Forskere hos SOCRadar har fået et sjældent indblik i, hvordan kriminelle arbejder. En åben server knyttet til affilierede af INC- og The Gentlemen-ransomwareoperationerne indeholdt 8.257 AI-beskeder med Claude og Kimi, 46 encryptor-builds og 62 navngivne ofre. Fundet er et konkret eksempel på, at ransomwarebander bruger AI-assistenter som en del af deres daglige rutine, og det giver nyttige lærepenge for enkeltpersoner og små virksomheder.
Kilderapporten er kort, så denne artikel holder sig til det, der er offentliggjort, og undgår at gætte om detaljer, som ikke er blevet offentliggjort.
Hvad SOCRadar fandt på den åbne server
Ifølge resuméet af SOCRadars fund var serveren efterladt åbent tilgængelig og var knyttet til affilierede af to ransomwaregrupper, INC og The Gentlemen. Tre tal definerer opdagelsen:
- 8.257 AI-beskeder udvekslet med assistenterne Claude og Kimi
- 46 encryptor-builds, hvilket betyder kompilerede versioner af den filkrypterende malware, som er klar til udrulning
- 62 navngivne ofre, organisationer identificeret på serveren
En eksponeret server af denne type fungerer som en værksted med døren stående åben. I stedet for kun at se det færdige angreb kan forskerne se værktøjer, registreringer og de arbejdsmæssige samtaler bag dem. Operationelle fejl fra kriminelles side, såsom at efterlade infrastruktur usikret, er en af de få måder, hvorpå forsvarere får denne form for indsigt.
Hvordan INC og The Gentlemen brugte Claude og Kimi
Den mest opsigtsvækkende detalje er mængden af AI-samtaler. Mere end otte tusind beskeder tyder på, at assistenterne ikke var et lejlighedsvis eksperiment, men en fast del af arbejdsgangen for disse affilierede. Kildematerialet bekræfter tilstedeværelsen af samtalerne sammen med encryptor-builds og offerregistreringer. Det præciserer ikke, i de tilgængelige oplysninger her, hvilke opgaver assistenterne blev brugt til, så vi vil ikke spekulere i specifikke prompts eller output.
Det, kombinationen viser, er, at AI-chatværktøjer står ved siden af maskineriet i en angrebskampagne: malware-builds på den ene side, en offerliste på den anden og en lang registrering af AI-samtaler imellem. For forsvarere er den praktiske konklusion, at AI kan fremskynde rutinearbejde for kriminelle, hvilket kan reducere den indsats, der kræves for at forberede og gennemføre angreb.
Det er også væsentligt, at to forskellige assistenter optræder. Claude og Kimi kommer fra forskellige udviklere, hvilket tyder på, at affilierede ikke er bundet til et enkelt værktøj og kan skifte mellem dem.
Hvad de 62 navngivne ofre antyder om målretning
Toogtres navngivne ofre sammen med 46 encryptor-builds peger på en organiseret, repeterbar operation snarere end en enkeltstående intrusion. At have mange builds klar tyder på, at angribere forbereder skræddersyede eller varierede versioner af deres malware på forhånd, hvilket kan gøre simpel signaturbaseret detektion mindre pålidelig.
Kilden opdeler ikke, hvilke brancher eller regioner ofrene tilhører, så det ville være forkert at drage faste konklusioner om sektormålretning. En rimelig læsning er mere snæver: ransomware-affilierede holder arbejdslister over mål og forbereder værktøjer på forhånd. Dette mønster er konsistent med den bredere tendens, hvor grupper rammer organisationer, der er lettere at presse, et tema, der udforskes i vores gennemgang af, hvordan Qilin- og Akira-ransomwarebander optrapper angreb i forsyningskæden.
Hvad det betyder for dig
Hvis du driver en lille virksomhed eller administrerer dine egne enheder, kan nyheden føles fjern, men læren er praktisk. AI-assistance opfinder ikke nye måder at bryde ind på så meget som det gør eksisterende metoder hurtigere at forberede. Det betyder, at det grundlæggende betyder mere, ikke mindre.
- Enkeltpersoner: Angribere er stadig afhængige af stjålne adgangskoder, uopdateret software og narrede brugere. Stærke, unikke logins og opdaterede enheder forbliver effektive barrierer.
- Små virksomheder: At være lille er ikke beskyttelse. Affilierede holder offerlister, og forberedelse er billig, når værktøjerne allerede er bygget.
- Alle: Antag ikke, at du kan genkende et angreb på sjusket formulering eller klodset teknik. AI kan hjælpe med at polere begge dele.
Sådan reducerer du din ransomware-risiko med backups, patching og MFA
Tre vaner gør det meste af arbejdet mod ransomware, uanset hvem eller hvad der hjælper angriberen:
- Hold offline- eller uforanderlige backups. Ransomware er designet til at låse dine filer, og en backup, som angriberne ikke kan nå, forvandler en krise til en ulejlighed. Test gendannelser regelmæssigt, for en utestet backup er et gæt.
- Patch hurtigt. Installer opdateringer til styresystemer, browsere, VPN-enheder og fjernadgangsværktøjer så hurtigt som muligt. Prioriter alt, der er eksponeret mod internettet.
- Slå multifaktorautentificering (MFA) til. Aktivér det på e-mail, fjernadgang, administratorkonti og cloudtjenester. Stjålne adgangskoder alene bliver derefter langt mindre nyttige.
Tilføj et par understøttende trin: begræns administratorrettigheder, segmentér vigtige systemer fra hverdagssystemer, og skriv ned, hvem du skal ringe til, hvis du bliver ramt.
Konklusionen
SOCRadars opdagelse er en påmindelse om, at ransomwarebander, der bruger AI-assistenter, allerede opererer i en skala målt i tusindvis af beskeder, snesevis af malware-builds og snesevis af ofre. Du kan ikke kontrollere, hvad kriminelle gør med disse værktøjer, men du kan kontrollere, hvor forberedt du er. Opsæt offline-backups, patch hurtigt og aktivér MFA i denne uge. For at forstå det bredere pres på organisationer, læs vores artikel om, hvordan ransomwarebander som Qilin og Akira målretter sig mod forsyningskæder.
