Базы данных с результатами сканирований

Оригинал: Scan Databases

Злоумышленники могут искать сведения в общедоступных сервисах сканирования интернета, чтобы выявить доступную из интернета инфраструктуру ИИ жертвы. Такие сервисы, как Shodan и Censys, непрерывно сканируют интернет и публикуют активные IP-адреса, имена хостов, открытые порты и баннеры сервисов. Злоумышленники могут выполнять поиск по этим данным без прямого взаимодействия с целью.

Собранные таким образом сведения также могут помочь выявить потенциальные цели для последующего применения техники Активное сканирование, чтобы подтвердить, что сервисы по-прежнему доступны, и проверить наличие ошибок конфигурации или несанкционированных конечных точек. Эти сведения также могут использоваться при подготовке последующих попыток первоначального доступа, например с помощью техники Эксплуатация приложения, доступного из интернета. В отличие от техники Активное сканирование, эта техника использует результаты сканирования, полученные третьими сторонами, и не предполагает прямого взаимодействия с системой жертвы.

Тактики

AML.TA0002Разведка

Родительская техника

AML.T0000Поиск в открытых технических базах данных

Другие подтехники родителя

AML.T0000.000Журналы и материалы конференцийПодтехника AML.T0000.001Репозитории препринтовПодтехника AML.T0000.002Технические блогиПодтехника

Меры защиты

AML.M0039ИИ-ханипоты

Ресурсы-приманки попадают в те же базы данных с результатами сканирований интернета (например, Shodan и Censys), в которых злоумышленники ищут доступную из интернета инфраструктуру ИИ. Взаимодействие с приманками, найденными злоумышленниками через эти платформы, может дать защитникам сведения об используемых каналах выявления ресурсов.

Примеры процедур из кейсов

AML.CS0048Публично доступные интерфейсы управления ClawdBot позволили получить учётные данные и выполнить командыАктор: Jamieson O'Reilly / Тактика: AML.TA0002 Разведка

Исследователь искал цели в Shodan по содержимому тега `title` веб-интерфейса управления ClawdBot — `Clawdbot Control` — и обнаружил сотни интерфейсов ClawdBot, открытых в публичном интернете.

AML.CS0070Злоумышленник использовал Hermes Agent на базе DeepSeek при попытках эксплуатации Langflow и n8nАктор: Chinese-speaking threat actor using the aliases knaithe and KnYuan / Тактика: AML.TA0002 Разведка

DeepSeek выполнил запрос в FOFA и получил записи о 84 экземплярах Langflow, доступных из интернета. Эти записи указывали лишь на доступность экземпляров извне и не подтверждали, что они являлись уязвимыми целями.