Рост агентных атак: как они выглядят и куда движутся

В ходе наших расследований инцидентов и деятельности по поиску угроз четко прослеживается определенная тенденция. Wiz все чаще сталкивается с вторжениями, когда ИИ-агенты, судя по всему, берут на себя большую часть практической работы и потенциально оркестрируют саму атаку. Эти агенты функционируют с помощью специальных программных оболочек, которые пишут кастомный инструментарий, проверяют результаты, адаптируются и выполняют итерации со скоростью машин, в то время как человек задает цели и защитные ограничения.

Такие атаки могут быть масштабными, причем агенты пробуют несколько подходов параллельно. Они встречаются во всем спектре угроз — от точечно направленных до широкомасштабных оппортунистических. То, что начинается с одной открытой службы, может перерасти в кражу облачных учетных данных, кражу токенов Kubernetes, латеральное перемещение и массовую эксфильтрацию секретов. ИИ-агенты сжимают квалифицированную практическую работу, которая раньше требовалась для такого эскалирования. Тем не менее, здесь есть потенциальное преимущество для защитников. Текущие агентные атаки имеют тенденцию быть «шумными», оставляя после себя широкий след наблюдаемой активности. Задача заключается в том, чтобы отличить эту активность от легитимной автоматизации и сопоставить отдельные сигналы в единую картину атаки.

В наших недавних публикациях «Анатомия облачных атак на базе ИИ» (Anatomy of AI-Driven Cloud Attacks) и «Storm-0940 расширяет таргетинг на IT-поставщиков и разработчиков ПО» (Storm-0940 Expands Targeting of IT and Software Vendors) мы подробно рассмотрели конкретные агентные вторжения. В этом посте мы смотрим на проблему шире, рассматривая как частные, так и публичные случаи для выявления повторяющихся признаков агентной активности. Мы также размышляем о том, что этот сдвиг означает для атрибуции, масштаба атак и будущего защиты.

От ARTEX до Hermes: агентные атаки «в дикой природе»

Недавние публичные разоблачения описывают реальные вторжения с использованием известных агентных фреймворков, таких как ARTEX и Hermes, а также созданных на заказ агентных рабочих процессов и случаев, когда базовый инструментарий остается неопознанным.

• ARTEX — южнокорейские финансовые учреждения и компрометация цепочки поставок ConnectWise: В многочисленных публичных отчетах описывается использование злоумышленниками ARTEX, агентного фреймворка для тестирования на проникновение, для автоматизации наступательных операций. В Южной Корее исследователи сообщили об эксплуатации ориентированных на интернет приложений в финансовых учреждениях и эксфильтрации персональных данных примерно 67 000 человек (Zscaler, CrowdStrike). Отдельно компания Microsoft связала компрометацию цепочки поставок ConnectWise Cloud Backup со Storm-0940 — связанной с государством Китай группой угроз — и сообщила, что ARTEX использовался для ускорения разведки, рассылки паролей (password spraying) и злоупотребления приложениями OAuth в средах Microsoft 365 ниже по цепочке. Кампания попыталась выполнить входы для более чем 2 250 арендаторов, причем в нескольких случаях привилегированный облачный доступ был получен менее чем за три часа. Microsoft также сообщила об активности на базе ARTEX, нацеленной на сотни организаций по всему миру, хотя большинство попыток таргетинга оказались безуспешными.

ARTEX — южнокорейские финансовые учреждения и компрометация цепочки поставок ConnectWise: В многочисленных публичных отчетах описывается использование злоумышленниками ARTEX, агентного фреймворка для тестирования на проникновение, для автоматизации наступательных операций. В Южной Корее исследователи сообщили об эксплуатации ориентированных на интернет приложений в финансовых учреждениях и эксфильтрации персональных данных примерно 67 000 человек (, ). Отдельно компания связала компрометацию цепочки поставок ConnectWise Cloud Backup со Storm-0940 — связанной с государством Китай группой угроз — и сообщила, что ARTEX использовался для ускорения разведки, рассылки паролей (password spraying) и злоупотребления приложениями OAuth в средах Microsoft 365 ниже по цепочке. Кампания попыталась выполнить входы для более чем 2 250 арендаторов, причем в нескольких случаях привилегированный облачный доступ был получен менее чем за три часа. Microsoft также сообщила об активности на базе ARTEX, нацеленной на сотни организаций по всему миру, хотя большинство попыток таргетинга оказались безуспешными.

