გამჟღავნებული სერვერი ავლენს n0n-ის ransomware ოპერატორის AI-დახმარებით გამომძალველ მეთოდებს

n0n-ის ransomware ოპერატორი ცდილობდა 14 ქვეყანაში 23 ორგანიზაციაში შეჭრას, მაგრამ საკუთარი სერვერი ღიად დატოვა და გაამჟღავნა თავდასხმის მეთოდები, AI-ის გამოყენება და დესტრუქციული მონაცემთა ქურდობა. ჯგუფი ეყრდნობა სუსტ ან მოპარულ კრედენშელებს და არა პროგრამული უზრუნველყოფის სისუსტეებს, ზოგ შემთხვევაში კი ფაილების მოპარვისა და დაშიფვრის შემდეგ მონაცემები და სარეზერვო ასლები წაშალა.

კრედენშელები და არა ექსპლოიტები

SOCRadar-ის CISO-ს, ენსარ სეკერის თქმით, ყველა დოკუმენტირებული კომპრომეტაცია სუსტ ან მოპარულ კრედენშელებს ეყრდნობოდა. „გამოკვლეულ შემთხვევებში სისუსტეების ექსპლუატაციის მტკიცებულება არ აღმოვაჩინეთ“, თქვა მან. ბანდა იყენებს Remote Desktop Protocol-ის ფართო სკანირებას და FortiGate SSL VPN-ის credential stuffing-ს. ოპერატორები ასევე შევიდნენ გამჟღავნებული ღრუბლოვანი კრედენშელებით და ხელახლა გამოყენებული ჰოსტინგის პორტალის სესიებით. აშშ-ში დაფუძნებულ IT მართული სერვისების პროვაიდერ ChiBiTek-ში შესასვლელად მან გამოიყენა 15 ნაკადიანი residential SOCKS5 პროქსი-პული. ელექტრონული კომერციის საიტ Fanatics-თან დაკავშირებულ ერთ შემთხვევაში გამჟღავნებულმა AWS access key-მა დამნაშავეებს საშუალება მისცა 40 S3 bucket-იდან გამოეტანათ მონაცემები, თითო bucket-ზე 110 GB-მდე, შემდეგ კი წაეშალათ მონაცემები, მათ შორის საბანკო ტრანზაქციების არქივები, და გაეწმინდათ გასაღებები 12 მგრძნობიარე bucket-ში.

AI და დესტრუქციული ტაქტიკები

მიუხედავად იმისა, რომ threat hunter-ებმა სრულად ავტონომიური თავდასხმის სისტემა ვერ იპოვეს, ოპერატორმა AI გამოიყენა შეჭრების ხელშესაწყობად და 22 ოქტომბრისთვის AI-ის გამოყენებაზე 7 216 დოლარზე მეტი დახარჯა. მან გამოიყენა OpenCode, ღია კოდის AI კოდირების აგენტი, რომელიც კონფიგურირებული იყო 154 მოდელის ჩანაწერით შვიდ პროვაიდერში, მათ შორის Gemini, Claude, GPT 5.x და სხვები. „ოპერატორმა AI გამოიყენა ასობით სკრიპტის დაწერასა და გამართვაში“, თქვა სეკერმა. დესტრუქციულ ქცევაში შედიოდა მონაცემებისა და სარეზერვო ასლების წაშლა და ერთ შემთხვევაში firewall-ის პოლიტიკის შეცვლა ტრაფიკის დასაბლოკად. სეკერმა თქვა, რომ ეს ქმნის აღდგენის პრობლემას, რომელსაც მხოლოდ დაშიფვრის გასაღები ვერ გადაჭრის.

გამჟღავნებული სერვერი და n0n-ის მტკიცებები

SOCRadar-მა გასულ თვეს იპოვა ოპერატორის სამუშაო სივრცე, შვედეთში განთავსებული საჯაროდ ხელმისაწვდომი Python HTTP ფაილური სერვერი 185.157.161.148 მისამართზე, 8877 პორტზე. 25 და 26 სექტემბრის სნეპშოტებმა დააფიქსირა 1 719 ფაილი, მათ შორის თავდასხმის სკრიპტები, ransomware-ის წყაროს კოდი, გამომძალველი ინფრასტრუქტურა და AI კოდირების აგენტის გარემო. ჯგუფმა n0n-მა გასულ თვეში გამოჩენის შემდეგ 108 მსხვერპლი გამოაცხადა. 12 ოქტომბერს მან თავის leak site-ზე დაამატა 38 საზღვაო, პორტული და ლოგისტიკური ორგანიზაცია 18 ქვეყნიდან. მკვლევარებმა მათგან მინიმუმ 21 დააკავშირეს სამხრეთ კორეული საზღვაო პროგრამული უზრუნველყოფის პროვაიდერის CyberLogitec-ის მომხმარებლებთან, თუმცა პროვაიდერს შეჭრა არ დაუდასტურებია. დამნაშავეებმა 19 ოქტომბრის ვადა და ბიტკოინში 400 000-დან 28 მილიონ დოლარამდე გამოსასყიდის მოთხოვნა დააყენეს. ვადის გასვლის შემდეგ 38 ჩანაწერიდან არცერთი არ იყო მონიშნული როგორც მოგვარებული და მათ არცერთ საგადახდო მისამართზე არ ჩანდა რაიმე ტრანზაქცია. მიჩნეულია, რომ ჯგუფი რუსეთშია დაფუძნებული, თუმცა სერვერმა ერთმნიშვნელოვანი გეოგრაფიული ან სახელმწიფოებრივი ატრიბუცია არ მოგვცა.

ცხოვრების ციკლი და ზეწოლის ტაქტიკები

ყველა დოკუმენტირებული შემთხვევა ერთსა და იმავე ცხოვრების ციკლს მიჰყვებოდა: საწყისი წვდომიდან სისტემაში დარჩენის უზრუნველყოფამდე და საიდენტიფიკაციო მონაცემების შეგროვებამდე, შემდეგ მონაცემების ქურდობამდე, რომლის გავლენაც სამიზნის მიხედვით იცვლებოდა. ნიდერლანდებში დაფუძნებულ ფინანსური მომსახურების პროვაიდერ Transcom-ში შეჭრის შემდეგ დამნაშავეებმა მეორადი გამოსასყიდის შეტყობინება პირდაპირ PayPal-ის უსაფრთხოების გუნდს გაუგზავნეს, მიუხედავად იმისა, რომ კომპრომეტირებული მონაცემები მხოლოდ Transcom-ის ქსელში იყო. ბოლოს ისინი აგზავნიან გამოსასყიდის ჩანაწერებს, აქვეყნებენ ათვლის საათებს, ქმნიან მოლაპარაკების ოთახებსა და ელფოსტის მისამართებს და ავრცელებენ მოპარულ ფაილებს ან ანადგურებენ სარეზერვო ასლებს, როცა ორგანიზაციები არ იხდიან. გამჟღავნებული სერვერი ასევე შეიცავდა კოდში ჩაშენებულ დაშიფვრის გასაღებებს, და მტკიცებულებები მიუთითებს, რომ ისინი სხვადასხვა მსხვერპლზე ხელახლა გამოიყენებოდა. სეკერმა თქვა, რომ ოპერატორმა ათასობით დოლარი ჩადო AI სერვისებში, მაგრამ საკუთარი სამუშაო სივრცე ღიად დატოვა, რაც აჩვენებს თვალსაჩინო უფსკრულს ოპერაციულ ამბიციასა და უსაფრთხოების დისციპლინას შორის.

წყაროები: The Register