Peneliti di SOCRadar telah menemukan gambaran langka tentang bagaimana para penjahat bekerja. Sebuah server terbuka yang terkait dengan afiliasi operasi ransomware INC dan The Gentlemen menyimpan 8.257 pesan AI dengan Claude dan Kimi, 46 build enkriptor, dan 62 korban bernama. Temuan ini adalah contoh konkret geng ransomware yang menggunakan asisten AI sebagai bagian dari rutinitas harian mereka, dan menawarkan pelajaran berguna bagi individu dan usaha kecil.
Laporan sumbernya singkat, jadi artikel ini berpegang pada apa yang telah dipublikasikan dan menghindari spekulasi tentang detail yang belum diungkap ke publik.
Apa yang Ditemukan SOCRadar di Server Terbuka
Menurut ringkasan temuan SOCRadar, server tersebut dibiarkan dapat diakses secara terbuka dan terkait dengan afiliasi dua kelompok ransomware, INC dan The Gentlemen. Tiga angka mendefinisikan temuan tersebut:
- 8.257 pesan AI yang dipertukarkan dengan asisten Claude dan Kimi
- 46 build enkriptor, yang berarti versi terkompilasi dari malware pengunci file yang siap digunakan
- 62 korban bernama, organisasi yang teridentifikasi di server
Server terbuka seperti ini bekerja seperti bengkel dengan pintu yang dibiarkan terbuka. Alih-alih hanya melihat serangan yang sudah selesai, peneliti dapat melihat alat, catatan, dan percakapan kerja di baliknya. Kesalahan operasional oleh penjahat, seperti membiarkan infrastruktur tidak aman, adalah salah satu dari sedikit cara defender mendapatkan visibilitas semacam ini.
Bagaimana INC dan The Gentlemen Menggunakan Claude dan Kimi
Detail utama adalah volume percakapan AI. Lebih dari delapan ribu pesan menunjukkan bahwa asisten tersebut bukan eksperimen sesekali tetapi bagian rutin dari alur kerja afiliasi ini. Materi sumber mengonfirmasi keberadaan obrolan tersebut bersama build enkriptor dan catatan korban. Namun, dalam informasi yang tersedia di sini, tidak dijelaskan secara rinci setiap tugas yang digunakan asisten tersebut, jadi kami tidak akan berspekulasi tentang prompt atau output tertentu.
Yang ditunjukkan oleh kombinasi tersebut adalah bahwa alat obrolan AI berada di samping mesin kampanye serangan: build malware di satu sisi, daftar korban di sisi lain, dan catatan panjang percakapan AI di antaranya. Bagi defender, kesimpulan praktisnya adalah bahwa AI dapat mempercepat pekerjaan rutin bagi penjahat, yang mungkin mengurangi upaya yang diperlukan untuk mempersiapkan dan menjalankan serangan.
Hal ini juga penting karena dua asisten berbeda muncul. Claude dan Kimi berasal dari pengembang yang berbeda, yang menunjukkan bahwa afiliasi tidak terikat pada satu alat dan mungkin beralih di antara keduanya.
Apa yang Ditunjukkan 62 Korban Bernama Tentang Penargetan
Enam puluh dua korban bernama bersama 46 build enkriptor menunjukkan operasi yang terorganisir dan dapat diulang daripada intrusi sekali jalan. Banyaknya build yang siap menunjukkan bahwa penyerang mempersiapkan versi malware yang disesuaikan atau bervariasi sebelumnya, yang dapat membuat deteksi berbasis signature sederhana menjadi kurang andal.
Sumber tidak merinci industri atau wilayah mana korban berasal, sehingga akan salah untuk menarik kesimpulan pasti tentang penargetan sektor. Pembacaan yang wajar lebih sempit: afiliasi ransomware menyimpan daftar target yang sedang dikerjakan dan mempersiapkan perangkat sebelumnya. Pola ini konsisten dengan tren yang lebih luas dari kru yang menyerang organisasi yang lebih mudah ditekan, tema yang dijelaskan dalam ulasan kami tentang bagaimana geng ransomware Qilin dan Akira meningkatkan serangan rantai pasokan.
Apa Artinya Bagi Anda
Jika Anda menjalankan usaha kecil atau mengelola perangkat Anda sendiri, berita ini mungkin terasa jauh, tetapi pelajarannya praktis. Bantuan AI tidak menciptakan cara baru untuk membobol sejauh membuat metode yang ada lebih cepat disiapkan. Artinya, dasar-dasar menjadi lebih penting, bukan kurang.
- Individu: Penyerang masih bergantung pada kata sandi yang dicuri, perangkat lunak yang tidak ditambal, dan pengguna yang tertipu. Login yang kuat dan unik serta perangkat yang diperbarui tetap menjadi penghalang yang efektif.
- Usaha kecil: Menjadi kecil bukanlah perlindungan. Afiliasi menyimpan daftar korban, dan persiapan menjadi murah ketika perangkat sudah dibuat.
- Semua orang: Jangan berasumsi Anda dapat mengenali serangan dari kata-kata yang ceroboh atau teknik yang canggung. AI dapat membantu memperhalus keduanya.
Cara Mengurangi Risiko Ransomware Anda dengan Backup, Patching, dan MFA
Tiga kebiasaan melakukan sebagian besar pekerjaan melawan ransomware, siapa pun atau apa pun yang membantu penyerang:
- Pertahankan backup offline atau immutable. Ransomware dirancang untuk mengunci file Anda, dan backup yang tidak dapat dijangkau penyerang mengubah krisis menjadi ketidaknyamanan. Uji pemulihan secara teratur, karena backup yang tidak diuji hanyalah tebakan.
- Tambal dengan segera. Pasang pembaruan untuk sistem operasi, browser, perangkat VPN, dan alat akses jarak jauh secepat mungkin. Prioritaskan apa pun yang terpapar internet.
- Aktifkan autentikasi multifaktor (MFA). Aktifkan pada email, akses jarak jauh, akun admin, dan layanan cloud. Kata sandi yang dicuri saja kemudian menjadi jauh lebih tidak berguna.
Tambahkan beberapa langkah pendukung: batasi hak administrator, segmentasikan sistem penting dari sistem sehari-hari, dan tuliskan siapa yang harus dihubungi jika Anda terkena serangan.
Kesimpulan
Penemuan SOCRadar adalah pengingat bahwa geng ransomware yang menggunakan asisten AI sudah beroperasi pada skala yang diukur dalam ribuan pesan, puluhan build malware, dan puluhan korban. Anda tidak dapat mengontrol apa yang dilakukan penjahat dengan alat ini, tetapi Anda dapat mengontrol seberapa siap Anda. Siapkan backup offline, tambal dengan cepat, dan aktifkan MFA minggu ini. Untuk memahami tekanan yang lebih luas pada organisasi, baca artikel kami tentang bagaimana geng ransomware seperti Qilin dan Akira menargetkan rantai pasokan.
