Ερευνητές στο SOCRadar έχουν αποκαλύψει μια σπάνια ματιά στον τρόπο με τον οποίο εργάζονται οι εγκληματίες. Ένας ανοιχτός διακομιστής που συνδέεται με συνεργάτες των ransomware επιχειρήσεων INC και The Gentlemen περιείχε 8.257 μηνύματα AI με το Claude και το Kimi, 46 builds κρυπτογραφητών και 62 ονομαστικά θύματα. Η ανακάλυψη είναι ένα συγκεκριμένο παράδειγμα συμμοριών ransomware που χρησιμοποιούν βοηθούς AI ως μέρος της καθημερινής τους ρουτίνας, και προσφέρει χρήσιμα μαθήματα για άτομα και μικρές επιχειρήσεις.
Η πηγή της αναφοράς είναι σύντομη, επομένως αυτό το άρθρο περιορίζεται σε ό,τι έχει δημοσιευτεί και αποφεύγει εικασίες για λεπτομέρειες που δεν έχουν γίνει δημόσιες.
Τι βρήκε το SOCRadar στον ανοιχτό διακομιστή
Σύμφωνα με την περίληψη των ευρημάτων του SOCRadar, ο διακομιστής είχε μείνει ανοιχτά προσβάσιμος και συνδεόταν με συνεργάτες δύο ομάδων ransomware, των INC και The Gentlemen. Τρεις αριθμοί ορίζουν την ανακάλυψη:
- 8.257 μηνύματα AI που ανταλλάχθηκαν με τους βοηθούς Claude και Kimi
- 46 builds κρυπτογραφητών, δηλαδή μεταγλωττισμένες εκδόσεις του malware κλειδώματος αρχείων που είναι έτοιμες για ανάπτυξη
- 62 ονομαστικά θύματα, οργανισμοί που προσδιορίστηκαν στον διακομιστή
Ένας εκτεθειμένος διακομιστής αυτού του είδους λειτουργεί σαν εργαστήριο με την πόρτα ανοιχτή. Αντί να βλέπουν μόνο την ολοκληρωμένη επίθεση, οι ερευνητές μπορούν να δουν εργαλεία, αρχεία και τις εργασιακές συνομιλίες πίσω από αυτά. Τα επιχειρησιακά λάθη των εγκληματιών, όπως το να αφήνουν υποδομές μη ασφαλείς, είναι ένας από τους λίγους τρόπους με τους οποίους οι αμυνόμενοι αποκτούν τέτοιου είδους ορατότητα.
Πώς οι INC και The Gentlemen χρησιμοποίησαν το Claude και το Kimi
Η κύρια λεπτομέρεια είναι ο όγκος των συνομιλιών AI. Περισσότερα από οκτώ χιλιάδες μηνύματα υποδηλώνουν ότι οι βοηθοί δεν ήταν ένα περιστασιακό πείραμα αλλά τακτικό μέρος της ροής εργασίας για αυτούς τους συνεργάτες. Το υλικό της πηγής επιβεβαιώνει την παρουσία των συνομιλιών μαζί με τα builds κρυπτογραφητών και τα αρχεία θυμάτων. Δεν αναφέρει, στις πληροφορίες που είναι διαθέσιμες εδώ, κάθε εργασία για την οποία χρησιμοποιήθηκαν οι βοηθοί, επομένως δεν θα κάνουμε εικασίες για συγκεκριμένα prompts ή outputs.
Αυτό που δείχνει ο συνδυασμός είναι ότι τα εργαλεία συνομιλίας AI βρίσκονται δίπλα στον μηχανισμό μιας εκστρατείας επίθεσης: builds malware από τη μια πλευρά, μια λίστα θυμάτων από την άλλη, και ένα μακρύ αρχείο συνομιλιών AI ανάμεσά τους. Για τους αμυνόμενους, το πρακτικό συμπέρασμα είναι ότι η AI μπορεί να επιταχύνει την routine εργασία για τους εγκληματίες, γεγονός που μπορεί να μειώσει την προσπάθεια που απαιτείται για την προετοιμασία και την εκτέλεση επιθέσεων.
Έχει επίσης σημασία ότι εμφανίζονται δύο διαφορετικοί βοηθοί. Το Claude και το Kimi προέρχονται από διαφορετικούς προγραμματιστές, γεγονός που υποδηλώνει ότι οι συνεργάτες δεν είναι δεσμευμένοι σε ένα μόνο εργαλείο και μπορεί να εναλλάσσονται μεταξύ τους.
Τι υποδηλώνουν τα 62 ονομαστικά θύματα σχετικά με τη στοχοποίηση
Εξήντα δύο ονομαστικά θύματα μαζί με 46 builds κρυπτογραφητών υποδεικνύουν μια οργανωμένη, επαναλαμβανόμενη επιχείρηση παρά μια μεμονωμένη εισβολή. Η ύπαρξη πολλών έτοιμων builds υποδηλώνει ότι οι επιτιθέμενοι προετοιμάζουν προσαρμοσμένες ή ποικίλες εκδόσεις του malware τους εκ των προτέρων, γεγονός που μπορεί να κάνει την απλή ανίχνευση βάσει υπογραφής λιγότερο αξιόπιστη.
