خادم مكشوف يكشف أساليب ابتزاز مشغل رانسوموير n0n بمساعدة الذكاء الاصطناعي

حاول مشغل رانسوموير n0n اختراق 23 منظمة في 14 دولة، لكنه ترك خادمه الخاص مكشوفا، ما كشف أساليب الهجوم واستخدام الذكاء الاصطناعي وسرقة البيانات المدمرة. تعتمد المجموعة على بيانات اعتماد ضعيفة أو مسروقة بدلا من ثغرات البرمجيات، وفي بعض الحالات حذفت البيانات والنسخ الاحتياطية بعد سرقة الملفات وتشفيرها.

بيانات الاعتماد، وليس الاستغلالات

وفقًا لـ Ensar Seker، مسؤول أمن المعلومات في SOCRadar، اعتمد كل اختراق موثق على بيانات اعتماد ضعيفة أو مسروقة. "لم نجد دليلا على استغلال ثغرات في الحالات التي فحصناها"، قال. تستخدم العصابة فحصا واسعا لبروتوكول سطح المكتب البعيد (Remote Desktop Protocol) وحشو بيانات اعتماد FortiGate SSL VPN آليا. كما دخل المشغلون عبر بيانات اعتماد سحابية مكشوفة وجلسات بوابة استضافة أعيد استخدامها. للوصول إلى ChiBiTek، وهو مزود خدمات IT مُدارة في الولايات المتحدة، استخدموا تجمع 15 خيطا من وكلاء SOCKS5 سكنيين. في حالة مرتبطة بموقع التجارة الإلكترونية Fanatics، مكّن مفتاح AWS مكشوف المجرمين من سحب بيانات من 40 حاوية S3، بحجم يصل إلى 110 GB لكل حاوية، ثم حذف بيانات شملت أرشيفات معاملات مصرفية ومحو مفاتيح عبر 12 حاوية حساسة.

الذكاء الاصطناعي والأساليب المدمرة

بينما لم يجد صائدو التهديدات أي نظام هجوم مستقل بالكامل، استخدم المشغل الذكاء الاصطناعي لمساعدة الاختراقات، وتكبد تكاليف استخدام ذكاء اصطناعي تجاوزت 7,216 دولارا بحلول 22 أكتوبر. استخدم OpenCode، وهو وكيل برمجة ذكاء اصطناعي مفتوح المصدر، مضبوطا على 154 إدخال نموذج عبر سبعة مزودين، بينها Gemini وClaude وGPT 5.x وغيرها. "استخدم المشغل الذكاء الاصطناعي لكتابة مئات السكربتات وتصحيحها"، قال Seker. شمل السلوك المدمر حذف البيانات والنسخ الاحتياطية، وفي حالة واحدة تغيير سياسات جدار الحماية لحجب حركة المرور. قال Seker إن ذلك يخلق مشكلة استرداد لا يمكن لمفتاح فك تشفير وحده حلها.

خادم مكشوف ومزاعم n0n

عثر SOCRadar على مساحة عمل المشغل، وهي خادم ملفات HTTP Python يمكن الوصول إليه للعامة، مستضاف في السويد على 185.157.161.148 والمنفذ 8877، في الشهر الماضي. وثقت لقطات في 25 و26 سبتمبر 1,719 ملفا، بينها سكربتات هجوم وكود مصدر رانسوموير وبنية ابتزاز وبيئة وكيل برمجة ذكاء اصطناعي. زعمت المجموعة، n0n، 108 ضحايا منذ ظهورها في الشهر الماضي. في 12 أكتوبر أضافت 38 منظمة بحرية وموانئ ولوجستيات في 18 دولة إلى موقع تسريبها. ربط الباحثون 21 منها على الأقل بعملاء CyberLogitec، مزود البرمجيات البحرية من كوريا الجنوبية، مع أن المزود لم يؤكد اختراقا. حدد المجرمون مهلة 19 أكتوبر ومطالب فدية من 400,000 إلى 28 مليون دولار بعملة Bitcoin. بعد المهلة، لم تُعلّم أي من 38 قائمة كتسوية، ولم تُظهر أي من عناوين الدفع أي معاملة. يُعتقد أن المجموعة مقرها روسيا، لكن الخادم لم يقدم نسبا جغرافيا أو وطنيا نهائيا.

دورة الحياة وأساليب الضغط

اتبعت كل حالة موثقة دورة حياة نفسها، من الوصول الأولي إلى الثبات وجمع بيانات الاعتماد، ثم سرقة البيانات مع تأثير يختلف بحسب الهدف. بعد اختراق Transcom، وهو مزود خدمات مالية مقره هولندا، أرسل المجرمون تنبيه فدية ثانويا مباشرة إلى فريق أمن PayPal، رغم أن البيانات المخترقة كانت على شبكة Transcom فقط. أخيرا، يرسلون ملاحظات فدية، وينشرون ساعات عد تنازلي، ويؤسسون غرف تفاوض ورسائل بريد إلكتروني، ويُسرّبون ملفات مسروقة أو يدمرون نسخا احتياطية عندما لا تدفع المنظمات. كما احتوى الخادم المكشوف على مفاتيح تشفير مُضمّنة، مع دليل يشير إلى إعادة استخدامها عبر ضحايا. قال Seker إن المشغل استثمر آلاف الدولارات في خدمات الذكاء الاصطناعي بينما ترك مساحة عمله مكشوفة، ما يُظهر فجوة لافتة بين الطموح التشغيلي والانضباط الأمني.

المصادر: The Register