Crim در حملات اخاذی بیش از 7000 دلار برای خدمات هوش مصنوعی خرج کرد، سپس شواهدی را برای همگان گذاشت

یک اپراتور باج افزار n0n سعی کرد به 23 سازمان در 14 کشور نفوذ کند، اما نتوانست درب ورودی خود را ایمن کند و سرور خود را با تمام روش هایش در معرض دید قرار داد.

مجرمان از ترکیبی از ابزارهای جدید (هوش مصنوعی) و قدیمی (مدارک به سرقت رفته) در طول سرقت اطلاعات خود استفاده کردند و در برخی موارد نه تنها فایل‌ها را سرقت و رمزگذاری کردند، بلکه داده‌ها و نسخه‌های پشتیبان را نیز حذف کردند و توانایی قربانیان برای بازیابی اطلاعات خود را از بین بردند.

و علیرغم ترس و هیاهویی که پیرامون این رخنه وجود دارد، با یافتن و توسعه اکسپلویت‌هایی برای آسیب‌پذیری‌های حیاتی که بیشتر سازمان‌ها در سراسر جهان را تحت تاثیر قرار می‌دهد، این کلاهبرداران از یک باگ برای ورود به محیط‌های فناوری اطلاعات قربانیان خود بهره‌برداری نکردند.

انصار سکر، افسر ارشد امنیت اطلاعات شرکت اطلاعاتی تهدید SOCRadar، گفت: «در هر سازش مستند در این تحقیقات، دسترسی به اعتبارنامه‌های ضعیف یا دزدیده شده بود.

سکر به The Register گفت: «آنچه برجسته است، ترکیبی از توسعه با کمک هوش مصنوعی و نقاط ورود بسیار معمولی است. ما هیچ مدرکی مبنی بر بهره برداری از آسیب پذیری در موارد مورد بررسی پیدا نکردیم.

این باند با استفاده از اسکن گسترده پروتکل دسکتاپ از راه دور (RDP) و پر کردن اطلاعات خودکار FortiGate SSL-VPN به سازمان‌ها در مقیاس بزرگ نفوذ می‌کند. برای دسترسی به ارائه‌دهنده خدمات مدیریت‌شده فناوری اطلاعات ChiBiTek مستقر در ایالات متحده، خدمه از یک مخزن پروکسی SOCKS5 مسکونی 15 رشته‌ای برای آزمایش اعتبار (ip:port:user:password) در برابر پورتال‌های FortiGate (GET /Remote/login) استفاده کردند.

اپراتورها همچنین با استفاده از اعتبارنامه های ابری در معرض نمایش و استفاده مجدد از جلسات پورتال میزبانی وارد شدند. در یک مورد مرتبط با سایت تجارت الکترونیک Fanatics، SOCRadar دریافت که n0n از یک کلید دسترسی AWS در معرض با مجوز برای فهرست کردن، خواندن و حذف اشیاء در سطل های S3 استفاده می کند. مجرمان سپس از این کلید برای بیرون آوردن داده ها از 40 سطل S3، با حداکثر 110 گیگابایت در هر سطل، استفاده کردند و در نهایت داده ها، از جمله بایگانی تراکنش های بانکی را حذف کردند و کلیدهای 12 سطل حساس را پاک کردند.

اخاذی به کمک هوش مصنوعی

در حالی که شکارچیان تهدید هیچ مدرکی مبنی بر یک سیستم حمله کاملا مستقل پیدا نکردند، اپراتور باج‌افزار از هوش مصنوعی برای کمک به این نفوذها استفاده کرد و تا 22 اکتبر بیش از 7216 دلار هزینه استفاده از هوش مصنوعی را متحمل شد.

به طور خاص: مجرمان یا مجرمان از OpenCode، یک عامل کدنویسی AI منبع باز، که با 154 ورودی مدل در هفت ارائه دهنده پیکربندی شده است، استفاده کردند. مدل‌ها شامل Gemini، Mistral، Nemotron، Llama، Claude، GPT-5.x، Grok، Kimi، GLM، DeepSeek، MiniMax، Qwen، و بسیاری از موارد دیگر بودند، برخی با آموزش ایمنی حذف شده و برخی دیگر به عنوان مدل‌های «بدون سانسور» به بازار عرضه شدند.

سکر گفت: "اپراتور از هوش مصنوعی برای نوشتن و اشکال زدایی صدها اسکریپت استفاده کرد. این نشان می دهد که چگونه هوش مصنوعی می تواند به مهاجم کمک کند تا دسترسی اولیه را به عملیاتی گسترده تر و سفارشی تر تبدیل کند."

او افزود: «رفتار مخرب به همان اندازه قابل توجه است. این اپراتور بیشتر از سرقت و رمزگذاری فایل‌ها انجام می‌دهد: در برخی موارد، داده‌ها و نسخه‌های پشتیبان را حذف می‌کند و در یک مورد سیاست‌های فایروال را برای مسدود کردن ترافیک تغییر می‌دهد. این یک مشکل بازیابی ایجاد می‌کند که یک کلید رمزگشایی به تنهایی نمی‌تواند آن را حل کند.

شکارچیان تهدید SOCRadar فضای کاری اپراتور را پیدا کردند - یک سرور فایل HTTP Python در دسترس عموم که در سوئد با شماره 185.157.161[.]148 در پورت 8877 میزبانی شده بود - ماه گذشته، و دایرکتوری در معرض دید را در تصاویر فوری در 25 و 26 سپتامبر مستند کردند.