• Hermes — Министерство финансов Таиланда: Hunt.io обнаружила инфраструктуру под управлением злоумышленников, содержащую логи, которые показывали, что ИИ-агент Hermes работал в автономном режиме «YOLO» во время вторжения. Агент перечислил внутренние хосты, проверил файлы и исследовал возможности эскалации привилегий. Следователи нашли свидетельства компрометации нескольких систем министерства, а также веб-шеллы, украденные учетные данные и кастомный имплант на языке Go. Метод первоначального доступа остался неизвестным, а на момент обнаружения исследователи не нашли признаков эксфильтрации данных.

Hermes — Министерство финансов Таиланда: обнаружила инфраструктуру под управлением злоумышленников, содержащую логи, которые показывали, что ИИ-агент Hermes работал в автономном режиме «YOLO» во время вторжения. Агент перечислил внутренние хосты, проверил файлы и исследовал возможности эскалации привилегий. Следователи нашли свидетельства компрометации нескольких систем министерства, а также веб-шеллы, украденные учетные данные и кастомный имплант на языке Go. Метод первоначального доступа остался неизвестным, а на момент обнаружения исследователи не нашли признаков эксфильтрации данных.

• Эксплуатация API с помощью ИИ — организации в Японии и за рубежом. JPCERT/CC расследовала серию атак, затронувших множество организаций в Японии, и обнаружила свидетельства того, что злоумышленники использовали ИИ для сканирования известных уязвимостей и эксплуатации API. В некоторых случаях злоумышленники выполняли обратное проектирование (реверсивный инжиниринг) приложений для Android, чтобы выявить лежащие в их основе API и протестировать их на наличие таких уязвимостей, как подделка запросов на стороне сервера (SSRF). Расследование также выявило инфраструктуру, содержащую инструменты и артефакты, связанные с тестированием уязвимостей и попытками доступа к внутренним сетям. Полученные данные иллюстрируют, как ИИ может поддерживать разведку и обнаружение уязвимостей для самых разных целей, выходя за рамки использования специализированных агентных фреймворков для тестирования на проникновение.

Эксплуатация API с помощью ИИ — организации в Японии и за рубежом. расследовала серию атак, затронувших множество организаций в Японии, и обнаружила свидетельства того, что злоумышленники использовали ИИ для сканирования известных уязвимостей и эксплуатации API. В некоторых случаях злоумышленники выполняли обратное проектирование (реверсивный инжиниринг) приложений для Android, чтобы выявить лежащие в их основе API и протестировать их на наличие таких уязвимостей, как подделка запросов на стороне сервера (SSRF). Расследование также выявило инфраструктуру, содержащую инструменты и артефакты, связанные с тестированием уязвимостей и попытками доступа к внутренним сетям. Полученные данные иллюстрируют, как ИИ может поддерживать разведку и обнаружение уязвимостей для самых разных целей, выходя за рамки использования специализированных агентных фреймворков для тестирования на проникновение.

• Пользовательские агентные рабочие процессы — Множество секторов и стран: CrowdStrike задокументировала четырех дополнительных субъектов угроз, использующих агентов ИИ в кампаниях против организаций здравоохранения, государственного сектора и частного сектора. Их подходы варьировались от пользовательской обвязки на базе PentestGPT, с разделением на агентов-супервайзеров и агентов-исполнителей, до рабочих процессов Claude Code с различной степенью автономности и делегирования. Сообщаемая активность включала кражу учетных данных и медицинских записей, компрометацию правительственных структур и эксфильтрацию корпоративных данных.

