 2, со што се зачувува капацитетот на поискусните аналитичари за справување со сложени инциденти.

– Поефикасен лов на закани: Доказите од Sandbox и алатката Threat Intelligence Lookup им помагаат на MSSP-провајдерите да идентификуваат поврзани напади и повторно да ги користат наодите во безбедносните опкружувања на различните клиенти.

За раководството на MSSP-провајдерите, овие подобрувања значат пониски трошоци за истраги, намален ризик од сериозни безбедносни инциденти кај клиентите и подоследно исполнување на договорените нивоа на услуги (SLA).

Со намалување на повторливите задачи и примена на разузнавачките информации кај повеќе клиенти, MSSP-провајдерите можат да ги прошират своите услуги без пропорционално зголемување на бројот на аналитичари. На тој начин ги подобруваат оперативните маржи, а истовремено го одржуваат квалитетот на заштитата.

Заклучок

Кампањите со лажни AI-производи покажуваат како напаѓачите можат да ги злоупотребат познатите софтверски брендови, легитимната инфраструктура и вообичаените активности на вработените за да навлезат во корпоративните системи.

За MSSP-провајдерите, долгорочниот предизвик е да ја одржат ефикасноста на откривањето закани додека овие кампањи се развиваат и се појавуваат во безбедносните опкружувања на различни клиенти.

Најефикасниот оперативен одговор ги комбинира раното добивање информации за заканите, ефикасната истрага заснована на однесувањето и систематската повторна употреба на наодите во мониторингот и проактивното пребарување закани.

Кога овие процеси функционираат заедно, MSSP-провајдерите можат да ја подобрат покриеноста со откривање закани, да го намалат обемот на работа при истрагите, да одржуваат поконзистентно ниво на услуги и поефикасно да заштитуваат сè поголем број клиенти.

Извори:

• The Hacker News – Fake AI Attacks Spread Across US Companies: How MSSPs Can Stop Incidents Early The Hacker News