سکر گفت: «در میان آن عکس‌های فوری، ما 1719 فایل را شناسایی کردیم، از جمله اسکریپت‌های حمله، کد منبع باج‌افزار، زیرساخت اخاذی و یک محیط عامل کدنویسی هوش مصنوعی. این امر به ما امکان دید عملیات پشت فهرست قربانیان، از جمله نحوه آماده‌سازی حملات و مدیریت داده‌های دزدیده شده توسط اپراتور را به ما داد.»

با n0n ملاقات کنید

همچنین نگاهی دقیق به n0n، یک تازه وارد در بازی سرقت داده و اخاذی که از زمان ظهور آن در ماه گذشته تاکنون 108 قربانی گرفته است، ارائه کرد.

در 12 اکتبر، این گروه 38 سازمان دریایی، بندری و لجستیکی را در 18 کشور به محل نشت خود در یک دسته اضافه کرد. محققان حداقل 21 مورد از آنها را به مشتریان ارائه‌دهنده نرم‌افزار دریایی کره جنوبی CyberLogitec مرتبط کرده‌اند، اگرچه ارائه‌دهنده نرم‌افزار نفوذ را تأیید نکرده است.

کلاهبرداران یک ضرب الاجل 19 اکتبر برای شرکت های دریایی تعیین کردند که باج خواهی هایی از 400000 دلار تا 28 میلیون دلار به صورت بیت کوین قابل پرداخت است. با این حال، پس از پایان ضرب الاجل، هیچ یک از 38 لیست "تسویه شده" علامت گذاری نشد و هیچ یک از آدرس های پرداخت آنها هیچ تراکنشی را نشان نداد. تمام داده های دزدیده شده سازمان های آسیب دیده منتشر شد.

در حالی که تعداد انگشت شماری از قربانیان ادعا شده این باند در سایت نشت n0n علامت گذاری شده اند "شریف - داده از بین رفته"، که نشان می دهد سازمان های قربانی درخواست باج را پرداخت کرده اند، SOCRadar هیچ تراکنش روی زنجیره را تایید نکرده است. در جزئیات پروفایل خود، فروشگاه امنیتی به باند 10 از 10 برای "تهاجمی" و صفر از 10 برای "مرگباری" امتیاز می دهد.

اعتقاد بر این است که این گروه در روسیه مستقر است، اگرچه سرور کشف شده توسط SOCRadar، که آن را به یک اپراتور یا تیم کوچک نسبت می دهد، هیچ گونه انتساب جغرافیایی یا ملی قطعی ارائه نمی دهد.

هر موردی که سرور افشا شده مستند شده، چرخه حیات یکسانی را دنبال می‌کند، و از دسترسی اولیه به ایجاد تداوم و جمع‌آوری اعتبار از طریق حساب‌های مدیریت مخفی به‌عنوان سرویس‌ها، پراکسی‌های مخفی، سرقت اعتبار و نشانه جلسه، صندوق‌های پستی و کدهای احراز هویت چندعاملی ایمیل شده حرکت می‌کند.

کلاهبرداران سپس داده‌های حساس را جمع‌آوری کردند و همه چیز را به ذخیره‌سازی مرکزی اپراتور ارسال کردند و تأثیر حمله بین سرقت داده، رمزگذاری، تخریب و اختلال شبکه بسته به سازمان مورد نظر تغییر می‌کرد.

پس از نفوذ به Transcom، ارائه‌دهنده خدمات مالی مستقر در هلند، این جنایتکاران یک هشدار باج ثانویه را مستقیما به تیم امنیتی PayPal ارسال کردند، حتی اگر داده‌های به خطر افتاده فقط در شبکه Transcom بودند.

اشتباهات احمقانه و اصول اولیه امنیت n0n

در نهایت، مجرمان یادداشت‌های باج می‌فرستند، یک ساعت شمارش معکوس را در سایت درز می‌فرستند، اتاق‌های مذاکره و ایمیل‌هایی را برای قربانیان ایجاد می‌کنند - و سپس فایل‌های دزدیده شده را افشا می‌کنند یا زمانی که سازمان‌ها پولی را پرداخت نمی‌کنند، نسخه‌های پشتیبان را از بین می‌برند. در برخی موارد، و برای اعمال فشار بیشتر بر شرکت‌های قربانی، n0n همچنین هشدارهای شمارش معکوس خودکار را برای ارائه‌دهندگان خدمات، مشتریان و رسانه‌های کسب‌وکار پخش می‌کند.

علیرغم تاکتیک‌های تهاجمی خود، اپراتور در این مورد - مانند سایر مجرمان احمق که The Register با خوشحالی در داستان‌های قبلی مستند کرده است - هنوز با بهداشت اولیه امنیتی مبارزه می‌کند.

سکر گفت: «شکاف قابل توجهی بین جاه طلبی عملیاتی و نظم امنیتی وجود دارد. "اپراتور هزاران دلار در خدمات هوش مصنوعی سرمایه گذاری کرد و در عین حال فضای کاری خود را در معرض دید قرار داد. این قفسه همچنین حاوی کلیدهای رمزگذاری شده سخت بود، با شواهدی که حاکی از استفاده مجدد در بین قربانیان است. یک عملیات می تواند توانایی مخرب جدی داشته باشد در حالی که اشتباهات اساسی انجام می دهد."®