Η πηγή δεν αναλύει σε ποιους κλάδους ή περιοχές ανήκουν τα θύματα, επομένως θα ήταν λάθος να εξαχθούν σταθερά συμπεράσματα σχετικά με τη στοχοποίηση τομέων. Μια λογική ανάγνωση είναι στενότερη: οι συνεργάτες ransomware τηρούν λίστες στόχων και προετοιμάζουν εργαλεία εκ των προτέρων. Αυτό το μοτίβο είναι συνεπές με την ευρύτερη τάση ομάδων που χτυπούν οργανισμούς που είναι ευκολότερο να πιεστούν, ένα θέμα που εξετάσαμε στην ανάλυσή μας για το πώς οι συμμορίες ransomware Qilin και Akira κλιμακώνουν τα χτυπήματα στην εφοδιαστική αλυσίδα.
Τι σημαίνει αυτό για εσάς
Αν διευθύνετε μια μικρή επιχείρηση ή διαχειρίζεστε τις δικές σας συσκευές, τα νέα μπορεί να φαίνονται μακρινά, αλλά το μάθημα είναι πρακτικό. Η βοήθεια AI δεν εφευρίσκει νέους τρόπους εισόδου τόσο όσο κάνει τις υπάρχουσες μεθόδους ταχύτερες στην προετοιμασία. Αυτό σημαίνει ότι τα βασικά έχουν μεγαλύτερη σημασία, όχι μικρότερη.
- Άτομα: Οι επιτιθέμενοι εξακολουθούν να βασίζονται σε κλεμμένους κωδικούς πρόσβασης, μη ενημερωμένο λογισμικό και εξαπατημένους χρήστες. Ισχυρές, μοναδικές συνδέσεις και ενημερωμένες συσκευές παραμένουν αποτελεσματικά εμπόδια.
- Μικρές επιχειρήσεις: Το να είσαι μικρός δεν είναι προστασία. Οι συνεργάτες τηρούν λίστες θυμάτων, και η προετοιμασία είναι φθηνή όταν τα εργαλεία είναι ήδη κατασκευασμένα.
- Όλοι: Μην υποθέτετε ότι μπορείτε να εντοπίσετε μια επίθεση από αδέξια διατύπωση ή άτεχνη τεχνική. Η AI μπορεί να βοηθήσει στη βελτίωση και των δύο.
Πώς να μειώσετε τον κίνδυνο ransomware με αντίγραφα ασφαλείας, ενημερώσεις και MFA
Τρεις συνήθειες κάνουν το μεγαλύτερο μέρος της δουλειάς κατά του ransomware, όποιος ή ό,τι κι αν βοηθά τον επιτιθέμενο:
- Διατηρείτε αντίγραφα ασφαλείας εκτός σύνδεσης ή αμετάβλητα. Το ransomware είναι σχεδιασμένο να κλειδώνει τα αρχεία σας, και ένα αντίγραφο ασφαλείας στο οποίο οι επιτιθέμενοι δεν μπορούν να έχουν πρόσβαση μετατρέπει μια κρίση σε αναποδιά. Δοκιμάζετε τακτικά τις επαναφορές, επειδή ένα μη δοκιμασμένο αντίγραφο ασφαλείας είναι μια εικασία.
- Ενημερώνετε άμεσα. Εγκαθιστάτε ενημερώσεις για λειτουργικά συστήματα, προγράμματα περιήγησης, συσκευές VPN και εργαλεία απομακρυσμένης πρόσβασης το συντομότερο δυνατό. Δώστε προτεραιότητα σε οτιδήποτε είναι εκτεθειμένο στο διαδίκτυο.
- Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων (MFA). Ενεργοποιήστε τον σε email, απομακρυσμένη πρόσβαση, λογαριασμούς διαχειριστή και υπηρεσίες cloud. Οι κλεμμένοι κωδικοί πρόσβασης μόνοι τους γίνονται τότε πολύ λιγότερο χρήσιμοι.
Προσθέστε μερικά υποστηρικτικά βήματα: περιορίστε τα δικαιώματα διαχειριστή, διαχωρίστε τα σημαντικά συστήματα από τα καθημερινά και γράψτε ποιον να καλέσετε αν δεχτείτε επίθεση.
Το συμπέρασμα
Η ανακάλυψη του SOCRadar είναι μια υπενθύμιση ότι οι συμμορίες ransomware που χρησιμοποιούν βοηθούς AI λειτουργούν ήδη σε κλίμακα που μετράται σε χιλιάδες μηνύματα, δεκάδες builds malware και δεκάδες θύματα. Δεν μπορείτε να ελέγξετε τι κάνουν οι εγκληματίες με αυτά τα εργαλεία, αλλά μπορείτε να ελέγξετε πόσο προετοιμασμένοι είστε. Ρυθμίστε αντίγραφα ασφαλείας εκτός σύνδεσης, ενημερώστε γρήγορα και ενεργοποιήστε το MFA αυτή την εβδομάδα. Για να κατανοήσετε την ευρύτερη πίεση στους οργανισμούς, διαβάστε το άρθρο μας για το πώς οι συμμορίες ransomware όπως οι Qilin και Akira στοχεύουν τις εφοδιαστικές αλυσίδες.
