Բացահայտված սերվերը բացահայտում է n0n ռանսոմվերի օպերատորի AI-ով աջակցվող շորթման մեթոդները

n0n ռանսոմվերի օպերատորը փորձել է ներթափանցել 23 կազմակերպություն 14 երկրում, սակայն սեփական սերվերը բաց է թողել, ինչի արդյունքում բացահայտվել են հարձակման մեթոդները, AI օգտագործումը և տվյալների ոչնչացնող գողությունը։ Խումբը հիմնվում է թույլ կամ գողացված մուտքային տվյալների վրա, ոչ թե ծրագրային խոցելիությունների, և որոշ դեպքերում տվյալները և կրկնօրինակները ջնջել է ֆայլերը գողանալուց և գաղտնագրելուց հետո։

Մուտքային տվյալներ, ոչ թե խոցելիություններ

Ըստ SOCRadar-ի CISO Ensar Seker-ի՝ փաստագրված բոլոր ներթափանցումները հիմնվել են թույլ կամ գողացված մուտքային տվյալների վրա։ «Մենք չենք գտել խոցելիությունների շահագործման որևէ ապացույց ուսումնասիրված դեպքերում», ասել է նա։ Խմբակցությունը լայնորեն օգտագործում է Remote Desktop Protocol սկանավորում և ավտոմատացված FortiGate SSL VPN մուտքային տվյալների լցոնում։ Օպերատորները նաև մուտք են գործել բացահայտված ամպային մուտքային տվյալներով և վերօգտագործված հոսթինգի պորտալի սեսիաներով։ ԱՄՆ-ում գործող IT կառավարվող ծառայությունների ChiBiTek մատակարարին մուտք գործելու համար օգտագործվել է 15 հոսքով բնակելի SOCKS5 պրոքսի հավաքածու։ Էլեկտրոնային առևտրի Fanatics կայքին կապված մեկ դեպքում բացահայտված AWS մուտքային բանալին հանցագործներին թույլ է տվել տվյալներ քաշել 40 S3 bucket-ից, յուրաքանչյուրում մինչև 110 GB, ապա ջնջել տվյալներ, այդ թվում բանկային գործարքների արխիվները, և մաքրել բանալիները 12 զգայուն bucket-ում։

AI և ոչնչացնող մարտավարություններ

Թեև սպառնալիքների որսորդները չեն գտել լիովին ինքնավար հարձակման համակարգ, օպերատորը AI-ն օգտագործել է ներթափանցումները աջակցելու համար և մինչև հոկտեմբերի 22-ը կրել է ավելի քան $7,216 AI օգտագործման ծախս։ Օգտագործվել է OpenCode՝ բաց կոդով AI կոդավորման գործակալ, որը կարգավորված էր 154 մոդելային գրառումներով յոթ մատակարարների միջև, այդ թվում Gemini, Claude, GPT 5.x և այլն։ «Օպերատորը AI-ն օգտագործել է հարյուրավոր սկրիպտներ գրելու և վրիպազերծելու համար», ասել է Seker-ը։ Ոչնչացնող վարքագիծը ներառում էր տվյալների և կրկնօրինակների ջնջում, իսկ մեկ դեպքում՝ ֆայրուոլի քաղաքականության փոփոխություն՝ երթևեկությունը արգելափակելու համար։ Seker-ը ասել է, որ դա ստեղծում է վերականգնման խնդիր, որը մեկ ապագաղտնագրման բանալին չի կարող լուծել։

Բացահայտված սերվերը և n0n-ի պնդումները

SOCRadar-ը անցյալ ամիս գտել է օպերատորի աշխատանքային տարածքը՝ հանրությանը հասանելի Python HTTP ֆայլային սերվեր, որը հյուրընկալված էր Շվեդիայում՝ 185.157.161.148 հասցեով, 8877 պորտում։ Սեպտեմբերի 25-ի և 26-ի պատկերները փաստագրել են 1,719 ֆայլ, այդ թվում հարձակման սկրիպտներ, ռանսոմվերի սկզբնական կոդ, շորթման ենթակառուցվածք և AI կոդավորման գործակալի միջավայր։ n0n խումբը անցյալ ամիս հայտնվելուց ի վեր պնդել է 108 զոհի մասին։ Հոկտեմբերի 12-ին այն իր արտահոսքի կայքում ավելացրել է ծովային, նավահանգստային և լոգիստիկական 38 կազմակերպություն 18 երկրում։ Հետազոտողները դրանցից առնվազն 21-ը կապել են հարավկորեական CyberLogitec ծովային ծրագրային ապահովման մատակարարի հաճախորդների հետ, թեև մատակարարը չի հաստատել ներթափանցումը։ Խաբեբաները սահմանել են հոկտեմբերի 19-ի վերջնաժամկետ և փրկագին պահանջներ՝ $400,000-ից մինչև $28 միլիոն Bitcoin-ով։ Վերջնաժամկետից հետո 38 ցանկերից ոչ մեկը չի նշվել որպես կարգավորված, և նրանց վճարման հասցեներից ոչ մեկում գործարք չի եղել։ Խումբը ենթադրաբար գտնվում է Ռուսաստանում, սակայն սերվերը վերջնական աշխարհագրական կամ ազգային վերագրում չի տվել։

Կյանքի ցիկլը և ճնշման մարտավարությունը

Փաստագրված յուրաքանչյուր դեպք ունեցել է նույն կյանքի ցիկլը՝ սկզբնական մուտքից մինչև կայունություն և մուտքային տվյալների հավաքագրում, ապա տվյալների գողություն, որի ազդեցությունը տարբեր էր թիրախից թիրախ։ Նիդերլանդներում գործող ֆինանսական ծառայությունների Transcom մատակարարին ներթափանցելուց հետո հանցագործները երկրորդային փրկագնի զգուշացում են ուղարկել ուղղակիորեն PayPal-ի անվտանգության թիմին, թեև վտանգված տվյալները միայն Transcom-ի ցանցում էին։ Ի վերջո, նրանք ուղարկում են փրկագնի գրառումներ, հրապարակում հետհաշվարկի ժամացույցներ, ստեղծում բանակցային սենյակներ և էլեկտրոնային փոստի հասցեներ, ինչպես նաև արտահոսեցնում գողացված ֆայլերը կամ ոչնչացնում կրկնօրինակները, երբ կազմակերպությունները չեն վճարում։ Բացահայտված սերվերում նաև կոշտ կոդավորված գաղտնագրման բանալիներ կային, իսկ ապացույցները ենթադրում են դրանց վերօգտագործում զոհերի միջև։ Seker-ը ասել է, որ օպերատորը հազարավոր դոլարներ է ներդրել AI ծառայություններում, մինչդեռ սեփական աշխատանքային տարածքը բաց է թողել, ինչը ցույց է տալիս գործառնական հավակնության և անվտանգության կարգապահության միջև զգալի բաց։

Աղբյուրներ՝ The Register