Onderzoekers van SOCRadar hebben een zeldzame blik gekregen in de manier waarop criminelen werken. Een open server die gekoppeld was aan affiliates van de INC- en The Gentlemen-ransomwareoperaties bevatte 8.257 AI-berichten met Claude en Kimi, 46 encryptor-builds en 62 genoemde slachtoffers. De vondst is een concreet voorbeeld van ransomwarebendes die AI-assistenten als onderdeel van hun dagelijkse routine gebruiken, en biedt nuttige lessen voor individuen en kleine bedrijven.
Het bronrapport is kort, dus dit artikel houdt zich aan wat er is gepubliceerd en vermijdt gissingen over details die niet openbaar zijn gemaakt.
Wat SOCRadar op de open server vond
Volgens de samenvatting van SOCRadar's bevindingen was de server openlijk toegankelijk en gekoppeld aan affiliates van twee ransomwaregroepen, INC en The Gentlemen. Drie cijfers definiëren de ontdekking:
- 8.257 AI-berichten uitgewisseld met de assistenten Claude en Kimi
- 46 encryptor-builds, dat wil zeggen gecompileerde versies van de malware die bestanden vergrendelt en klaar zijn om te worden ingezet
- 62 genoemde slachtoffers, organisaties die op de server zijn geïdentificeerd
Een blootgestelde server van dit soort werkt als een werkplaats met de deur open. In plaats van alleen de voltooide aanval te zien, kunnen onderzoekers tools, administratie en de werkgesprekken erachter zien. Operationele fouten van criminelen, zoals het onbeveiligd achterlaten van infrastructuur, zijn een van de weinige manieren waarop verdedigers dit soort zichtbaarheid krijgen.
Hoe INC en The Gentlemen Claude en Kimi gebruikten
Het opvallendste detail is het volume aan AI-gesprekken. Meer dan achtduizend berichten suggereren dat de assistenten geen incidenteel experiment waren, maar een vast onderdeel van de workflow van deze affiliates. Het bronmateriaal bevestigt de aanwezigheid van de chats naast de encryptor-builds en slachtofferregistraties. In de hier beschikbare informatie wordt niet uiteengezet voor welke taken de assistenten allemaal werden gebruikt, dus we zullen niet speculeren over specifieke prompts of outputs.
Wat de combinatie wel laat zien, is dat AI-chattools naast de machinerie van een aanvalscampagne staan: malware-builds aan de ene kant, een slachtofferlijst aan de andere kant, en een lange reeks AI-gesprekken daartussen. Voor verdedigers is de praktische les dat AI routinematig werk voor criminelen kan versnellen, wat de inspanning kan verlagen die nodig is om aanvallen voor te bereiden en uit te voeren.
Het is ook van belang dat er twee verschillende assistenten opduiken. Claude en Kimi komen van verschillende ontwikkelaars, wat suggereert dat affiliates niet aan één tool gebonden zijn en mogelijk tussen hen wisselen.
Wat de 62 genoemde slachtoffers zeggen over targeting
Tweeënzestig genoemde slachtoffers naast 46 encryptor-builds wijst op een georganiseerde, herhaalbare operatie in plaats van een eenmalige inbraak. Veel kant-en-klare builds suggereren dat aanvallers vooraf op maat gemaakte of gevarieerde versies van hun malware voorbereiden, wat eenvoudige op signatures gebaseerde detectie minder betrouwbaar kan maken.
De bron splitst niet uit tot welke sectoren of regio's de slachtoffers behoren, dus het zou onjuist zijn om harde conclusies te trekken over sectorspecifieke targeting. Een redelijke lezing is narrower: ransomware-affiliates houden werkende lijsten van doelen bij en bereiden tooling vooraf voor. Dat patroon past bij de bredere trend van crews die organisaties treffen die gemakkelijker onder druk te zetten zijn, een thema dat we verkennen in ons artikel over hoe Qilin- en Akira-ransomwarebendes supply chain-aanvallen opvoeren.
Wat dit voor jou betekent
Als je een klein bedrijf runt of je eigen apparaten beheert, kan het nieuws ver weg voelen, maar de les is praktisch. AI-hulp verzint niet zozeer nieuwe manieren om binnen te dringen, maar maakt bestaande methoden sneller voor te bereiden. Dat betekent dat de basis meer telt, niet minder.
- Individuen: Aanvallers blijven afhankelijk van gestolen wachtwoorden, niet-gepatchte software en misleide gebruikers. Sterke, unieke logins en bijgewerkte apparaten blijven effectieve barrières.
- Kleine bedrijven: Klein zijn is geen bescherming. Affiliates houden slachtofferlijsten bij, en voorbereiding is goedkoop wanneer tooling al is gebouwd.
- Iedereen: Ga er niet van uit dat je een aanval kunt herkennen aan slordige formuleringen of onhandige techniek. AI kan beide helpen oppoetsen.
Hoe je je ransomware-risico verkleint met back-ups, patching en MFA
Drie gewoonten doen het meeste werk tegen ransomware, wie of wat de aanvaller ook helpt:
- Houd offline of onveranderlijke back-ups bij. Ransomware is ontworpen om je bestanden te vergrendelen, en een back-up die aanvallers niet kunnen bereiken maakt van een crisis een ongemak. Test herstel regelmatig, want een ongeteste back-up is een gok.
- Patch snel. Installeer updates voor besturingssystemen, browsers, VPN-apparaten en tools voor remote access zo snel als je kunt. Geef prioriteit aan alles wat aan het internet is blootgesteld.
- Schakel multi-factor authentication (MFA) in. Activeer het voor e-mail, remote access, admin-accounts en clouddiensten. Alleen al gestolen wachtwoorden worden dan veel minder bruikbaar.
Voeg een paar ondersteunende stappen toe: beperk beheerdersrechten, segmenteer belangrijke systemen van alledaagse systemen, en schrijf op wie je moet bellen als je wordt getroffen.
De onderste regel
SOCRadar's ontdekking is een herinnering dat ransomwarebendes die AI-assistenten gebruiken al op een schaal opereren die wordt gemeten in duizenden berichten, tientallen malware-builds en tientallen slachtoffers. Je kunt niet controleren wat criminelen met deze tools doen, maar je kunt wel controleren hoe voorbereid je bent. Stel deze week offline back-ups in, patch snel en schakel MFA in. Om de bredere druk op organisaties te begrijpen, lees ons stuk over hoe ransomwarebendes zoals Qilin en Akira supply chains targeten.
