Атаки методом подстановки учетных данных активизируются с помощью ИИ | Threat Intelligence

Резюме

Подразделение Okta Threat Intelligence ведет мониторинг процветающей экосистемы мотивированных наживой злоумышленников, которые используют подстановку учетных данных для компрометации учетных записей пользователей у поставщиков онлайн-услуг.

Эта киберпреступная экосистема в значительной степени консолидировалась вокруг стандартизированного набора возможностей: инструментов для проверки учетных записей с открытым исходным кодом (например, OpenBullet, SilverBullet), конфигурационных («config») файлов, загружаемых в эти инструменты для настройки атак под целевой сервис, списков («combo») ранее скомпрометированных учетных данных для проверки на целевом сервисе и прокси-сетей, распределяющих атаку по множеству резидентных IP-адресов для обхода защиты.

Мы продолжаем наблюдать влияние искусственного интеллекта на этот зрелый рынок: в частности, способность злоумышленника динамически разрабатывать новые конфигурационные файлы для любой заданной цели. Хотя инструменты ИИ, которые мы наблюдали, не устраняют фундаментальные уязвимости, делающие атаки методом подстановки учетных данных эффективными (повторное использование паролей), они существенно масштабируют этапы разведки и сбора ресурсов для атаки. Мы прогнозируем рост частоты атак на более широкий круг поставщиков онлайн-услуг.

В таких условиях единственным надежным методом предотвращения в организации CIAM (управление идентификацией клиентов) является перевод учетных записей пользователей на ключи доступа (passkeys).

Предпосылки

В атаках методом подстановки учетных данных злоумышленники получают списки пар имен пользователей и паролей, украденных в результате несвязанных инцидентов, и программно перебирают каждую из них, чтобы проверить, подходят ли те же учетные данные для целевого сервиса.

Затем скомпрометированные учетные записи перепродаются на теневых форумах. В контексте CIAM ценность скомпрометированной учетной записи часто измеряется «хранимой стоимостью», к которой она дает доступ — будь то баланс подарочной карты, баллы лояльности или доступ к эксклюзивным вознаграждениям.

Эти атаки обходятся поставщикам услуг дорого с точки зрения реагирования на инциденты и работы с владельцами учетных записей, требующими возмещения ущерба после кражи их кредитных или бонусных баллов.

Данный тип атак лучше всего предотвращать путем требования устойчивого к фишингу фактора, такого как ключ доступа (passkey), в качестве альтернативной или дополнительной формы верификации пользователя в процессе входа в систему.

Целевые отрасли

За последний год подразделение Okta Threat Intelligence зафиксировало атаки методом подстановки учетных данных со стороны мотивированных наживой злоумышленников на целый ряд отраслей, причем наиболее частыми мишенями стали те, которые имеют доступ к хранимой ценности:

• Розничная торговля

Розничная торговля

• Производство продуктов питания и напитков

Производство продуктов питания и напитков

• Транспорт и складирование

Транспорт и складирование

• Информационные технологии

Информационные технологии

• Искусство, развлечения и отдых

Искусство, развлечения и отдых

Чтобы лучше понять эти атаки, подразделение Okta Threat Intelligence получило и изучило 418 конфигурационных файлов, опубликованных на теневых форумах и предназначенных для облегчения атак методом подстановки учетных данных.

Конфигурационные файлы представляют собой специализированные инструкции о том, как инструмент для подстановки учетных данных может наиболее эффективно протестировать учетные данные пользователей против инфраструктуры целевого поставщика услуг. Ниже приводится подробный анализ использования этих файлов.

На следующей диаграмме показаны 10 наиболее часто атакуемых категорий сервисов, включенных в полученные нами конфигурационные файлы.

Анализ угроз

Инструментарий злоумышленников

Существует зрелая экосистема инструментов и ресурсов, используемых в атаках методом подстановки учетных данных.

Доминирующим инструментом проверки учетных записей является OpenBullet 2, приложение с открытым исходным кодом, специально созданное для автоматизации больших объемов запросов аутентификации и широко используемое в злонамеренных целях для подстановки учетных данных. OpenBullet предлагает веб-клиенты для Linux, MacOS и Windows. Веб-клиенты могут быть развернуты на виртуальных частячных серверах и управляться удаленным злоумышленником через браузер.

Другим доминирующим инструментом является SilverBullet, представляющий собой форк первой версии OpenBullet и оптимизированный для обхода средств обнаружения ботов.

Все они поддерживают следующие функции:

• Прокси. Для обхода средств безопасности на основе IP-адресов OpenBullet 2 поддерживает HTTP- и SOCKS-прокси. OpenBullet 2 поддерживает ротационные прокси, что позволяет злоумышленникам распределять свои попытки аутентификации по большому пулу IP-адресов.

