Açıq server n0n fidyə proqramı operatorunun süni intellekt dəstəkli hədə-qorxu metodlarını üzə çıxardı

n0n fidyə proqramı operatoru 14 ölkədə 23 təşkilata sızmağa çalışdı, lakin öz serverini açıq qoyaraq hücum metodlarını, süni intellektdən istifadəsini və məhvədici məlumat oğurluğunu üzə çıxardı. Qrup proqram təminatı zəifliklərindən daha çox zəif və ya oğurlanmış etimadnamələrə güvənir və bəzi hallarda məlumatları oğurlayıb şifrələdikdən sonra məlumatları və ehtiyat nüsxələri silir.

Etimadnamələr, zəiflik istismarı deyil

SOCRadardan Ensar Sekerin sözlərinə görə, sənədləşdirilmiş hər bir pozulma zəif və ya oğurlanmış etimadnamələrə əsaslanırdı. "Yoxlanılan hallarda zəiflik istismarına dair heç bir sübut tapmadıq", dedi o. Dəstə genişmiqyaslı Remote Desktop Protocol skanı və avtomatlaşdırılmış FortiGate SSL VPN etimadnaməsi doldurma üsulundan istifadə edir. Operatorlar həmçinin açıq bulud etimadnamələri və təkrar istifadə olunan hosting portal sessiyaları ilə daxil olublar. ABŞ əsaslı IT idarə olunan xidmət provayderi ChiBiTek-ə daxil olmaq üçün 15 axınlı yaşayış SOCKS5 proksi hovuzundan istifadə edilib. Fanatics adlı elektron ticarət saytı ilə bağlı bir halda açıq AWS giriş açarı cinayətkarlara 40 S3 bucket-dən məlumat çıxarmağa imkan verdi; hər bucket üçün 110 GB-a qədər məlumat, sonra bank əməliyyat arxivləri daxil olmaqla məlumatları sildi və 12 həssas bucket üzrə açarları təmizlədi.

Süni intellekt və məhvədici taktikalar

Təhdid ovçuları tam avtonom hücum sistemi tapmasalar da, operator daxil olmalara kömək etmək üçün süni intellektdən istifadə etdi və oktyabrın 22-nə qədər süni intellekt istifadə xərclərində 7 216 dollardan çox vəsait sərf etdi. O, yeddi provayder üzrə 154 model qeydi ilə konfiqurasiya edilmiş açıq mənbəli süni intellekt kodlaşdırma agenti OpenCode-dan istifadə etdi; bunlar arasında Gemini, Claude, GPT 5.x və başqaları var idi. "Operator yüzərlə skript yazmaq və sazlamaq üçün süni intellektdən istifadə etdi", dedi Seker. Məhvədici davranış məlumatların və ehtiyat nüsxələrin silinməsini, bir halda isə trafiki bloklamaq üçün firewall siyasətlərinin dəyişdirilməsini əhatə edirdi. Seker dedi ki, bu, təkbaşına deşifrə açarı ilə həll olunmayan bərpa problemi yaradır.

Açıq server və n0n iddiaları

SOCRadardan operatorun iş məkanını aşkar etdi; bu, İsveçdə 185.157.161.148 ünvanında 8877 portunda yerləşən, ümumi istifadəyə açıq Python HTTP fayl serveri idi və keçən ay tapılmışdı. Sentyabrın 25 və 26-da çəkilən snapshotlar 1 719 faylı, o cümlədən hücum skriptlərini, fidyə proqramı mənbə kodunu, hədə-qorxu infrastrukturunu və süni intellekt kodlaşdırma agenti mühitini sənədləşdirdi. n0n qrupu ortaya çıxdığı keçən aydan bəri 108 qurban iddia edib. Oktyabrın 12-də 18 ölkədə 38 dəniz, liman və logistika təşkilatını öz sızdırma saytına əlavə etdi. Tədqiqatçılar onların ən azı 21-ni Cənubi Koreyalı dəniz proqram təminatı provayderi CyberLogitec müştəriləri ilə əlaqələndirdi, lakin provayder daxil olmanı təsdiqləməyib. Fırıldaqçılar oktyabrın 19-nu son tarix təyin etdilər və Bitcoinlə 400 000 dollardan 28 milyon dollara qədər fidyə tələb etdilər. Son tarixdən sonra 38 siyahıdan heç biri həll edilmiş kimi işarələnmədi və onların heç bir ödəniş ünvanında əməliyyat görünmədi. Qrupun Rusiyada yerləşdiyi güman edilir, lakin server coğrafi və ya milli mənsubiyyət barədə qəti sübut vermədi.

Həyat dövrü və təzyiq taktikaları

Sənədləşdirilmiş hər bir hal eyni həyat dövrünü izlədi: ilkin daxil olmadan davamlılığa və etimadnamə toplamaya, sonra isə hədəfə görə təsiri fərqlənən məlumat oğurluğuna qədər. Niderland əsaslı maliyyə xidmətləri provayderi Transcom-a sızdıqdan sonra cinayətkarlar kompromat olunmuş məlumatlar yalnız Transcom şəbəkəsində olsa da, ikinci fidyə xəbərdarlığını birbaşa PayPal-ın təhlükəsizlik komandasına göndərdilər. Sonda onlar fidyə qeydləri göndərir, geri sayım saatları yerləşdirir, danışıq otaqları və e-poçt ünvanları yaradırlar, təşkilatlar ödəniş etmədikdə isə oğurlanmış faylları sızdırır və ya ehtiyat nüsxələri məhv edirlər. Açıq serverdə həmçinin kodda sərtləşdirilmiş şifrələmə açarları var idi və sübutlar onların qurbanlar arasında təkrar istifadə olunduğunu göstərir. Seker dedi ki, operator öz iş məkanını açıq qoyarkən süni intellekt xidmətlərinə minlərlə dollar sərmayə qoyub və bu, əməliyyat ambisiyası ilə təhlükəsizlik intizamı arasında qeyri-adi boşluğu göstərir.

Mənbələr: The Register