Ещё недавно рансомваре было ремеслом: живой оператор неделю сидел внутри сети жертвы, к контроллеру домена двигался в рабочие часы — с перерывом на обед, а шифрование запускал только после одобрения «руководства». Теперь, судя по всему, ремесло превращается в конвейер: цель, подцели, статусы, повторные попытки — всё переезжает в журнал задач агента. Специалисты ждут, что машинам отдадут весь цикл вторжения, от разведки до запуска шифровальщика. Разбираемся, как выглядела бы атака на автопилоте, чем у неё другой «почерк» и что это меняет для защиты.
Панелям управления в рансомваре-экосистемах недолго осталось щеголять ролью «админок» для запуска бинарников. Дальше — оркестратор: очередь задач, подключаемые модули и языковая модель-планировщик, которая через вызов инструментов переводит цель на язык команд. Аффилиаты в модели RaaS и раньше не писали эксплойты сами: брокеры первичного доступа продают готовый foothold, а эстафету, похоже, сможет принять агент с заданием уровня «получить доменного администратора, подготовить массовое шифрование».
Сам плейбук стар как мир. Разведка: перечислить домен, просканировать сегменты, найти резервные контроллеры. Дальше сбор учётных данных и повышение привилегий: дамперы паролей обёрнуты в модули, эскалация идёт по готовым сценариям. Потом проверка на детектирующие средства, стейджинг, вывоз самого ценного — и только в самом конце шифровальщик. Двойное вымогательство никуда не делось: черновики записок и текстов для сайта утечек, скорее всего, тоже лягут на модель.
Человек в этой схеме остаётся наверху: подтверждает крупные шаги и берёт трубку, когда начинается торг о выкупе. Всё, что между входом и шифрованием, делает машина.
Аналитики годами посмеивались над таймстампами: операторы шифровальщиков, судя по логам, жили по расписанию офиса — с выходными и обедом. Агент такой график отменяет. Задачи исполняются круглосуточно, с ровными, почти метрономическими интервалами, без пауз «на подумать» и перерывов на кофе.
Второй след — шаблонность. У живого взломщика каждая жертва выходит чуть своя: где-то застрял, где-то выкрутился, где-то поленился. У агента последовательность команд от кампании к кампании, судя по всему, совпадает почти дословно: тот же порядок сканов, те же имена временных файлов, одинаковая логика повторов при сбоях. Опечаток меньше, шума меньше — но и импровизации нет.
Третье — скорость. Путь от foothold до массового шифрования, который раньше занимал недели тихого обживания, может заметно укоротиться. Обратная сторона скорости — избыточность: агент методично перечисляет всё подряд, включая то, что человек пропустил бы. Для защитника это и сигнал, и подарок разом: единый поведенческий отпечаток накрывает десятки кампаний.
Классические детекторы заточены под человека: странные часы, любопытные обходные пути, заминки в логах. Против агента всё это почти не работает — ловить нужно его собственные артефакты. Первый — тайминг: регулярные интервалы, одинаковая длина сессий, конвейерный ритм команд. Поведенческая аналитика такое видит отлично, ведь живой оператор метрономом не бывает.
Второй инструмент — ловушки. Декеи-серверы, фейковые учётки, honeytokens: сценарный агент верит логике плейбука и с жадностью кусает приманку, на которую человек мог бы и не повестись. Третий — замедление: сегментация сети, многофакторная аутентификация на административных путях, запрет типовых цепочек легитимных утилит, под которые агент любит маскироваться.
И главное — автоматизация против автоматизации. SOC, где аналитик вручную разгребает алерты, конвейеру проигрывает по определению: крупные вендоры уже встраивают ИИ-помощников в мониторинг, а охота за угрозами смещается к поиску циклов — повторяющихся последовательностей действий в логах. Принцип простой: у машины нет психологии, зато есть предсказуемость. Вот её и надо эксплуатировать.
У нас тема развивается по двум трекам. Первый — детектирование. «Лаборатория Касперского» с управляемой защитой и песочницами для анализа целевых атак годами собирает телеметрию по рансомваре и публично предупреждает о криминальном применении генеративных моделей. Positive Technologies развивает MaxPatrol SIEM и автономный контур мониторинга на базе ИИ, а её исследовательский центр и конференция PHDays стали площадкой, где агентные сценарии атаки и защиты обсуждают в открытую. Работают и коммерческие SOC — BI.ZONE, Solar и другие: именно их услуги мониторинга стали для рынка основным способом пережить рансомваре-инцидент.
Второй трек — каркас, регуляторный и технологический: закон о безопасности критической информационной инфраструктуры, реестр отечественного ПО, национальная стратегия развития ИИ. Ограничения известны: кадров в ИБ хронически не хватает, зарубежные облака для чувствительных данных под вопросом, поэтому растёт спрос на локальные развёртывания и открытые модели, а фундаментом для «сот-помощников» служат и собственные разработки вроде GigaChat и YandexGPT. Перспектива — та же гонка, что и во всём мире: кто раньше встроит агентов в защиту, тот и обесценит тех, кто встроил их в шифровальщик.
Рансомваре давно индустрия, и, похоже, она подбирается к собственному автопилоту. Делегирование цикла вторжения агентам заметно ускорит атаки — но заодно выдаст их с головой: метрономный ритм, шаблонные команды, жадная методичность. Для защиты это хорошая новость: предсказуемость ловится. Плохая — в том, что живых операторов бандам понадобится меньше, а значит, порог входа в «профессию» может опуститься. Ответ зеркален: автоматизация в SOC, ловушки на пути агентов, сегментация и базовая гигиена. Гонку автоматизации выигрывает не тот, у кого нет ИИ, а тот, кто встроил его раньше.