Výzkumníci ze SOCRadar odhalili vzácný pohled do toho, jak zločinci pracují. Otevřený server spojený s přidruženými skupinami ransomwarových operací INC a The Gentlemen obsahoval 8 257 AI zpráv s Claude a Kimi, 46 buildů šifrovače a 62 jmenovaných obětí. Nález je konkrétním příkladem toho, že ransomwarové gangy používají AI asistenty jako součást své každodenní rutiny, a nabízí užitečné ponaučení pro jednotlivce i malé firmy.

Zdrojová zpráva je stručná, proto se tento článek drží toho, co bylo zveřejněno, a vyhýbá se spekulacím o podrobnostech, které nebyly zveřejněny.

Co SOCRadar na otevřeném serveru našel

Podle shrnutí zjištění SOCRadar byl server ponechán volně přístupný a byl spojen s přidruženými skupinami dvou ransomwarových gangů, INC a The Gentlemen. Objev definují tři čísla:

  • 8 257 AI zpráv vyměněných s asistenty Claude a Kimi
  • 46 buildů šifrovače, tedy zkompilovaných verzí malwaru zamykajícího soubory připravených k nasazení
  • 62 jmenovaných obětí, organizací identifikovaných na serveru

Exponovaný server tohoto druhu funguje jako dílna s otevřenými dveřmi. Namísto toho, aby výzkumníci viděli pouze dokončený útok, mohou vidět nástroje, záznamy a pracovní konverzace, které za nimi stojí. Provozní chyby zločinců, jako je nezabezpečená infrastruktura, jsou jedním z mála způsobů, jak obránci získají tento druh viditelnosti.

Jak INC a The Gentlemen používali Claude a Kimi

Hlavním detailem je objem AI konverzací. Více než osm tisíc zpráv naznačuje, že asistenti nebyli příležitostným experimentem, ale pravidelnou součástí pracovního postupu těchto přidružených skupin. Zdrojový materiál potvrzuje přítomnost chatů vedle buildů šifrovače a záznamů o obětech. V dostupných informacích však neuvádí každý úkol, ke kterému byli asistenti použiti, proto nebudeme spekulovat o konkrétních promptech nebo výstupech.

Co kombinace nicméně ukazuje, je to, že AI chatovací nástroje stojí vedle strojního vybavení útočné kampaně: na jedné straně buildy malwaru, na druhé seznam obětí a mezi tím dlouhý záznam AI konverzací. Pro obránce je praktickým závěrem, že AI může zločincům zrychlit rutinní práci, což může snížit úsilí potřebné k přípravě a provedení útoků.

Důležité je také to, že se objevují dva různí asistenti. Claude a Kimi pocházejí od různých vývojářů, což naznačuje, že přidružené skupiny nejsou vázány na jediný nástroj a mohou mezi nimi přepínat.

Co naznačuje 62 jmenovaných obětí o cílení

Šedesát dva jmenovaných obětí vedle 46 buildů šifrovače ukazuje na organizovanou, opakovatelnou operaci, nikoli na jednorázový průnik. Přítomnost mnoha připravených buildů naznačuje, že útočníci předem připravují přizpůsobené nebo různé verze svého malwaru, což může znesnadnit jednoduchou detekci založenou na signaturách.

Zdroj nerozebírá, do kterých odvětví nebo regionů oběti patří, takže bylo by chybné vyvozovat pevné závěry o cílení na sektory. Rozumné čtení je užší: přidružené skupiny ransomwaru si vedou pracovní seznamy cílů a předem připravují nástroje. Tento vzorec je v souladu s širším trendem, kdy skupiny útočí na organizace, které lze snáze přinutit k ústupkům, což je téma, kterému jsme se věnovali v našem článku o tom, jak ransomwarové gangy Qilin a Akira eskalují útoky na dodavatelský řetězec.

Co to znamená pro vás

Pokud vedete malou firmu nebo spravujete vlastní zařízení, mohou se vám tyto zprávy zdát vzdálené, ale ponaučení je praktické. AI asistence nevymýšlí nové způsoby, jak proniknout, spíše zrychluje přípravu stávajících metod. To znamená, že základy jsou důležitější, nikoli méně důležité.

  • Jednotlivci: Útočníci stále spoléhají na ukradená hesla, nezáplatovaný software a oklamané uživatele. Silná, jedinečná přihlášení a aktualizovaná zařízení zůstávají účinnými bariérami.
  • Malé firmy: Malá velikost není ochranou. Přidružené skupiny si vedou seznamy obětí a příprava je levná, když jsou nástroje již vytvořeny.
  • Všichni: Nepředpokládejte, že útok poznáte podle nedbalé formulace nebo neohrabané techniky. AI může pomoci vylepšit obojí.

Jak snížit riziko ransomwaru pomocí záloh, záplatování a MFA

Tři návyky odvedou většinu práce proti ransomwaru, ať už útočníkovi pomáhá kdokoli nebo cokoli:

  1. Udržujte offline nebo neměnné zálohy. Ransomware je navržen tak, aby uzamkl vaše soubory, a záloha, ke které se útočníci nedostanou, promění krizi v nepříjemnost. Pravidelně testujte obnovu, protože netestovaná záloha je jen domněnka.
  2. Záplatujte promptly. Instalujte aktualizace operačních systémů, prohlížečů, VPN zařízení a nástrojů vzdáleného přístupu co nejdříve. Upřednostněte cokoli vystaveného internetu.
  3. Zapněte vícefaktorové ověřování (MFA). Aktivujte jej u e-mailu, vzdáleného přístupu, administrátorských účtů a cloudových služeb. Ukradená hesla sama o sobě pak budou mnohem méně užitečná.

Přidejte několik podpůrných kroků: omezte administrátorská práva, oddělte důležité systémy od běžných a zapište si, na koho se obrátit, pokud budete zasaženi.

Závěr

Objev SOCRadar je připomínkou, že ransomwarové gangy používající AI asistenty již operují v měřítku tisíců zpráv, desítek buildů malwaru a desítek obětí. Nemůžete kontrolovat, co zločinci s těmito nástroji dělají, ale můžete kontrolovat, jak jste připraveni. Nastavte offline zálohy, záplatujte rychle a tento týden zapněte MFA. Chcete-li porozumět širšímu tlaku na organizace, přečtěte si náš článek o tom, jak ransomwarové gangy jako Qilin a Akira cílí na dodavatelské řetězce.