AI вече пише вируси – защо 2025 година беше кошмар за киберсигурността

Не толкова отдавна уязвимостите от типа „нулев ден“ изглеждаха екзотика от света на специалните операции и шпионажа. Сега това е масов инструмент за хакване на корпоративни мрежи, и то не само защото има повече атаки. Основната промяна е в скоростта: от първите сигнали до реалната експлоатация понякога минават само няколко часа.

Това е описано в прегледа на заплахите ForeScout Vedere Labs 2025 H1: според доклада броят на атаките от типа „нулев ден“ е нараснал с 46% през първата половина на 2025 година. Докато преди екипите по сигурността са смятали за нормална разлика от няколко дни между публикуването на дадена уязвимост и появата на експлойти, свързани с нея, днес това време се е свило до часове, а понякога дори до минути.

Ръстът не изглежда като случайност. Експертите го обясняват с „перфектната буря“: нарастващата сложност на софтуера, разширяващите се вериги за доставки, нарастващите зависимости и ускоряването на атаките благодарение на изкуствения интелект.

Системите стават толкова сложни, че сигурната разработка не може да се справи с темпото, а уязвимостите все по-трудно се откриват при рутинното тестване. Успоредно с това комерсиалният пазар на „нулеви дни“ се разраства: уязвимостите, които позволяват повишаване на привилегиите, заобикаляне на удостоверяването или компрометиране на акаунти се превърнаха в стока с голямо търсене. Както престъпните групи, така и свързаните с правителствата купувачи се конкурират за такива открития, особено когато става въпрос за достъп до облаци, платформи за идентификация и промишлена инфраструктура.

AI ускори почти целия цикъл: автоматизираните фази, търсенето на експлоатируеми грешки и генерирането на доказателства за концепцията намаляват времето от откриването до „приложимото“ приложение. Това, което преди изискваше рядко срещани експертни познания, сега е по-достъпно и по-бързо за усъвършенстване, дори за по-малко опитни атакуващи.

Повърхността на атаките расте непрекъснато. Все повече устройства, все повече крайни устройства и IoT, все повече стари системи и следователно все повече места за откриване на уязвимости. Нападателите все по-често излизат извън рамките на браузърите и работните станции и опитват „нетипични“ цели, като например IP камери и промишлено оборудване. Такива устройства са удобни като скрита опорна точка за по-нататъшно придвижване в мрежата и този сценарий все по-често се появява при атаки с цел изнудване и целенасочени операции. Старите компоненти като файлови системи, драйвери и мрежови стекове остават богата почва за нови открития. А геополитическото напрежение подхранва търсенето на нулеви дни, защото разузнавателните групи са силно мотивирани да откриват и трупат неизвестни уязвимости.

Самите тактики също се променят. Точковите операции все повече отстъпват място на „индустриализираната експлоатация“, при която уязвимостта от типа „нулев ден“ се превръща само в начален ключ. След това нападателите изграждат верига от компрометиране на доставките, кражба на пълномощия, странично движение и увеличаване на привилегиите. Вместо да залагат на един-единствен недостатък, те свързват множество вектори, за да достигнат по-надеждно до привилегирован достъп.

За защитниците това е неприятна ситуация. Някои уязвимости започват да се използват в рамките на часове след публичното им разкриване, особено за крайни системи или популярни устройства.

Прозорецът за инсталиране на кръпка или заобикаляне почти изчезва и обичайният ритъм „излязла е актуализация, нека я въведем по план“ спира да работи. В същото време първоначалното проникване може да отнеме минути, но „животът“ на нападателя в мрежата се простира в продължение на месеци.

Защитавайте се така, сякаш експлоатацията на неизвестна уязвимост може да започне почти веднага. Акцентът е върху модели като нулево доверие и компенсаторни мерки на ниво идентичност, крайна точка, приложение и мрежа, които забавят нападателя дори когато все още няма налична кръпка. Минималните привилегии, сегментирането и постоянното валидиране на акаунти стават все по-важни, за да не се допусне разпространение на атаката. Необходим е преход от „периодични“ практики към непрекъснати практики, с акцент върху ограничаването, сегментирането и поведенческото откриване.

Добрата новина е, че през последните години наблюдението се е увеличило. Телеметрията се споделя по-често, процесите на разкриване на уязвимости и докладването от страна на доставчиците са усъвършенствани.

Но това не е достатъчно, за да компенсира адаптацията на нападателите. Най-опасното сляпо петно са самоличностите: експлоатацията на уязвимост от типа „нулев ден“ често изглежда като легитимно влизане в системата под реални идентификационни данни. Без качествено регистриране на данни, поведенчески базови стойности и контрол на привилегиите нападателите могат да останат невидими. Освен това слепите петна продължават да съществуват във веригите за доставки, фърмуера, неуправляемите устройства и сенчестите SaaS услуги. IoT, Еdge и наследените системи често са слабо наблюдавани и бавно или изобщо не се актуализират, така че атаките могат да останат неразкрити дълго време.

Всичко това се натрупва, за да изглежда като сигнал за промяна на правилата, а не като краткосрочен скок. Старото предположение, че има удобно време за реакция между дадена уязвимост и нейната масова експлоатация вече не е валидно. Организациите трябва да изградят защита, изхождайки от неудобното допускане, че неизвестни уязвимости ще бъдат експлоатирани, а задачата на защитата е не само да въведе навреме кръпка, но и да предотврати превръщането на хакерската атака във верижна реакция.