Пользовательские агентные рабочие процессы — Множество секторов и стран: задокументировала четырех дополнительных субъектов угроз, использующих агентов ИИ в кампаниях против организаций здравоохранения, государственного сектора и частного сектора. Их подходы варьировались от пользовательской обвязки на базе , с разделением на агентов-супервайзеров и агентов-исполнителей, до рабочих процессов Claude Code с различной степенью автономности и делегирования. Сообщаемая активность включала кражу учетных данных и медицинских записей, компрометацию правительственных структур и эксфильтрацию корпоративных данных.

• Неопубликованный агентный инструментарий — DIVD: Нидерландский институт раскрытия уязвимостей сообщил о взломе, чей наблюдаемый modus operandi указывает на агентную атаку на базе ИИ. DIVD сообщила о подозрительной активности и инициировала реагирование на инциденты и судебно-медицинское расследование, однако в своем первоначальном публичном заявлении не назвала задействованного агента или фреймворк.

Неопубликованный агентный инструментарий — DIVD: Нидерландский институт раскрытия уязвимостей сообщил о взломе, чей наблюдаемый modus operandi указывает на агентную атаку на базе ИИ. DIVD сообщила о подозрительной активности и инициировала реагирование на инциденты и судебно-медицинское расследование, однако в своем первоначальном публичном заявлении не назвала задействованного агента или фреймворк.

В совокупности эти отчеты показывают, что агентный ИИ используется на множестве этапов реальных вторжений, включая разведку, эксплуатацию и постинтеграционные действия. Степень автономности и сила имеющихся доказательств варьируются в зависимости от случая, но разнообразие инструментов и рабочих процессов говорит о том, что это не ограничивается каким-то одним фреймворком или субъектом угроз.

Агентные атаки, исследованные Wiz

В этом разделе мы представляем три тематических исследования реальных атак, которые мы расследовали. Затем мы разбираем ключевые признаки агентной активности, иллюстрируя каждый из них примерами из этих случаев.

Тематические исследования: три примера агентной активности

Критерии определения следов ИИ-агентов

На основе анализа этих агентных атак мы выделили набор критериев, помогающих определить их следы. Для каждого критерия ниже, где это уместно, мы приводим конкретные примеры из трех вышеупомянутых атак.

1. Машинный темп, непрерывные итерации

Ритм, который не похож ни на человека, создающего специализированный инструмент вручную (слишком медленно), ни на шаблонный сканер, повторяющий фиксированную последовательность (слишком однообразно). Уликой является переменная частота, которая зависит от сложности шага (задержка модели при чтении вывода, рассуждении и генерации следующего действия) и удерживается в течение необычно длительного окна.

• Атака A: новый, уникальный скрипт специального назначения появлялся примерно каждые одну-две минуты, сохраняясь в течение примерно 24 часов (всего 99 скриптов). Гораздо быстрее, чем при ручном создании, и гораздо более специализированный, чем у сканера.

Атака A: новый, уникальный скрипт специального назначения появлялся примерно каждые одну-две минуты, сохраняясь в течение примерно 24 часов (всего 99 скриптов). Гораздо быстрее, чем при ручном создании, и гораздо более специализированный, чем у сканера.

• Атака B: 602 уникальных шага, последовательно перебирающих семейства техник с интервалом всего в несколько секунд между фазами, непрерывно выполнялись в течение примерно 4,5 часов на рабочей нагрузке, которая никогда ранее не демонстрировала ничего подобного. Детерминированный автоэксплойт связывает зависимые команды за миллисекунды; маяк с фиксированным интервалом жестко сгруппирован вокруг одного значения. Переменная задержка в диапазоне секунд, масштабируемая в зависимости от сложности шага, является сигнатурой чтения, рассуждения и генерации LLM.

Атака B: 602 уникальных шага, последовательно перебирающих семейства техник с интервалом всего в несколько секунд между фазами, непрерывно выполнялись в течение примерно 4,5 часов на рабочей нагрузке, которая никогда ранее не демонстрировала ничего подобного. Детерминированный автоэксплойт связывает зависимые команды за миллисекунды; маяк с фиксированным интервалом жестко сгруппирован вокруг одного значения. Переменная задержка в диапазоне секунд, масштабируемая в зависимости от сложности шага, является сигнатурой чтения, рассуждения и генерации LLM.

