# A57: Применение AI в операциях с вредоносным ПО и шифровальщиками (AI-assisted malware/ransomware operations)

> AI помогает атакующим в разведке, написании скриптов, фишинге, разборе уязвимостей и автоматизации, ускоряя атаку. Для бизнеса это означает меньше времени между появлением слабого места и его использованием и рост нагрузки на реагирование.

- Канонический HTML: [/threats/a57-ai-assisted-malware-ransomware-operations](https://ai-first.tech/threats/a57-ai-assisted-malware-ransomware-operations)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Угрозы с применением AI

## Как проявляется риск

Исполнитель невысокой квалификации использует AI-инструменты, чтобы разобраться в уязвимостях и выстроить цепочку социальной инженерии. Подготовка идёт быстрыми итерациями и легко масштабируется. Сами приёмы остаются традиционными, меняются темп и доступность. Защита проигрывает там, где сроки устранения уязвимостей и готовность к восстановлению рассчитаны на прежнюю скорость противника.

## Влияние на бизнес

- **Безопасность.** Сокращается время от обнаружения уязвимости до её использования.
- **Операции.** Служба мониторинга и команда реагирования работают под возросшим давлением.
- **Финансы.** Простой и восстановление после шифрования данных обходятся дороже при слабой готовности резервных копий.

## Где риск наиболее вероятен

- Сервисы, доступные из интернета
- Инфраструктура с длинным циклом установки обновлений
- Плоские сети без сегментации
- Организации без проверенного восстановления из копий

## Кому и что решать

- **ИТ-директор.** Сократить цикл установки обновлений для внешних систем и подтвердить восстановление из резервных копий на практике.
- **Директор по кибербезопасности.** Перейти к приоритизации уязвимостей по реальной подверженности и к регулярной проверке защиты имитацией атак.
- **Владелец бизнес-процесса.** Оценить допустимое время простоя ключевых процессов и заложить ресурсы на устойчивость.

## Признаки для службы мониторинга

- Быстрая смена вариантов одной и той же активности
- Характерные шаблоны сгенерированного текста в приманках
- Автоматизированные действия в большом масштабе
- Приманки на нескольких языках одновременно
- Попытки использовать недавно раскрытые слабые места внешних систем

## Меры защиты

- **Приоритизация обновлений** (организационная). Устранять в первую очередь уязвимости систем, доступных извне и значимых для бизнеса.
- **Контроль внешней поверхности атаки** (техническая). Постоянно выявлять ресурсы организации, видимые из интернета, включая забытые.
- **Имитация атак** (техническая). Регулярно проверять, срабатывают ли средства защиты на типовые сценарии.
- **Сегментация сети** (техническая). Разделить сеть так, чтобы компрометация одного узла не открывала остальную инфраструктуру.
- **Устойчивость резервных копий** (техническая). Хранить копии отдельно от основной среды и проверять восстановление.
- **Проактивный поиск угроз** (мониторинг). Искать следы активности в инфраструктуре, не дожидаясь срабатывания правил.

## Вопросы команде и поставщику

- Сколько времени проходит от публикации уязвимости до обновления наших внешних систем?
- Знаем ли мы все свои ресурсы, доступные из интернета?
- Когда мы в последний раз восстанавливались из резервной копии на учениях?
- Остановит ли сегментация распространение шифровальщика?

## Показатели контроля

- Среднее время устранения критических уязвимостей внешних систем
- Доля внешних ресурсов, покрытых регулярной проверкой
- Фактическое время восстановления ключевых систем на учениях

## Первые 30 дней

- Провести инвентаризацию внешней поверхности атаки
- Сверить сроки установки обновлений с фактическими
- Выполнить пробное восстановление одной ключевой системы

## Классы решений

- Непрерывное управление подверженностью угрозам (CTEM)
- Управление внешней поверхностью атаки (EASM)
- Имитация атак и взломов (BAS)
- Защита конечных точек

## Сопоставления

- OWASP: LLM09
- MITRE: ATT&CK: Phishing
- NIST: NIST AI RMF: Map

## Первоисточники

- [MITRE: MITRE ATLAS](https://atlas.mitre.org/) — Тактики и техники против AI-систем.
- [CISA / NSA: Careful Adoption of Agentic AI Services](https://www.cisa.gov/news-events/news/cisa-us-and-international-partners-release-guide-secure-adoption-agentic-ai) — Контроли для agentic AI.
- [ITOREX: ITOREX vendor portfolio](https://itorex.ru/vendors) — Портфель AI Security, DevSecOps и AI Infrastructure.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.