I ricercatori di SOCRadar hanno scoperto una rara finestra su come lavorano i criminali. Un server aperto legato ad affiliati delle operazioni ransomware INC e The Gentlemen conteneva 8.257 messaggi AI con Claude e Kimi, 46 build di encryptor e 62 vittime nominate. La scoperta è un esempio concreto di bande ransomware che usano assistenti AI come parte della loro routine quotidiana, e offre lezioni utili per individui e piccole imprese.
Il report originale è breve, quindi questo articolo si attiene a quanto è stato pubblicato ed evita congetture su dettagli che non sono stati resi pubblici.
Cosa ha trovato SOCRadar sul server aperto
Secondo il riepilogo dei risultati di SOCRadar, il server era lasciato aperto e accessibile ed era collegato ad affiliati di due gruppi ransomware, INC e The Gentlemen. Tre numeri definiscono la scoperta:
- 8.257 messaggi AI scambiati con gli assistenti Claude e Kimi
- 46 build di encryptor, ovvero versioni compilate del malware che blocca i file, pronte per essere distribuite
- 62 vittime nominate, organizzazioni identificate sul server
Un server esposto di questo tipo funziona come un laboratorio con la porta lasciata aperta. Invece di vedere solo l'attacco finito, i ricercatori possono vedere strumenti, registri e le conversazioni di lavoro che stanno dietro. Gli errori operativi dei criminali, come lasciare infrastrutture non protette, sono una delle poche vie attraverso cui i difensori ottengono questo tipo di visibilità.
Come INC e The Gentlemen hanno usato Claude e Kimi
Il dettaglio principale è il volume delle conversazioni AI. Più di ottomila messaggi suggeriscono che gli assistenti non erano un esperimento occasionale ma una parte regolare del flusso di lavoro di questi affiliati. Il materiale originale conferma la presenza delle chat insieme alle build di encryptor e ai registri delle vittime. Non specifica, nelle informazioni disponibili qui, ogni compito per cui sono stati usati gli assistenti, quindi non speculeremo su prompt o output specifici.
Ciò che la combinazione dimostra è che gli strumenti di chat AI si affiancano al macchinario di una campagna di attacco: build di malware da un lato, una lista di vittime dall'altro, e un lungo registro di conversazioni AI nel mezzo. Per i difensori, l'implicazione pratica è che l'AI può accelerare il lavoro di routine per i criminali, il che può ridurre lo sforzo necessario per preparare ed eseguire attacchi.
Conta anche il fatto che compaiono due assistenti diversi. Claude e Kimi provengono da sviluppatori diversi, il che suggerisce che gli affiliati non sono legati a un singolo strumento e possono passare dall'uno all'altro.
Cosa suggeriscono le 62 vittime nominate sul targeting
Sessantadue vittime nominate insieme a 46 build di encryptor indicano un'operazione organizzata e ripetibile piuttosto che un'intrusione isolata. Avere molte build pronte suggerisce che gli aggressori preparano in anticipo versioni personalizzate o variate del loro malware, il che può rendere meno affidabile il semplice rilevamento basato su firme.
La fonte non suddivide le vittime per settore o regione, quindi sarebbe sbagliato trarre conclusioni definitive sul targeting settoriale. Una lettura ragionevole è più ristretta: gli affiliati ransomware tengono liste di obiettivi in lavorazione e preparano gli strumenti in anticipo. Questo schema è coerente con la tendenza più ampia di gruppi che colpiscono organizzazioni più facili da mettere sotto pressione, un tema esplorato nella nostra analisi su come le bande ransomware Qilin e Akira stanno intensificando gli attacchi alla supply chain.
Cosa significa per te
Se gestisci una piccola impresa o i tuoi dispositivi personali, la notizia può sembrare distante, ma la lezione è pratica. L'assistenza AI non inventa tanto nuovi modi di penetrare quanto rende più rapida la preparazione dei metodi esistenti. Questo significa che le basi contano di più, non di meno.
- Individui: Gli aggressori dipendono ancora da password rubate, software non aggiornato e utenti ingannati. Credenziali robuste e uniche e dispositivi aggiornati restano barriere efficaci.
- Piccole imprese: Essere piccoli non è una protezione. Gli affiliati tengono liste di vittime, e la preparazione costa poco quando gli strumenti sono già pronti.
- Tutti: Non dare per scontato di poter riconoscere un attacco da una formulazione sciatta o da una tecnica goffa. L'AI può contribuire a rifinire entrambe.
Come ridurre il rischio ransomware con backup, patch e MFA
Tre abitudini fanno la maggior parte del lavoro contro il ransomware, chiunque o qualunque cosa aiuti l'aggressore:
- Mantieni backup offline o immutabili. Il ransomware è progettato per bloccare i tuoi file, e un backup che gli aggressori non possono raggiungere trasforma una crisi in un inconveniente. Verifica regolarmente i ripristini, perché un backup non testato è solo una supposizione.
- Applica le patch prontamente. Installa gli aggiornamenti per sistemi operativi, browser, appliance VPN e strumenti di accesso remoto il prima possibile. Dai priorità a tutto ciò che è esposto a internet.
- Attiva l'autenticazione a più fattori (MFA). Abilitala su email, accesso remoto, account amministrativi e servizi cloud. Le sole password rubate diventano così molto meno utili.
Aggiungi qualche passo di supporto: limita i diritti di amministratore, segmenta i sistemi importanti da quelli di uso quotidiano e annota chi chiamare se vieni colpito.
In conclusione
La scoperta di SOCRadar è un promemoria del fatto che le bande ransomware che usano assistenti AI operano già su una scala misurata in migliaia di messaggi, decine di build di malware e decine di vittime. Non puoi controllare ciò che i criminali fanno con questi strumenti, ma puoi controllare quanto sei preparato. Configura backup offline, applica le patch rapidamente e abilita la MFA questa settimana. Per comprendere la pressione più ampia sulle organizzazioni, leggi il nostro articolo su come le bande ransomware come Qilin e Akira stanno prendendo di mira le supply chain.