Прокси. Для обхода средств безопасности на основе IP-адресов OpenBullet 2 поддерживает HTTP- и SOCKS-прокси. OpenBullet 2 поддерживает ротационные прокси, что позволяет злоумышленникам распределять свои попытки аутентификации по большому пулу IP-адресов.

• Конфиги. Сокращение от «configurations» (конфигурации). Эти файлы фактически являются скриптами, которые предписывают инструменту отправлять последовательность запросов в заданном формате на указанные конечные точки, связанные с аутентификацией, а также парсить и обрабатывать результаты в соответствии с требованиями автора.

Конфиги. Сокращение от «configurations» (конфигурации). Эти файлы фактически являются скриптами, которые предписывают инструменту отправлять последовательность запросов в заданном формате на указанные конечные точки, связанные с аутентификацией, а также парсить и обрабатывать результаты в соответствии с требованиями автора.

• Списки слов. Подстановка учетных данных опирается на списки комбинаций имен пользователей и паролей, часто называемые «combo» или комбинационными списками. OpenBullet и SilverBullet последовательно вводят учетные данные из этих файлов во время атак.

Списки слов. Подстановка учетных данных опирается на списки комбинаций имен пользователей и паролей, часто называемые «combo» или комбинационными списками. OpenBullet и SilverBullet последовательно вводят учетные данные из этих файлов во время атак.

• Успешные попытки (Hits). Во время запуска процесса подстановки учетных данных результаты записываются в базу данных SQLite.

Успешные попытки (Hits). Во время запуска процесса подстановки учетных данных результаты записываются в базу данных SQLite.

Конфиги

Конфигурационные файлы имеют ключевое значение для успешной атаки. Эти файлы создаются на основе разведки систем аутентификации цели квалифицированными злоумышленниками. Файл определяет конечные точки, последовательность выполнения запросов аутентификации и логику синтаксического анализа результатов. Эти файлы, которые обычно имеют расширение .opk (OpenBullet) или .svb (SilverBullet), должны быть актуальными и соответствовать последней конфигурации цели. Эти скрипты написаны на языке сценариев LoliCode в OpenBullet 2 и на языке сценариев LoliScript в OpenBullet и SilverBullet.

Некоторые конфигурационные файлы рекламируются как «full capture» (полный захват), что означает, что после успешной аутентификации скрипт извлекает данные учетной записи, такие как персональные данные, данные профиля, историю заказов и сохраненную платежную информацию.

Создание конфигурационных файлов представляет собой отдельное направление бизнеса в экономике подстановки учетных данных. Эти файлы продаются на теневых форумах, сайтах и в платформах обмена сообщениями. Цены, объявленные одним из продавцов конфигураций, варьируются от 5,99 до 59,99 долларов США, а средняя цена составляет около 22 долларов.

Эти файлы часто раздаются бесплатно в качестве тизеров к платным предложениям или платным службам по подписке. Некоторые продавцы предлагают ежемесячные или пожизненные подписки, дающие доступ к частным репозиториям конфигураций. Разработчики конфигурационных файлов также создают индивидуальные конфигурации по запросам клиентов.

Интеллектуальная собственность файлов конфигурации считается достаточно ценной, поэтому в OpenBullet 2 предусмотрена функция запуска конфигурации со скрытием ее кода от того, кто запускает клиент.

Специалисты по анализу угроз Okta Threat Intelligence зафиксировали использование искусственного интеллекта (ИИ) для написания работающих конфигураций. Версия 2.0 веб-клиента OpenBullet 2, выпущенная в июне 2026 года, теперь включает встроенный MCP-сервер, который позволяет агентам написания кода на базе ИИ взаимодействовать с OpenBullet 2. MCP-сервер предоставляет агентам заранее подготовленные промпты для разработки файлов конфигурации и документацию по синтаксису LoliCode.

Это позволяет пользователям создавать файлы конфигурации, ориентированные на конкретных поставщиков онлайн-услуг, с помощью команд на естественном языке. Учитывая обширную онлайн-документацию по этим инструментам, к которой агенты могут обращаться, а также способность агентов быстро оценивать и выполнять обратную разработку процесса входа в систему поставщика услуг, это с высокой вероятностью приведет к увеличению частоты атак на более широкий круг целей.