• Атака C: комментарии оператора снабжены временными метками, а новый, уникальный скрипт специального назначения появляется примерно каждые одну-две минуты в виде всплесков, продолжающихся около 21 часа подряд без пауз на утомление, свойственных человеку. Частота варьируется и зависит от сложности: быстрые повторные попытки при ошибках 403, более длинные паузы, когда приходилось анализировать фрагменты SPA JS для извлечения конечных точек GraphQL. Это не инструменты ручной сборки (слишком быстро и кастомно для такого объема) и не стандартный сканер (слишком адаптивно).

Атака C: комментарии оператора снабжены временными метками, а новый, уникальный скрипт специального назначения появляется примерно каждые одну-две минуты в виде всплесков, продолжающихся около 21 часа подряд без пауз на утомление, свойственных человеку. Частота варьируется и зависит от сложности: быстрые повторные попытки при ошибках 403, более длинные паузы, когда приходилось анализировать фрагменты SPA JS для извлечения конечных точек GraphQL. Это не инструменты ручной сборки (слишком быстро и кастомно для такого объема) и не стандартный сканер (слишком адаптивно).

2. Рассуждения на естественном языке, встроенные в инструментарий

Скрипты и артефакты, содержащие письменное обоснование (планы атак, пояснения о том, что и зачем делается).

• Атака A: Почти все 99 скриптов открываются письменным планом (оригиналы на китайском языке; здесь приведен перевод), например, заголовками постановочной разведки вроде # Stage 1: system identity / environment variables / cloud-credential files / SSH … и # restart-free activation: SIGUSR1 opens the inspector → register a hidden route in the live process via CDP → close the inspector. Один из скриптов пакетной эксплуатации открывался полным планом атаки с объяснением того, что именно он будет тестировать и почему (переведено и отредактировано):

Атака A: Почти все 99 скриптов открываются письменным планом (оригиналы на китайском языке; здесь приведен перевод), например, заголовками постановочной разведки вроде # Stage 1: system identity / environment variables / cloud-credential files / SSH … и # restart-free activation: SIGUSR1 opens the inspector → register a hidden route in the live process via CDP → close the inspector. Один из скриптов пакетной эксплуатации открывался полным планом атаки с объяснением того, что именно он будет тестировать и почему (переведено и отредактировано):

• Атака B: скрипты документируют себя по ходу выполнения: echo "[runtime]", [tools], [route], [client], [IMDSv2 token] wget_rc=4 bytes=0, [IMDSv1 probe], они строят таблицы с метками результатов (printf '%s\t%s\t%s\n' "$path" "$code" "$size") и матрицы разрешений (pod_eviction false / deploy_scale_patch false). Это оператор, который комментирует собственные доказательства по мере их сбора — отличительный признак сгенерированного инструментария, который объясняет, что и зачем делается.

Атака B: скрипты документируют себя по мере выполнения: echo "[runtime]", [tools], [route], [client], [IMDSv2 token] wget_rc=4 bytes=0, [IMDSv1 probe], и они строят таблицы с метками результатов (printf '%s\t%s\t%s\n' "$path" "$code" "$size") и матрицы разрешений (pod_eviction false / deploy_scale_patch false). Это оператор, который комментирует собственные доказательства по мере их сбора — отличительный признак сгенерированного инструментария, который объясняет, что и почему делается.

