Атаки с фалшив изкуствен интелект се разпространяват сред компании в САЩ: Как MSSP доставчиците могат да спират инциденти на ранен етап

Атакуващите се представят за популярни AI продукти, за да разпространяват зловреден софтуер, да крадат сесии от браузъра и да компрометират бизнес акаунти. ANY.RUN свърза 1,258 публични анализа в изолирана среда с кампании с фалшив AI между април и октомври 2026 г.

Кампаниите също така увеличават оперативния натиск върху MSSP, обслужващи бизнеси в САЩ, които представляват 16% от целите, класифицирани по държава.

Подобни атаки, появяващи се при различни клиенти, могат да предизвикат повтарящи се разследвания, да изразходват капацитета на аналитиците и да удължат времето за реакция, което затруднява поддържането на постоянни нива на обслужване с нарастването на активността на заплахите.

Как атаките с фалшив AI достигат до бизнесите в САЩ

Кампаниите, разследвани от ANY.RUN, използват познати AI марки, за да подтикнат служителите да изпълняват злонамерени команди, да инсталират компрометирани приложения или да въвеждат идентификационни данни през измамни страници за автентикация.

Атакуващите се представят за Claude, ChatGPT, GitHub Copilot, Gemini и други AI услуги. Техните примамки се появяват в спонсорирани резултати от търсенето, легитимни хостинг услуги, споделени AI разговори и фалшиви уебсайтове за изтегляне.

Една кампания, представяща се за Claude, демонстрира колко лесно рутинната инсталация на софтуер може да се превърне в заразяване.

При атаката, анализирана чрез интерактивната изолирана среда на ANY.RUN, жертвата попада на страница, наподобяваща официалния уебсайт за изтегляне на Claude. Кликването върху бутона за изтегляне за Windows копира команда в клипборда и показва инструкции за изпълнението ѝ чрез PowerShell.

Вместо да инсталира очакваното приложение, командата стартира mshta.exe, изтегля злонамерен HTA файл и задейства кодирана верига за изпълнение през PowerShell.

Завършените анализи разкриха активност на софтуер за кражба на информация (infostealer)

Техниката представлява труден сценарий за засичане. Служителят инициира процеса доброволно, атаката разчита на легитимни системни инструменти на Windows, а злонамереният код се появява едва след няколко етапа на изпълнение.

За MSSP, управляващи множество клиентски среди, това създава повтарящо се оперативно предизвикателство: първоначалните индикатори варират, докато поведението на атакуващия в основата си остава сходно.

Намалете с 21 минути средното време за реакция и подобрете ефективността на SOC в цялата си клиентска база. Открийте как ANY.RUN подобрява работните процеси за засичане и реакция при MSSP.

Защо кампаниите с фалшив AI оказват натиск върху операциите на MSSP

Индивидуален инцидент с фалшив AI може да изглежда лесен за разрешаване, след като пълната му верига на изпълнение стане видима. Оперативната трудност се увеличава, когато MSSP трябва да разпознае подобна активност при клиенти с различни технологии, политики и профили на риска.

Тези кампании създават натиск върху три взаимносвързани процеса в SOC.

• Обхват на наблюдение и засичане: Атакуващите непрекъснато сменят домейни, хостинг услуги и марки на AI, което прави новите варианти на кампании по-трудни за откриване със съществуващите индикатори.
• Трижиране и управление на ескалацията: Изплъзващите се вериги на атака изискват по-задълбочено разследване, увеличавайки натоварването на аналитиците, времето за реакция и ненужните ескалации.
• Търсене на заплахи (threat hunting) и подобряване на засичането: Констатациите от отделни разследвания трябва да бъдат корелирани и преизползвани, за да се засили засичането в клиентските среди.

Тези предизвикателства пряко засягат метриките, управлявани от ръководството на MSSP: MTTD, MTTR, нива на ескалация, разходи за разследване и спазване на SLA.