Комбо-листы

Комбо-листы — это еще одно направление бизнеса в экосистемах классического credential stuffing (атак с использованием учетных данных). Комбо-листы обычно представляют собой текстовые файлы с длинными списками пар учетных данных в таких форматах, как URL:имя_пользователя:пароль или имя_пользователя:пароль. Некоторые списки включают метки, описывающие отрасль, сегмент рынка или географический регион, из которых были получены пары учетных данных. Учетные данные в этих списках получены из утечек данных, в результате заражения вредоносным ПО для кражи информации и в ходе фишинговых кампаний. После сбора учетные данные обычно очищаются от дубликатов и объединяются из исходных источников в единый комбо-лист.

Бесплатные комбо-листы доступны в изобилии и, как и файлы конфигурации, используются в качестве приманок для платных предложений. Но ценность бесплатных раздач со временем снижается, так как пароли пользователей обычно сбрасываются после того, как информация об утечке становится публичной или учетная запись подвергается повторяющимся атакам. Новые комбо-листы постоянно рекламируются на теневых форумах с такими метками, как HQ (высокое качество), UHQ (ультравысокое качество), Fresh (свежие источники), Private (ограниченное распространение), Valid (все еще рабочие), а также с указанием количества доступных записей.

Резидентные прокси

Резидентные прокси являются критически важной инфраструктурой для атак с подстановкой учетных данных. Средства обеспечения безопасности на основе IP-адресов могут легко замедлить или остановить атаку, проанализировав репутацию IP-адреса или используя метрики реального времени, такие как высокая частота попыток входа в систему. Злоумышленным IP-адресам можно предъявить CAPTCHA для предотвращения использования автоматизации или заблокировать их до прохождения аутентификации.

Инструменты, используемые при credential stuffing, поддерживают возможность циклического переключения попыток входа через прокси-серверы. Резидентные прокси-сервисы позволяют злоумышленникам незаметно распределять попытки аутентификации по большому пуллу адресов IPv4 и IPv6, которые также используются для легитимного трафика. Резидентные прокси часто используют IP-адреса, у которых нет истории вредоносной активности. Это снижает эффективность списков блокировки по репутации IP-адресов, на которые полагаются антифрод-системы.

Злоумышленники могут использовать IP-адрес всего несколько раз, прежде чем переключиться на другой. Специалисты Okta Threat Intelligence недавно зафиксировали атаку, в ходе которой за шесть часов было задействовано более 800 000 резидентных IP-адресов, причем медианный IP-адрес совершил всего двадцать попыток перед полным отключением.

Злоумышленники могут выбирать выходные узлы по стране, городу или даже интернет-провайдеру, благодаря чему попытки входа в систему выглядят так, будто они исходят из места, соответствующего целевой учетной записи. Это делается для обхода проверок рисков на основе геолокации и последующего уклонения от применения CAPTCHA на основе рисков и ограничения частоты запросов для каждого IP-адреса.

Заключение

Инструменты, используемые для проведения credential stuffing, хорошо отработаны, и ИИ, вероятнее всего, увеличит скорость разработки конфигураций и инструментария. Злоумышленники уже могут использовать легкодоступные инфраструктурные ресурсы, чтобы сделать вредоносные попытки входа в систему похожими на легитимные. Это включает в себя использование различных строк user-agent, различных отпечатков TLS-клиентов, а также задействование резидентных прокси-сетей IPv4 и IPv6.

Файлы конфигурации, необходимые для конкретной атаки credential stuffing, могут быть созданы с помощью агентов написания кода на базе ИИ. Следовательно, менее квалифицированные злоумышленники смогут создавать конфигурации, не зависяя от поставщиков, специализирующихся на этом теневом продукте. Организации могут отслеживать появление файлов конфигурации, нацеленных на их структуры, чтобы видеть целевые эндпоинты. Хотя некоторые конфигурации публикуются в открытом доступе на платформах обмена сообщениями и в теневых форумах, самые новые и эффективные, скорее всего, продаются частным образом. Бесплатные конфигурации обычно используются множеством злоумышленников, что может побудить целевые организации изменить правила межсетевого экрана веб-приложений (WAF), чтобы сделать конфигурацию неэффективной.

Злоумышленники ищут пути аутентификации, которые выходят за рамки средств безопасности, развернутых в организации, а агенты написания кода на базе ИИ, судя по всему, ускоряют их обнаружение, адаптацию и практическое применение.