• Атака C: самая убедительная. Восстановленный инструментарий оператора содержал 803 уникальные удобочитаемые строки комментариев в собственных скриптах в папке /tmp, и почти каждый скрипт снабжен комментариями о том, что и зачем он делает (переведено и отредактировано):

Атака C: самая убедительная. Восстановленный инструментарий оператора содержал 803 уникальные удобочитаемые строки комментариев в собственных скриптах в папке /tmp, и почти каждый скрипт снабжен комментариями о том, что и зачем он делает (переведено и отредактировано):

Неопровержимое доказательство: в комментариях назван фреймворк агента, управляющий операцией, а также содержатся рассуждения о параллельных запусках самого себя. В них упоминается «другой <agent>», второй экземпляр того же агента, и предпринимаются попытки выяснить, чего этот экземпляр добился (переведено и отредактировано):

Заметка, в которой анализируется то, чего добился «другой <agent>», является прямым текстовым признанием в исполнении самого злоумышленника, что всю практическую работу выполняет агент.

3. Самокоррекция и адаптивное выполнение

Агент не запускает слепо фиксированную полезную нагрузку. Он считывает результаты и вносит коррективы: диагностирует сбой и перестраивает архитектуру, переключается на запасной вариант, если что-то не работает, или повторяет попытку с измененным подходом. Статический плейбук на такое не способен. Это проявляется в виде версионированных, самодокументирующихся скриптов и реактивных встроенных корректировок курса.

• Атака A: наиболее ярко выраженный агентский артефакт из всех трех — версия 2 инструмента валидации ключей, которая начиналась с объяснения того, почему версия 1 потерпела неудачу и что было изменено в ответ (переведено и отредактировано):

Атака A: наиболее ярко выраженный агентский артефакт из всех трех — версия 2 инструмента валидации ключей, которая начиналась с объяснения того, почему версия 1 потерпела неудачу и что было изменено в ответ (переведено и отредактировано):

Он изучил настроенную конфигурацию безопасности, выяснил, почему его предыдущий подход блокируется, и переписал свою методологию, чтобы обойти защиту. Тот же паттерн проявляется в его версионных рядах: исходный подход --remote-debugging-port=0, который потерпел неудачу и был переработан в технику SIGUSR1→CDP, а также такие цепочки, как act3 → act3b … act3k, inv3 → 4 → 5 и apikey_test → test2 → use.

• Атака B: реактивная встроенная переработка архитектуры в ответ на то, что возвращала цель. Последовательность метаданных: IMDSv2 PUT → сбой wget_rc=4 → IMDSv1 → конечные точки учетных данных ECS (169.254.170.2, .170.23/v1/credentials) → IPv6 ([fd00:ec2::254]) → и, наконец, InfluxDB-Flux SSRF как альтернативный путь к тому же токену. Он считывал каждый ответ, диагностировал причину сбоя и разрабатывал новый примитив. Аналогично с панелью управления Kubernetes: анонимный зонд (tokenPresent:false) → повторный опрос тех же конечных точек со стащенным Bearer $T.

Атака B: реактивная встроенная переработка архитектуры в ответ на то, что возвращала цель. Последовательность метаданных: IMDSv2 PUT → сбой wget_rc=4 → IMDSv1 → конечные точки учетных данных ECS (169.254.170.2, .170.23/v1/credentials) → IPv6 ([fd00:ec2::254]) → и, наконец, InfluxDB-Flux SSRF как альтернативный путь к тому же токену. Он считывал каждый ответ, диагностировал причину сбоя и разрабатывал новый примитив. Аналогично с панелью управления Kubernetes: анонимный зонд (tokenPresent:false) → повторный опрос тех же конечных точек со стащенным Bearer $T.

• Атака C: хрестоматийная самоотладка по поколениям нумерованных скриптов. Переключение токена кластера представляет собой четырехпоколенческую отладку подписания запросов (nodepivot.py → 2 («Краевые случаи SigV4») → 3 («чистая стандартная библиотека, SignedHeaders только для хоста») → 4), причем каждое поколение диагностирует предыдущую ошибку 401/403 и заново выводит требования (переведено и отредактировано):

Атака C: хрестоматийная самоотладка по поколениям нумерованных скриптов. Переключение токена кластера представляет собой четырехпоколенческую отладку подписания запросов (nodepivot.py → 2 («Краевые случаи SigV4») → 3 («чистая стандартная библиотека, SignedHeaders только для хоста») → 4), причем каждое поколение диагностирует предыдущую ошибку 401/403 и заново выводит требования (переведено и отредактировано):

