Викритий сервер розкрив методи здирництва з AI оператора n0n ransomware

Оператор n0n ransomware намагався зламати 23 організації у 14 країнах, але залишив власний сервер відкритим, розкривши методи атак, використання AI і знищувальне викрадення даних. Група покладається на слабкі чи викрадені облікові дані, а не на вразливості ПЗ, а подекуди видаляла дані й резервні копії після викрадення та шифрування файлів.

Облікові дані, не експлойти

За словами Енсара Секера, CISO SOCRadar, кожен задокументований злам спирався на слабкі чи викрадені облікові дані. «Ми не виявили доказів експлуатації вразливостей у розглянутих випадках», - сказав він. Група сканує Remote Desktop Protocol і автоматично проводить credential stuffing для FortiGate SSL VPN. Оператори також входили через відкриті хмарні облікові дані та повторно використані сесії порталів хостингу. Для доступу до постачальника керованих IT-послуг ChiBiTek зі США воно використало пул резидентних SOCKS5-проксі з 15 потоків. В одному випадку з e-commerce сайтом Fanatics відкритий ключ AWS дозволив витягнути дані з 40 S3 buckets, до 110 GB на bucket, а потім видалити дані, зокрема архіви банківських транзакцій, і знищити ключі у 12 чутливих bucket.

AI і руйнівна тактика

Хоча мисливці за загрозами не знайшли повністю автономної системи атак, оператор використовував AI для вторгнень, витративши понад $7,216 на AI до 22 жовтня. Він використовував OpenCode, відкритий AI-агент для кодування, з 154 записами моделей у семи провайдерів, зокрема Gemini, Claude, GPT 5.x та інших. «Оператор використовував AI, щоб писати й налагоджувати сотні скриптів», - сказав Секер. Руйнівна поведінка включала видалення даних і резервних копій, а в одному випадку зміну політик фаєрвола для блокування трафіку. Секер сказав, що це створює проблему відновлення, яку не вирішить сам ключ дешифрування.

Відкритий сервер і заяви n0n

SOCRadar минулого місяця знайшла робочий простір оператора, публічний Python HTTP-файловий сервер у Швеції за 185.157.161.148, порт 8877. Знімки 25 і 26 вересня показали 1,719 файлів: скрипти атак, вихідний код ransomware, інфраструктуру здирництва й AI-агент для кодування. Група n0n заявила про 108 жертв від появи минулого місяця. 12 жовтня вона додала 38 морських, портових і логістичних організацій з 18 країн на сайт витоку. Дослідники пов’язали щонайменше 21 із них із клієнтами південнокорейського постачальника морського ПЗ CyberLogitec, хоча той не підтвердив вторгнення. Злочинці встановили дедлайн 19 жовтня і викуп від $400,000 до $28 млн у Bitcoin. Після дедлайну жодне з 38 оголошень не позначене як врегульоване, і жодна платіжна адреса не показала транзакцій. Вважається, що група в Росії, але сервер не дав остаточної географічної чи національної атрибуції.

Життєвий цикл і тиск

Кожен випадок мав однаковий цикл: початковий доступ, закріплення, збір облікових даних, потім викрадення даних із різним впливом. Після зламу Transcom, нідерландського постачальника фінансових послуг, злочинці надіслали додаткове попередження про викуп команді безпеки PayPal, хоча скомпрометовані дані були лише в мережі Transcom. Далі вони надсилають викупні записки, публікують таймери, створюють кімнати й email для переговорів, зливають викрадені файли або знищують резервні копії, коли не платять. Відкритий сервер також містив hardcoded ключі шифрування, з ознаками повторного використання між жертвами. Секер сказав, що оператор інвестував тисячі доларів у AI, але залишив власний простір відкритим, показуючи розрив між амбіціями й дисципліною безпеки.

Джерела: The Register