Подобряването на тези метрики изисква координиран подход към наблюдението, разследването и повторното използване на разузнавателни данни за заплахи.

Подобряване на ефективността на Tier 1 чрез поведенческо разследване

Първата възможност е да се намали времето, което аналитиците отделят, за да установят дали дадена подозрителна активност представлява реална заплаха.

Кампаниите с фалшив AI илюстрират защо това е важно. Подозрителна страница за изтегляне може да изглежда безобидна, докато аналитикът не кликне върху бутона за инсталиране или не последва инструкциите. Статичната проверка може да предостави непълна картина на получената верига от изпълнение.

Интерактивната изолирана среда на ANY.RUN дава възможност на аналитиците да възпроизведат тези взаимодействия в изолирана среда и да наблюдават произтичащите процеси, мрежова активност и злонамерено поведение.

За оперативната дейност на MSSP стойността се крие в превръщането на сложните разследвания в управляеми в рамките на рутинните работни процеси на Tier 1.

Вместо да изпращат неясни случаи директно към опитни аналитици, екипите от Tier 1 могат да използват поведенчески доказателства, за да определят дали дадена заплаха изисква изолиране, по-нататъшно разследване или приключване.

ANY.RUN отчита 30% по-малко ескалации от Tier 1 към Tier 2 при използване на неговата изолирана среда, заедно с медианно време за засичане на заплахи от 14 секунди.

Намаляването на ненужните ескалации подобрява разпределението на работата между нивата в SOC. Старшите аналитици могат да се концентрират върху сложни разследвания, докато младшите аналитици разрешават самостоятелно по-голяма част от рутинните случаи.

За ръководството на MSSP това създава възможност да поддържа качеството на разследванията и изпълнението на SLA с увеличаването на обема на сигналите от клиентите.

Намалете ненужните ескалации от Tier 1 с 30% и помогнете на вашия MSSP да обработва повече разследвания по-бързо. Научете повече за ANY.RUN за MSSP.

Разширяване на обхвата на засичане в клиентските среди

Ефективното трижиране адресира заплахи, които вече са породили подозрение. MSSP също така трябва да идентифицират зараждащите се кампании достатъчно рано, за да намалят броя на успешните компрометирания.

Атаките с фалшив AI показват колко бързо изолираните индикатори губят стойност. Целевите домейни се променят, докато злонамерената инфраструктура и поведенческите модели могат да се запазят при множество варианти на кампанията.

Това прави непрекъснато обновяваните и валидирани разузнавателни данни за заплахи особено важни за MSSP.

ANY.RUN Threat Intelligence Feeds предоставят индикатори, извлечени от реални разследвания на зловреден софтуер и фишинг. Тези индикатори могат да бъдат интегрирани в съществуващи работни процеси за сигурност на SIEM, EDR и други системи, за да се подобри засичането на инфраструктура, свързана с активни заплахи.

30% от уникалните зловредни IOC, открити от клиенти на ANY.RUN по време на техните разследвания в изолирана среда, вече са налични в ANY.RUN TI Feeds.

Чрез интегрирането на тези емисии в своя стек за сигурност, MSSP могат да идентифицират по-рано вече наблюдавана зловредна инфраструктура, осигурявайки на анализаторите предимство при валидирането на заплахи и намалявайки повтарящата се работа по разследване в клиентските среди.

Качеството на тази разузнавателна информация е толкова важно, колкото и нейното разпространение. ANY.RUN TI Feeds осигуряват 99% уникални IOC в сравнение с други източници на данни за заплахи, като помагат на MSSP да разширят покритието отвъд индикаторите, които вече са налични в съществуващия им стек за сигурност.

Този подход подпомага по-ранното засичане на нововъзникващи заплахи, като същевременно намалява зависимостта от ръчно проучване на кампании за всяка управлявана среда.

Укрепване на проактивната защита чрез ефективно търсене на заплахи

Следващата възможност е да се гарантира, че индивидуалните разследвания допринасят за по-широки подобрения в откриването.

