Istraživači iz SOCRadara otkrili su rijedak uvid u način na koji kriminalci rade. Otvoreni poslužitelj povezan s partnerima ransomware operacija INC i The Gentlemen sadržavao je 8.257 AI poruka s Claudeom i Kimijem, 46 buildova enkriptora i 62 imenovane žrtve. Ovaj nalaz konkretan je primjer ransomware bandi koje koriste AI asistente kao dio svoje svakodnevne rutine i nudi korisne lekcije za pojedince i mala poduzeća.
Izvorni je izvještaj kratak, pa se ovaj članak drži objavljenih činjenica i izbjegava nagađanja o detaljima koji nisu javno objavljeni.
Što je SOCRadar pronašao na otvorenom poslužitelju
Prema sažetku SOCRadarovih nalaza, poslužitelj je ostavljen otvoreno dostupnim i bio je povezan s partnerima dviju ransomware grupa, INC i The Gentlemen. Tri broja definiraju otkriće:
- 8.257 AI poruka razmijenjenih s asistentima Claude i Kimi
- 46 buildova enkriptora, odnosno kompajliranih verzija zlonamjernog softvera za zaključavanje datoteka koje su spremne za implementaciju
- 62 imenovane žrtve, organizacije identificirane na poslužitelju
Izloženi poslužitelj ove vrste funkcionira poput radionice s ostavljenim otvorenim vratima. Umjesto da vide samo dovršeni napad, istraživači mogu vidjeti alate, zapise i radne razgovore koji stoje iza njih. Operativne pogreške kriminalaca, poput nezaštićene infrastrukture, jedan su od rijetkih načina na koje branitelji dobivaju ovakvu vidljivost.
Kako su INC i The Gentlemen koristili Claude i Kimi
Najvažniji detalj je količina AI razgovora. Više od osam tisuća poruka sugerira da asistenti nisu bili povremeni eksperiment, već redoviti dio radnog procesa ovih partnera. Izvorni materijal potvrđuje prisutnost razgovora uz buildove enkriptora i zapise o žrtvama. Dostupne informacije ne navode svaki zadatak za koji su asistenti korišteni, pa nećemo nagađati o konkretnim upitima ili rezultatima.
Ono što kombinacija pokazuje jest da AI alati za razgovor stoje uz samu mašineriju napadačke kampanje: buildovi zlonamjernog softvera s jedne strane, popis žrtava s druge i dugi zapis AI razgovora između njih. Za branitelje je praktični zaključak da AI može ubrzati rutinski rad kriminalaca, što može smanjiti trud potreban za pripremu i izvođenje napada.
Također je važno da se pojavljuju dva različita asistenta. Claude i Kimi dolaze od različitih developera, što sugerira da partneri nisu vezani uz jedan alat i mogu prelaziti s jednog na drugi.
Što 62 imenovane žrtve govore o ciljanju
Šezdeset i dvije imenovane žrtve uz 46 buildova enkriptora upućuju na organiziranu operaciju koja se može ponavljati, a ne na jednokratnu provalu. Mnogi spremni buildovi sugeriraju da napadači unaprijed pripremaju prilagođene ili raznolike verzije zlonamjernog softvera, što može učiniti jednostavno otkrivanje na temelju potpisa manje pouzdanim.
Izvor ne raščlanjuje kojim industrijama ili regijama žrtve pripadaju, pa bi bilo pogrešno donositi čvrste zaključke o ciljanju sektora. Razumnije je čitanje uže: partneri ransomwarea drže radne popise meta i unaprijed pripremaju alate. Taj je obrazac u skladu sa širim trendom grupa koje napadaju organizacije koje je lakše pritisnuti, temom koju smo obradili u našem pregledu kako Qilin i Akira ransomware bande eskaliraju napade na opskrbni lanac.
Što to znači za vas
Ako vodite malo poduzeće ili upravljate vlastitim uređajima, vijest se može činiti dalekom, ali lekcija je praktična. AI pomoć ne izmišlja nove načine upada koliko ubrzava pripremu postojećih metoda. To znači da su osnove važnije, a ne manje važne.
- Pojedinci: Napadači se i dalje oslanjaju na ukradene lozinke, nezakrpljeni softver i prevarene korisnike. Jake, jedinstvene prijave i ažurirani uređaji ostaju učinkovite prepreke.
- Mala poduzeća: Malenost nije zaštita. Partneri drže popise žrtava, a priprema je jeftina kada su alati već izgrađeni.
- Svi: Ne pretpostavljajte da napad možete prepoznati po nespretnom izražavanju ili nezgrapnoj tehnici. AI može pomoći u dotjerivanju i jednoga i drugoga.
Kako smanjiti rizik od ransomwarea pomoću sigurnosnih kopija, zakrpa i MFA
Tri navike rade najveći dio posla protiv ransomwarea, bez obzira na to tko ili što pomaže napadaču:
- Održavajte izvanmrežne ili nepromjenjive sigurnosne kopije. Ransomware je dizajniran da zaključa vaše datoteke, a sigurnosna kopija do koje napadači ne mogu doći pretvara krizu u neugodnost. Redovito testirajte vraćanje jer je netestirana kopija samo nagađanje.
- Zakrpite pravovremeno. Instalirajte ažuriranja za operativne sustave, preglednike, VPN uređaje i alate za daljinski pristup čim prije možete. Dajte prednost svemu što je izloženo internetu.
- Uključite višefaktorsku autentifikaciju (MFA). Omogućite je za e-poštu, daljinski pristup, administratorske račune i cloud usluge. Same ukradene lozinke tada postaju znatno manje korisne.
Dodajte nekoliko popratnih koraka: ograničite administratorska prava, odvojite važne sustave od svakodnevnih i zapišite kome se obratiti ako budete napadnuti.
Zaključak
SOCRadarovo otkriće podsjetnik je da ransomware bande koje koriste AI asistente već djeluju u razmjerima mjerenima tisućama poruka, desecima buildova zlonamjernog softvera i desecima žrtava. Ne možete kontrolirati što kriminalci rade s tim alatima, ali možete kontrolirati koliko ste pripremljeni. Postavite izvanmrežne sigurnosne kopije, zakrpajte brzo i uključite MFA ovaj tjedan. Za razumijevanje šireg pritiska na organizacije pročitajte naš tekst o tome kako ransomware bande poput Qilina i Akire ciljaju opskrbne lance.
