A SOCRadar kutatói ritka betekintést nyertek abba, hogyan dolgoznak a bűnözők. Az INC és a The Gentlemen zsarolóvírus-műveletek affiliátjaihoz köthető nyílt szerveren 8 257 AI-üzenet volt a Claude-dal és a Kimivel, 46 titkosító build és 62 megnevezett áldozat. A lelet kézzelfogható példa arra, hogy a zsarolóvírus-bandák az AI-asszisztenseket a mindennapi rutinjuk részeként használják, és hasznos tanulságokkal szolgál magánszemélyek és kisvállalkozások számára.

A forrásjelentés rövid, ezért ez a cikk ahhoz tartja magát, amit publikáltak, és elkerüli a találgatást a nyilvánosságra nem hozott részletekről.

Mit talált a SOCRadar a nyílt szerveren

A SOCRadar megállapításainak összefoglalója szerint a szerver nyíltan elérhető maradt, és két zsarolóvírus-csoport, az INC és a The Gentlemen affiliátjaihoz kapcsolódott. Három szám határozza meg a felfedezést:

  • 8 257 AI-üzenet a Claude és a Kimi asszisztensekkel folytatott kommunikációban
  • 46 titkosító build, azaz a fájlzároló malware telepítésre kész, lefordított változatai
  • 62 megnevezett áldozat, a szerveren azonosított szervezetek

Az ilyen nyitva hagyott szerver úgy működik, mint egy nyitott ajtajú műhely. Ahelyett, hogy csak a kész támadást látnák, a kutatók láthatják az eszközöket, a nyilvántartásokat és a mögöttük zajló munkabeszélgetéseket. A bűnözők operatív hibái, például az infrastruktúra védtelenül hagyása, az egyik kevés módja annak, hogy a védekezők ilyen láthatóságot kapjanak.

Hogyan használta az INC és a The Gentlemen a Claude-ot és a Kimit

A fő részlet az AI-beszélgetések mennyisége. Több mint nyolcezer üzenet arra utal, hogy az asszisztensek nem alkalmi kísérletet jelentettek, hanem ezen affiliátok munkafolyamatának rendszeres részét. A forrásanyag megerősíti a csevegések jelenlétét a titkosító buildek és az áldozati nyilvántartások mellett. Az itt elérhető információkból nem derül ki minden feladat, amelyre az asszisztenseket használták, ezért nem találgatunk konkrét promptokról vagy kimenetekről.

Amit a kombináció mutat, az az, hogy az AI-csevegőeszközök egy támadókampány gépezetének szomszédságában helyezkednek el: az egyik oldalon malware-buildek, a másikon áldozati lista, közte pedig hosszú AI-beszélgetési rekord. A védekezők számára a gyakorlati tanulság az, hogy az AI felgyorsíthatja a bűnözők rutinmunkáját, ami csökkentheti a támadások előkészítéséhez és lebonyolításához szükséges erőfeszítést.

Az is számít, hogy két különböző asszisztens jelenik meg. A Claude és a Kimi különböző fejlesztőktől származik, ami arra utal, hogy az affiliátok nincsenek egyetlen eszközhöz kötve, és válthatnak közöttük.

Mit sugall a 62 megnevezett áldozat a célzásról

Hatvankét megnevezett áldozat 46 titkosító build mellett szervezett, ismételhető műveletre utal, nem egyszeri behatolásra. A sok kész build arra utal, hogy a támadók előre elkészítik malware-ük testre szabott vagy változatos verzióit, ami megbízhatatlanná teheti az egyszerű szignatúraalapú észlelést.

A forrás nem bontja le, hogy az áldozatok mely iparágakhoz vagy régiókhoz tartoznak, ezért helytelen lenne határozott következtetéseket levonni az ágazati célzásról. Egy ésszerű olvasat szűkebb: a zsarolóvírus-affiliátok munkalistákat vezetnek a célpontokról, és előre készítik az eszközöket. Ez a minta összhangban van azzal a szélesebb trenddel, hogy a csapatok a könnyebben nyomás alá helyezhető szervezeteket támadják, amely témát a Qilin és Akira zsarolóvírus-bandák hogyan fokozzák az ellátási lánc elleni támadásokat című cikkünkben jártunk körül.

Mit jelent ez Önnek

Ha kisvállalkozást vezet, vagy saját eszközeit kezeli, a hír távolinak tűnhet, de a tanulság gyakorlati. Az AI-segítség nem annyira új betörési módokat talál ki, mint inkább felgyorsítja a meglévő módszerek előkészítését. Ez azt jelenti, hogy az alapok még inkább számítanak, nem kevésbé.

  • Magánszemélyek: A támadók továbbra is ellopott jelszavakra, javítatlan szoftverekre és megtévesztett felhasználókra támaszkodnak. Az erős, egyedi bejelentkezések és a frissített eszközök hatékony akadályok maradnak.
  • Kisvállalkozások: A kicsi méret nem védelem. Az affiliátok áldozati listákat vezetnek, és az előkészítés olcsó, ha az eszközök már megvannak.
  • Mindenki: Ne feltételezze, hogy felismeri a támadást a hanyag megfogalmazásról vagy ügyetlen technikáról. Az AI mindkettőt segíthet kifinomítani.

Hogyan csökkentse a zsarolóvírus-kockázatot biztonsági mentésekkel, javításokkal és MFA-val

Három szokás végzi a munka nagy részét a zsarolóvírus ellen, bárki vagy bármi is segít a támadónak:

  1. Tartson offline vagy megváltoztathatatlan biztonsági mentéseket. A zsarolóvírust arra tervezték, hogy zárolja a fájljait, és egy olyan biztonsági mentés, amelyet a támadók nem érnek el, válságból kellemetlenséggé alakítja a helyzetet. Rendszeresen tesztelje a visszaállításokat, mert a nem tesztelt biztonsági mentés csak találgatás.
  2. Javítson haladéktalanul. Telepítse az operációs rendszerek, böngészők, VPN-eszközök és távoli hozzáférési eszközök frissítéseit, amint tudja. Részesítse előnyben mindazt, ami az internetről elérhető.
  3. Kapcsolja be a többtényezős hitelesítést (MFA). Engedélyezze e-mailben, távoli hozzáférésben, adminisztrátori fiókokban és felhőszolgáltatásokban. Így az ellopott jelszavak önmagukban sokkal kevésbé lesznek hasznosak.

Adjon hozzá néhány kiegészítő lépést: korlátozza az adminisztrátori jogokat, válassza szét a fontos rendszereket a mindennapiaktól, és írja le, kit hívjon, ha támadás éri.

A lényeg

A SOCRadar felfedezése emlékeztető arra, hogy az AI-asszisztenseket használó zsarolóvírus-bandák már ezres nagyságrendű üzenetekkel, tucatnyi malware-builddel és tucatnyi áldozattal működnek. Nem irányíthatja, mit tesznek a bűnözők ezekkel az eszközökkel, de irányíthatja, mennyire van felkészülve. Állítson be offline biztonsági mentéseket, javítson gyorsan, és engedélyezze az MFA-t ezen a héten. A szervezetekre nehezedő szélesebb nyomás megértéséhez olvassa el cikkünket arról, hogyan célozzák az olyan zsarolóvírus-bandák, mint a Qilin és az Akira, az ellátási láncokat.