Açık bırakılan sunucu, n0n fidye yazılımı operatörünün yapay zeka destekli şantaj yöntemlerini ortaya çıkardı

n0n fidye yazılımı operatörü, 14 ülkedeki 23 kuruluşu ele geçirmeye çalıştı; ancak kendi sunucusunu açık bırakarak saldırı yöntemlerini, yapay zeka kullanımını ve yıkıcı veri hırsızlığını ortaya çıkardı. Grup, yazılım açıklarından çok zayıf veya çalınmış kimlik bilgilerine dayanıyor; bazı durumlarda dosyaları çaldıktan ve şifreledikten sonra verileri ve yedekleri sildi.

Kimlik bilgileri, yazılım açıkları değil

SOCRadar CISO'su Ensar Seker'e göre, belgelenen her ihlal zayıf veya çalınmış kimlik bilgilerine dayandı. "İncelenen olaylarda güvenlik açığı istismarına dair kanıt bulamadık," dedi. Çete, yaygın Uzak Masaüstü Protokolü taraması ve otomatik FortiGate SSL VPN kimlik bilgisi denemesi kullanıyor. Operatörler ayrıca açık bulut kimlik bilgileri ve yeniden kullanılan hosting portal oturumlarıyla giriş yaptı. ABD merkezli BT yönetilen hizmet sağlayıcısı ChiBiTek'e erişmek için 15 iş parçacıklı konut (residential) SOCKS5 proxy havuzu kullandı. E ticaret sitesi Fanatics ile bağlantılı bir olayda, açık bir AWS erişim anahtarı suçluların 40 S3 kovasından, kova başına en fazla 110 GB olmak üzere veri çekmesini sağladı; ardından banka işlem arşivleri dahil verileri sildi ve 12 hassas kovada anahtarları temizledi.

Yapay zeka ve yıkıcı taktikler

Tehdit avcıları tamamen otonom bir saldırı sistemi bulamadı, ancak operatör sızmalara yardım etmek için yapay zeka kullandı ve 22 Ekim'e kadar yapay zeka kullanım maliyetlerinde 7.216 doların üzerinde harcama yaptı. Açık kaynaklı bir yapay zeka kodlama aracısı olan OpenCode'u kullandı; bu araç Gemini, Claude, GPT 5.x ve diğerleri dahil yedi sağlayıcıdan 154 model girdisiyle yapılandırılmıştı. "Operatör, yüzlerce betiği yazmak ve hatalarını ayıklamak için yapay zeka kullandı," dedi Seker. Yıkıcı davranışlar veri ve yedek silmeyi, bir olayda ise trafiği engellemek için güvenlik duvarı politikalarını değiştirmeyi içeriyordu. Seker, bunun yalnızca bir şifre çözme anahtarıyla çözülemeyen bir kurtarma sorunu yarattığını söyledi.

Açık bırakılan sunucu ve n0n iddiaları

SOCRadar, operatörün çalışma alanını, İsveç'te 185.157.161.148 adresinde 8877 numaralı portta çalışan herkese açık bir Python HTTP dosya sunucusu olarak geçen ay buldu. 25 ve 26 Eylül'deki anlık görüntüler, saldırı betikleri, fidye yazılımı kaynak kodu, şantaj altyapısı ve bir yapay zeka kodlama aracısı ortamı dahil 1.719 dosyayı belgeledi. n0n grubu, geçen ay ortaya çıkmasından bu yana 108 kurban iddia etti. 12 Ekim'de, 18 ülkedeki 38 denizcilik, liman ve lojistik kuruluşunu sızıntı sitesine ekledi. Araştırmacılar bunların en az 21'ini Güney Koreli denizcilik yazılımı sağlayıcısı CyberLogitec'in müşterileriyle ilişkilendirdi; ancak sağlayıcı bir ihlali doğrulamadı. Dolandırıcılar 19 Ekim son tarihi ve 400.000 dolardan 28 milyon dolara kadar Bitcoin fidye talepleri belirledi. Son tarihten sonra 38 kaydın hiçbiri uzlaşılmış olarak işaretlenmedi ve ödeme adreslerinin hiçbiri herhangi bir işlem göstermedi. Grubun Rusya merkezli olduğuna inanılıyor, ancak sunucu kesin coğrafi veya ulusal atıf sağlamadı.

Yaşam döngüsü ve baskı taktikleri

Belgelenen her olay, ilk erişimden kalıcılığa ve kimlik bilgisi toplamaya, ardından hedefe göre etkisi değişen veri hırsızlığına kadar aynı yaşam döngüsünü izledi. Hollanda merkezli finansal hizmet sağlayıcısı Transcom'u ele geçirdikten sonra suçlular, tehlikeye giren veriler yalnızca Transcom'un ağında olmasına rağmen ikincil bir fidye uyarısını doğrudan PayPal'ın güvenlik ekibine gönderdi. Son olarak fidye notları gönderirler, geri sayım saatleri yayınlarlar, müzakere odaları ve e postalar oluştururlar; kuruluşlar ödemezse çalınan dosyaları sızdırır veya yedekleri yok ederler. Açık bırakılan sunucu ayrıca sabit kodlanmış şifreleme anahtarları içeriyordu; kanıtlar bunların kurbanlar arasında yeniden kullanıldığını düşündürüyor. Seker, operatörün kendi çalışma alanını açık bırakırken yapay zeka hizmetlerine binlerce dolar yatırdığını ve bunun operasyonel hırs ile güvenlik disiplini arasındaki çarpıcı farkı gösterdiğini söyledi.

Kaynaklar: The Register