Изследователите на ANY.RUN идентифицираха няколко повтарящи се поведения в рамките на кампаниите с фалшив изкуствен интелект, включително подозрителни инсталационни команди в PowerShell, изпълнение на mshta.exe, кодирани инструкции за изтегляне и планирани задачи, стартиращи браузъри за кражба на сесии.

Тези модели предоставят полезни отправни точки за търсене на свързана активност отвъд първоначалния инцидент.

Threat Intelligence Lookup помага на анализаторите да изследват връзките между подозрителни индикатори, поведение на зловреден софтуер, исторически наблюдения и свързана инфраструктура на кампании.

Когато даден анализатор идентифицира инфекция с фалшив изкуствен интелект, засягаща един клиент, екипът може да изследва свързаната инфраструктура, да определи кои поведенчески индикатори остават актуални и да използва тези констатации за търсене на свързана активност в средите на други клиенти.

Резултатите могат също така да послужат за инженеринг на засичането, позволявайки на екипите да актуализират своите правила въз основа на наблюдаваното поведение на атакуващия, вместо да разчитат единствено на новоидентифицирани домейни.

Решенията за Threat Intelligence на ANY.RUN предоставят достъп до 24 пъти повече IOC за инцидент, разширявайки наличните доказателства за корелация и търсене на заплахи.

С течение на времето този процес помага на MSSP да подобрят покритието на засичане, използвайки знания, вече генерирани чрез ежедневните разследвания.

Как ANY.RUN помага на MSSP да подобрят засичането и реагирането при множество клиенти

ANY.RUN комбинира интерактивна изолирана среда и Threat Intelligence, за да помогне на MSSP да укрепят мониторинга, триажа и търсенето на заплахи в клиентските среди. Заедно тези решения подобряват покритието на откриване, намаляват натоварването при разследвания и правят разузнавателната информация за заплахи преизползваема за различните клиенти.

Оперативното въздействие включва:

• По-ранно откриване на заплахи: 36% по-висока степен на засичане и до 58% повече идентифицирани заплахи, помагайки на MSSP да укрепят защитата за всички клиенти.
• По-бързи разследвания: с 21 минути по-бърза реакция, което позволява на анализаторите да обработват повече случаи, като същевременно поддържат изпълнението на SLA.
• По-малко ескалации: 30% по-малко ескалации от Tier 1 към Tier 2, запазвайки капацитета на старшите анализатори за сложни инциденти.
• По-ефективно търсене на заплахи: Доказателствата от изолираната среда и Threat Intelligence Lookup помагат на MSSP да идентифицират свързани атаки и да преизползват констатациите в клиентските среди.

За ръководството на MSSP тези подобрения се изразяват в по-ниски разходи за разследване, намален риск от сериозни клиентски инциденти и по-постоянно изпълнение на SLA. Чрез намаляване на повтарящата се работа и прилагане на разузнавателна информация при различни клиенти, MSSP могат да мащабират своите услуги без пропорционално увеличаване на броя на анализаторите, подобрявайки оперативните маржове и същевременно поддържайки качеството на защита.

Заключение

Кампаниите с фалшив изкуствен интелект демонстрират как атакуващите могат да експлоатират познати софтуерни брандове, легитимна инфраструктура и рутинна дейност на служителите, за да достигнат до корпоративни среди.

За MSSP дългосрочното предизвикателство е поддържането на ефективността на откриване, докато тези кампании се развиват и появяват в различни клиентски среди.

Най-силният оперативен отговор комбинира ранна информация за заплахите, ефективно поведенческо разследване и систематично преизползване на констатациите в мониторинга и търсенето на заплахи.

Когато тези процеси работят заедно, MSSP могат да подобрят покритието на откриване, да намалят административната тежест при разследвания, да поддържат по-постоянни нива на обслужване и да защитят нарастваща клиентска база с по-висока оперативна ефективност.