Изследователи от SOCRadar са попаднали на рядък поглед върху начина, по който работят престъпниците. Отворен сървър, свързан с партньори на ransomware операциите INC и The Gentlemen, е съдържал 8 257 AI съобщения с Claude и Kimi, 46 компилации на криптиращи програми и 62 именувани жертви. Откритието е конкретен пример за това как ransomware банди използват AI асистенти като част от ежедневната си рутина и предлага полезни уроци за хората и малките бизнеси.
Изходният доклад е кратък, затова тази статия се придържа към това, което е публикувано, и избягва предположения за подробности, които не са станали публично достояние.
Какво откри SOCRadar на отворения сървър
Според обобщението на находките на SOCRadar сървърът е бил оставен открито достъпен и е бил свързан с партньори на две ransomware групи — INC и The Gentlemen. Три числа определят откритието:
- 8 257 AI съобщения, разменени с асистентите Claude и Kimi
- 46 компилации на криптиращи програми, тоест компилирани версии на зловредния софтуер, който заключва файлове и е готов за разгръщане
- 62 именувани жертви, организации, идентифицирани на сървъра
Изложен на риск сървър от този вид работи като работилница с оставена отворена врата. Вместо да виждат само завършената атака, изследователите могат да видят инструменти, записи и работните разговори зад тях. Оперативните грешки на престъпниците, като оставяне на инфраструктура без защита, са един от малкото начини защитниците да получат такава видимост.
Как INC и The Gentlemen са използвали Claude и Kimi
Основната подробност е обемът на AI разговорите. Повече от осем хиляди съобщения подсказват, че асистентите не са били случаен експеримент, а редовна част от работния процес на тези партньори. Изходният материал потвърждава наличието на чатовете заедно с компилациите на криптиращи програми и записите на жертви. В наличната тук информация обаче не се уточнява всяка задача, за която са били използвани асистентите, затова няма да правим предположения за конкретни подкани или резултати.
Комбинацията все пак показва, че AI чат инструментите стоят до машината на една атакуваща кампания: от една страна компилации на зловреден софтуер, от друга списък с жертви, а помежду им дълъг запис от AI разговори. За защитниците практическата поука е, че AI може да ускори рутинната работа на престъпниците, което може да намали усилията, необходими за подготовка и провеждане на атаки.
От значение е и че се появяват два различни асистента. Claude и Kimi идват от различни разработчици, което подсказва, че партньорите не са обвързани с един инструмент и може да преминават между тях.
Какво подсказват 62-те именувани жертви за насочването
Шестдесет и две именувани жертви заедно с 46 компилации на криптиращи програми сочат към организирана, повторяема операция, а не към еднократно проникване. Наличието на много готови компилации подсказва, че атакуващите подготвят предварително персонализирани или разнообразни версии на зловредния си софтуер, което може да направи простата детекция на базата на сигнатури по-ненадеждна.
Източникът не разбива жертвите по отрасли или региони, затова би било грешно да се правят категорични заключения за насочването към сектори. Разумното тълкуване е по-тясно: ransomware партньорите поддържат работни списъци с цели и подготвят инструменти предварително. Този модел е в съответствие с по-широката тенденция групи да удрят организации, върху които е по-лесно да се оказва натиск — тема, разгледана в нашия материал за това как ransomware бандите Qilin и Akira ескалират атаки по веригата за доставки.
Какво означава това за вас
Ако управлявате малък бизнес или собствени устройства, новината може да изглежда далечна, но урокът е практичен. AI помощта не толкова измисля нови начини за проникване, колкото прави съществуващите методи по-бързи за подготовка. Това означава, че основите имат по-голямо, а не по-малко значение.
- За хората: Атакуващите все още разчитат на откраднати пароли, неактуализиран софтуер и подведени потребители. Силните, уникални данни за вход и актуализираните устройства остават ефективни бариери.
- За малките бизнеси: Малкият размер не е защита. Партньорите поддържат списъци с жертви, а подготовката е евтина, когато инструментите вече са изградени.
- За всички: Не предполагайте, че можете да разпознаете атака по небрежен изказ или тромава техника. AI може да помогне и двете да бъдат излъскани.
Как да намалите риска от ransomware с резервни копия, пачове и MFA
Три навика вършат по-голямата част от работата срещу ransomware, независимо кой или какво помага на атакуващия:
- Поддържайте офлайн или неизменяеми резервни копия. Ransomware е създаден да заключва файловете ви, а резервно копие, до което атакуващите не могат да стигнат, превръща кризата в неудобство. Тествайте възстановяването редовно, защото нетествано резервно копие е предположение.
- Прилагайте пачове promptly. Инсталирайте актуализации за операционни системи, браузъри, VPN устройства и инструменти за отдалечен достъп възможно най-скоро. Давайте приоритет на всичко, изложено на интернет.
- Включете многофакторна автентикация (MFA). Активирайте я за имейл, отдалечен достъп, администраторски акаунти и облачни услуги. Тогава само откраднатите пароли стават много по-малко полезни.
Добавете и няколко подкрепящи стъпки: ограничете администраторските права, сегментирайте важните системи от ежедневните и запишете на кого да се обадите, ако бъдете ударени.
Основният извод
Откритието на SOCRadar е напомняне, че ransomware бандите, използващи AI асистенти, вече работят в мащаб, измерван с хиляди съобщения, десетки компилации на зловреден софтуер и десетки жертви. Не можете да контролирате какво правят престъпниците с тези инструменти, но можете да контролирате колко подготвени сте. Настройте офлайн резервни копия, прилагайте пачове бързо и включете MFA тази седмица. За да разберете по-широкия натиск върху организациите, прочетете нашия материал за това как ransomware банди като Qilin и Akira насочват атаки към веригите за доставки.