Рекомендации

• Перейдите с паролей на passkeys в качестве основного фактора аутентификации для пользователей. Злоумышленники не могут украсть passkeys с помощью вредоносного ПО и использовать их повторно против систем аутентификации. Это дает двойную пользу: Passkeys устойчивы к фишингу и также остановят credential stuffing.
• Передавайте логи в SIEM или хранилище данных для обнаружения и автономного анализа.
• Проверьте корректность уровня безопасности организаций Okta Customer Identity и клиентов Auth0. Клиенты Auth0 должны запустить CheckMate for Auth0 и внедрить его рекомендации.
• Настройте обнаружение угроз там, где это применимо. Клиенты Auth0 могут обратиться к общедоступному репозиторию auth0-customer-detections.
• Auth0 и Okta Customer Identity предлагают средства защиты от скомпрометированных паролей, которые обнаруживают повторное использование учетных данных и инициируют такие действия, как блокировка новых регистраций, прекращение входа в систему с этими учетными данными или отправка уведомлений по электронной почте с предупреждением о попытке входа.

ITRA-260810-01.0 - Участники credential stuffing злоупотребляют упущенными из виду путями доступа

MITRE ATT&CK

Техника ATT&CK

Тактика

Элемент управления

T1110.004 Перебор: Подстановка учетных данных

Получение доступа

• Откажитесь от паролей как единственного или основного фактора. Passkeys, беспарольная аутентификация и другие надежные факторы лишают украденный пароль ценности для злоумышленника.

Откажитесь от паролей как единственного или основного фактора. Passkeys, беспарольная аутентификация и другие надежные факторы лишают украденный пароль ценности для злоумышленника.

• Включите обнаружение скомпрометированных паролей и функцию Credential Guard, а также обеспечьте их соблюдение путем блокировки учетных записей пользователей, которые пытаются войти в систему с использованием известных скомпрометированных учетных данных.

Включите обнаружение скомпрометированных паролей и функцию Credential Guard, а также обеспечьте их соблюдение путем блокировки учетных записей пользователей, которые пытаются войти в систему с использованием известных скомпрометированных учетных данных.

T1595.002 Активное сканирование: Сканирование уязвимостей

Разведка

• Проведите аудит конфигурации тенанта на предмет устаревших путей аутентификации, которые не используются активно.

Проведите аудит конфигурации тенанта на предмет устаревших путей аутентификации, которые не используются активно.

• Отключите междоменную аутентификацию (Cross-Origin Authentication), если в ней нет необходимости. Если она необходима, составьте план миграции на Универсальный вход (Universal Login).

Отключите аутентификацию между источниками (Cross-Origin Authentication), если в ней нет необходимости. Если она необходима, составьте план миграции на Универсальный вход (Universal Login).

• Отключите предоставление пароля владельца ресурса (Resource Owner Password Grant) для всех приложений, где в нем нет текущей необходимости, и ограничьте его использование известными собственными клиентами (first-party clients), где это требуется.

Отключите предоставление пароля владельца ресурса (Resource Owner Password Grant) для всех приложений, где в нем нет текущей необходимости, и ограничьте его использование известными собственными клиентами (first-party clients), где это требуется.

• Запускайте на регулярной основе. Разведывательная активность против арендаторов (tenants) со временем повторяется, и конфигурацию следует повторно проверять с той же периодичностью.

Запускайте на регулярной основе. Разведывательная активность против арендаторов (tenants) со временем повторяется, и конфигурацию следует повторно проверять с той же периодичностью.

T1665 Скрытие инфраструктуры

Уклонение от защиты

• Не полагайтесь на блокировку по IP или ASN в качестве основного средства контроля, учитывая использование инфраструктуры резидентных прокси; рассматривайте ее как дополнительную меру.

Не полагайтесь на блокировку по IP или ASN в качестве основного средства контроля, учитывая использование инфраструктуры резидентных прокси; рассматривайте ее как дополнительную меру.

• Устраните пробелы в покрытии IPv6 в существующих правилах блокировки. Правила, написанные только для диапазонов IPv4, не будут срабатывать на трафик атак по IPv6.

Устраните пробелы в покрытии IPv6 в существующих правилах блокировки. Правила, написанные только для диапазонов IPv4, не будут срабатывать на трафик атак по IPv6.

• Включите расширенные динамические зоны в организациях Okta Customer Identity.

Включите расширенные динамические зоны в организациях Okta Customer Identity.

Отказ от ответственности

Эти материалы предоставляются исключительно в общих информационных целях и не являются юридическими, конфиденциальными, охранными, нормативными или деловыми рекомендациями. Содержимое может не отражать самые последние события в сфере безопасности, права и/или конфиденциальности. Вы несете единоличную ответственность за получение консультаций у собственного юриста и/или профессионального консультанта и не должны полагаться на эти материалы при принятии решений о соблюдении требований, внедрении или покупке. Okta не дает никаких заверения или гарантий в отношении этого контента и не несет ответственности за любые убытки или ущерб, возникшие в результате реализации вами этих рекомендаций. Информацию о договорных гарантиях Okta для своих клиентов можно найти на сайте okta.com/agreements.