שרת חשוף חשף שיטות סחיטה של מפעיל n0n ransomware בסיוע AI

מפעיל n0n ransomware ניסה לחדור ל-23 ארגונים ב-14 מדינות, אך השאיר את השרת שלו חשוף, וחשף בכך את שיטות התקיפה, את השימוש ב-AI ואת גניבת הנתונים ההרסנית. הקבוצה נשענת על אישורים חלשים או גנובים ולא על פגיעויות תוכנה, ובמקרים מסוימים מחקה נתונים וגיבויים לאחר שגנבה והצפינה קבצים.

אישורים, לא פגיעויות

לפי אנסר סקר, מנהל אבטחת המידע של SOCRadar, כל חדירה מתועדת הסתמכה על אישורים חלשים או גנובים. "לא מצאנו ראיות לניצול פגיעויות במקרים שנבדקו", אמר. הכנופיה משתמשת בסריקה נרחבת של Remote Desktop Protocol ובמילוי אישורים אוטומטי מול FortiGate SSL VPN. המפעילים השיגו גישה גם באמצעות אישורי ענן חשופים ושימוש חוזר בהפעלות של פורטל אחסון. כדי לחדור לספק שירותי ה-IT המנוהלים ChiBiTek, שבסיסו בארה"ב, השתמשו במאגר פרוקסי SOCKS5 מסוג residential עם 15 תהליכונים. במקרה אחד שקשור לאתר המסחר האלקטרוני Fanatics, מפתח גישה חשוף של AWS אפשר לפושעים לשלוף נתונים מ-40 דליי S3, עד 110 GB לדלי, ולאחר מכן למחוק נתונים, ובהם ארכיוני תנועות בנקאיות, ולמחוק מפתחות ב-12 דליי רגישים.

AI ושיטות הרסניות

אף שחוקרי איומים לא מצאו מערכת תקיפה אוטונומית לחלוטין, המפעיל השתמש ב-AI כדי לסייע בחדירות, ורשם עלויות שימוש ב-AI של יותר מ-7,216 דולר עד 22 באוקטובר. הוא השתמש ב-OpenCode, סוכן קידוד AI בקוד פתוח, שהוגדר עם 154 רשומות מודל בשבעה ספקים, ובהם Gemini, Claude, GPT 5.x ואחרים. "המפעיל השתמש ב-AI כדי לכתוב ולנפות מאות סקריפטים", אמר סקר. ההתנהגות ההרסנית כללה מחיקת נתונים וגיבויים, ובמקרה אחד שינוי מדיניות חומת אש כדי לחסום תעבורה. סקר אמר שזה יוצר בעיית התאוששות שמפתח פענוח לבדו אינו יכול לפתור.

שרת חשוף ותביעות n0n

SOCRadar מצאה בחודש שעבר את סביבת העבודה של המפעיל, שרת קבצים מסוג Python HTTP הנגיש לציבור, המתארח בשוודיה בכתובת 185.157.161.148 בפורט 8877. צילומי מצב מ-25 ו-26 בספטמבר תיעדו 1,719 קבצים, ובהם סקריפטים לתקיפה, קוד מקור של כופרה, תשתית סחיטה וסביבת סוכן קידוד AI. הקבוצה, n0n, טוענת ל-108 קורבנות מאז שהופיעה בחודש שעבר. ב-12 באוקטובר היא הוסיפה לאתר ההדלפות שלה 38 ארגוני ספנות, נמלים ולוגיסטיקה ב-18 מדינות. חוקרים קשרו לפחות 21 מהם ללקוחות של ספקית התוכנה הימית הדרום קוריאנית CyberLogitec, אף שהספקית לא אישרה חדירה. הפושעים קבעו מועד אחרון ל-19 באוקטובר ודרישות כופר של 400,000 עד 28 מיליון דולר בביטקוין. לאחר המועד האחרון, אף אחד מ-38 הפרסומים לא סומן כנפתר, ואף אחת מכתובות התשלום לא הראתה תנועה. ההערכה היא שהקבוצה פועלת מרוסיה, אך השרת לא סיפק ייחוס גיאוגרפי או לאומי חד-משמעי.

מחזור חיים ושיטות לחץ

כל מקרה מתועד עבר אותו מחזור חיים: מגישה ראשונית, דרך ביסוס נוכחות ואיסוף אישורים, ועד גניבת נתונים שהשפעתה משתנה בהתאם ליעד. לאחר החדירה ל-Transcom, ספק שירותים פיננסיים מהולנד, שלחו הפושעים התרעת כופר משנית ישירות לצוות האבטחה של PayPal, אף שהנתונים שנפגעו היו רק ברשת של Transcom. לבסוף הם שולחים פתקי כופר, מפרסמים שעוני ספירה לאחור, מקימים חדרי משא ומתן וכתובות דואר, ומדליפים קבצים גנובים או משמידים גיבויים כשהארגונים אינם משלמים. השרת החשוף הכיל גם מפתחות הצפנה מוטבעים בקוד, עם ראיות שמצביעות על שימוש חוזר בקורבנות שונים. סקר אמר שהמפעיל השקיע אלפי דולרים בשירותי AI ובמקביל השאיר את סביבת העבודה שלו חשופה, מה שמראה פער בולט בין שאיפות תפעוליות לבין משמעת אבטחה.

מקורות: The Register