Статический плейбук не может прочитать ошибку AWS и заново вывести требование regional-STS. Тот же паттерн обоснованного резервного копирования прослеживается в цепочках dynamo2 → 3 («создать TokenRequest для служебного SA») → 4 («403 по TokenRequest; устаревшие токены SA могут существовать как секреты k8s до версии 1.24») → 5 («дешевле: вызвать ВНУТРЕННИЙ API сервиса напрямую»), а также в ir_x → x2 → x3 и s2s4 → s2s5 → s2s6 («недопустимое поле для вызова подсказки «вы имели в виду»»).

4. Структурированная методология поиска в ширину / почти полное покрытие TTP

Систематическое перечисление с помощью шаблонных шагов, методично затрагивающих технику за техникой, а не движение напролом к одной цели. На машинной скорости это выглядит так, будто агент отрабатывает контрольный список.

• Атака A: явная матрица зондирования от A до E, приведенная выше (рассуждения на естественном языке, встроенные в инструментарий), применяемая единообразно к каждой цели, плюс явно пронумерованные этапы, выстроенные в порядке: идентификация → окружение → файл учетных данных каждого облачного провайдера → SSH → расшифровка учетных данных базы данных → закрепление → сканирование → латеральное перемещение → IMDS → злоупотребление API.

Атака A: явная матрица зондирования от A до E, приведенная выше (рассуждения на естественном языке, встроенные в инструментарий), применяемая единообразно к каждой цели, плюс явно пронумерованные этапы, выстроенные в порядке: идентификация → окружение → файл учетных данных каждого облачного провайдера → SSH → расшифровка учетных данных базы данных → закрепление → сканирование → латеральное перемещение → IMDS → злоупотребление API.

• Атака B: самая исчерпывающая из трех: 602 уникальных шага в рамках 12 семейств техник в следующем порядке: рекогносцировка → перечисление инструментов → IMDS → проверка выхода из контейнера → перечисление RBAC Kubernetes → обмен сообщениями (RabbitMQ) → API Kubernetes → хранилище в памяти (Hazelcast) → сканирование портов → обнаружение служб (ArgoCD / панель управления) → БД временных рядов (InfluxDB) → исследование десериализации. Он отрабатывает контрольный список, методично применяя технику за техникой вместо того, чтобы стремиться к одной цели:

Атака B: самая исчерпывающая из трех: 602 уникальных шага в рамках 12 семейств техник в следующем порядке: рекогносцировка → перечисление инструментов → IMDS → проверка выхода из контейнера → перечисление RBAC Kubernetes → обмен сообщениями (RabbitMQ) → API Kubernetes → хранилище в памяти (Hazelcast) → сканирование портов → обнаружение служб (ArgoCD / панель управления) → БД временных рядов (InfluxDB) → исследование десериализации. Он отрабатывает контрольный список, методично применяя технику за техникой вместо того, чтобы стремиться к одной цели:

• Атака C: плотная хрестоматийная облачно-нативная цепочка (RCE → рекогносцировка uid → учетные данные IMDSv2 → токен SA → SelfSubjectRulesReview → секреты → конфигурация аутентификации кластера → узлы → пространства имен → поды → закрепление), а затем методично расширенная на каждый путь к данным, до которого удалось дотянуться: Postgres, DynamoDB, кэш профилей Redis, каталог служб Consul, рефлексия gRPC, листинг баکینских S3, несколько серверов MCP и вся федерация GraphQL. Например: кража облачных учетных данных из IMDSv2 и дамп секретов кластера:

Атака C: плотная хрестоматийная облачно-нативная цепочка (RCE → разведка uid → учетные данные IMDSv2 → токен SA → SelfSubjectRulesReview → секреты → конфигурация cluster-auth → узлы → пространства имен → поды → персистентность), затем методично расширенная на все доступные пути передачи данных: Postgres, DynamoDB, кэш профилей Redis, каталог сервисов Consul, рефлексия gRPC, листинг бакетов S3, несколько MCP-серверов и вся федерация GraphQL. Например, кража учетных данных облака из IMDSv2 и дамп секретов кластера:

5. Избыточность: одновременный обход множества путей для латерального перемещения

Если критерий 4 касается упорядоченного покрытия, то этот относится к объему и шуму: агент не выбирает один путь латерального перемещения и не следует ему, а пробует множество одновременно (десятки портов, несколько сервисов, несколько хостов) и поддерживает этот поток, поскольку, в отличие от человека, он не платит усталостью или излишней осторожностью за избыточный шум. Это обратная сторона проблемы оппортунистической опасности: та же готовность атаковать все подряд делает такие операции одновременно и быстрыми, и необычайно шумными. Сама по себе громкость предоставляет возможность для обнаружения.

• Атака A: обращенная наружу версия того же поведения: вместо латерального перемещения внутри одной среды она одновременно распыляла один и тот же эксплойт на десятки внешних целей на порту 3000, выполняя ветвление для каждого хоста. Масштаб как стратегия, направленная вовне.

Атака A: обращенная наружу версия того же поведения: вместо латерального перемещения внутри одной среды она одновременно распыляла один и тот же эксплойт на десятки внешних целей на порту 3000, выполняя ветвление для каждого хоста. Масштаб как стратегия, направленная вовне.

• Атака B: она сгенерировала более 100 вариантов хостнеймов ArgoCD для каждого Helm-чарта и соглашения о пространствах имен, параллельно просканировала 15 портов на 5 хостах (и... подождите), а также перечислила хранилище в памяти по всем известным именам карт, одновременно обращаясь к интерфейсу секретов, GitOps-контроллеру, панели управления Kubernetes и агенту pod-identity в облаке. По сути, задействованы все латеральные пути сразу, вместо того чтобы сосредоточиться на каком-то одном:

Атака B: она сгенерировала более 100 вариантов хостнеймов ArgoCD для каждого Helm-чарта и соглашения о пространствах имен, параллельно просканировала 15 портов на 5 хостах (и... подождите), а также перечислила хранилище в памяти по всем известным именам карт, одновременно обращаясь к интерфейсу секретов, GitOps-контроллеру, панели управления Kubernetes и агенту pod-identity в облаке. По сути, задействованы все латеральные пути сразу, вместо того чтобы сосредоточиться на каком-то одном:

• Атака C: бьет по всем целям одновременно, не концентрируясь на каком-то одном пути: грубые сканирования подсетей баз данных в диапазоне /24 на предмет открытого порта 5432 (с шаговой выборкой для ускорения), рефлексия gRPC вместе с зондированием стандартных портов с короткими тайм-аутами, и за ~21 час — более 150 различных скриптов, преследующих примерно 25 целевых организаций (крупные криптобиржи и финтех-компании) параллельно. Она не платит цену усталости за создание шума.

Атака C: бьет по всем целям одновременно, не концентрируясь на каком-то одном пути: грубые сканирования подсетей баз данных в диапазоне /24 на предмет открытого порта 5432 (с шаговой выборкой для ускорения), рефлексия gRPC вместе с зондированием стандартных портов с короткими тайм-аутами, и за ~21 час — более 150 различных скриптов, преследующих примерно 25 целевых организаций (крупные криптобиржи и финтех-компании) параллельно. Она не платит цену усталости за создание шума.

6. Дисциплина «проверка перед полезной нагрузкой» и обертки с учетом OPSEC

Подтверждение примитива чем-то безобидным перед запуском реальной полезной нагрузки; оборачивание выполнения для контроля вывода и сохранения скрытности. Такая дисциплинированная структура «проверь, затем действу» характерна для сгенерированного инструментария.

Выполнение было обернуто в однотипные самоочищающиеся однострочники (printf … | base64 -d > /tmp/.cXXXX.sh; sh …; rm).

7. Описательные по назначению / одноразовые артефакты стейджинга (и индикаторы компрометации с собственными метками)

Что этот тренд означает для будущего