Forskere hos SOCRadar har fått et sjeldent innblikk i hvordan kriminelle arbeider. En åpen server knyttet til affilitater av INC- og The Gentlemen-ransomwareoperasjonene inneholdt 8 257 AI-meldinger med Claude og Kimi, 46 krypteringsbygg og 62 navngitte ofre. Funnet er et konkret eksempel på at ransomware-gjenger bruker AI-assistenter som en del av den daglige rutinen, og det gir nyttige lærdommer for enkeltpersoner og små bedrifter.
Kilderapporten er kort, så denne artikkelen holder seg til det som er publisert og unngår å gjette om detaljer som ikke er offentliggjort.
Hva SOCRadar fant på den åpne serveren
I følge sammendraget av SOCRadars funn var serveren etterlatt åpent tilgjengelig og var knyttet til affilitater av to ransomware-grupper, INC og The Gentlemen. Tre tall definerer funnet:
- 8 257 AI-meldinger utvekslet med assistentene Claude og Kimi
- 46 krypteringsbygg, altså kompilerte versjoner av filkrypteringsskadevaren som er klare til utrulling
- 62 navngitte ofre, organisasjoner identifisert på serveren
En eksponert server av denne typen fungerer som et verksted med døren stående åpen. I stedet for bare å se det ferdige angrepet, kan forskerne se verktøy, registreringer og arbeidssamtalene bak dem. Operasjonelle feil fra kriminelles side, som å etterlate infrastruktur usikret, er en av de få måtene forsvarere får denne typen innsikt på.
Hvordan INC og The Gentlemen brukte Claude og Kimi
Hoveddetaljen er volumet av AI-samtaler. Mer enn åtte tusen meldinger tyder på at assistentene ikke var et sporadisk eksperiment, men en fast del av arbeidsflyten til disse affilitatene. Kildematerialet bekrefter tilstedeværelsen av samtalene sammen med krypteringsbyggene og offerregistrene. Det går, i informasjonen som er tilgjengelig her, ikke i detalj på hvilke oppgaver assistentene ble brukt til, så vi vil ikke spekulere i spesifikke spørringer eller svar.
Det kombinasjonen viser, er at AI-chatverktøy står side om side med maskineriet i en angrepskampanje: skadevarebygg på den ene siden, en offerliste på den andre, og en lang registrering av AI-samtaler imellom. For forsvarere er den praktiske lærdommen at AI kan speede opp rutinearbeid for kriminelle, noe som kan senke innsatsen som trengs for å forberede og gjennomføre angrep.
Det er også viktig at to ulike assistenter dukker opp. Claude og Kimi kommer fra ulike utviklere, noe som tyder på at affilitatene ikke er bundet til ett enkelt verktøy og kan veksle mellom dem.
Hva de 62 navngitte ofrene antyder om målretting
Sekstito navngitte ofre sammen med 46 krypteringsbygg peker mot en organisert, repeterbar operasjon snarere enn en enkeltstående inntrenging. At mange bygg er klare, tyder på at angripere forbereder skreddersydde eller varierte versjoner av skadevaren på forhånd, noe som kan gjøre enkel signaturbasert deteksjon mindre pålitelig.
Kilden gir ikke oversikt over hvilke bransjer eller regioner ofrene tilhører, så det ville være feil å trekke bastante konklusjoner om sektormålretting. En rimelig lesning er snevrere: ransomware-affilitater holder arbeidslister over mål og forbereder verktøy på forhånd. Det mønsteret er konsistent med den bredere trenden der grupper rammer organisasjoner som er lettere å presse, et tema vi utforsker i vår gjennomgang av hvordan Qilin- og Akira-ransomware-gjengene eskalerer angrep i forsyningskjeden.
Hva dette betyr for deg
Hvis du driver en liten bedrift eller administrerer dine egne enheter, kan nyheten føles fjern, men lærdommen er praktisk. AI-assistanse finner ikke opp nye måter å bryte seg inn på så mye som den gjør eksisterende metoder raskere å forberede. Det betyr at det grunnleggende betyr mer, ikke mindre.
- Enkeltpersoner: Angripere er fortsatt avhengige av stjålne passord, uoppdatert programvare og lurer brukere. Sterke, unike innlogginger og oppdaterte enheter er fortsatt effektive barrierer.
- Små bedrifter: Å være liten er ikke beskyttelse. Affilitater holder offerlister, og forberedelsen er billig når verktøyet allerede er bygget.
- Alle: Ikke anta at du kan oppdage et angrep på slurvete formuleringer eller klønete teknikk. AI kan hjelpe med å polere begge.
Hvordan du reduserer ransomware-risikoen med sikkerhetskopier, oppdatering og MFA
Tre vaner gjør mesteparten av jobben mot ransomware, uansett hvem eller hva som hjelper angriperen:
- Hold sikkerhetskopier offline eller uforanderlige. Ransomware er designet for å låse filene dine, og en sikkerhetskopi som angripere ikke kan nå, gjør en krise til en ulempe. Test gjenopprettinger regelmessig, fordi en utestet sikkerhetskopi er en gjetning.
- Oppdater raskt. Installer oppdateringer for operativsystemer, nettlesere, VPN-enheter og verktøy for ekstern tilgang så snart du kan. Prioriter alt som er eksponert mot internett.
- Slå på flerfaktorautentisering (MFA). Aktiver det på e-post, ekstern tilgang, administratorkontoer og skytjenester. Stjålne passord alene blir da langt mindre nyttige.
Legg til noen støttende tiltak: begrens administratorrettigheter, segmenter viktige systemer fra hverdagssystemer, og skriv ned hvem du skal ringe hvis du blir rammet.
Konklusjonen
SOCRadars funn er en påminnelse om at ransomware-gjenger som bruker AI-assistenter, allerede opererer i en skala målt i tusenvis av meldinger, dusinvis av skadevarebygg og dusinvis av ofre. Du kan ikke kontrollere hva kriminelle gjør med disse verktøyene, men du kan kontrollere hvor forberedt du er. Sett opp offline sikkerhetskopier, oppdater raskt og aktiver MFA denne uken. For å forstå det bredere presset på organisasjoner, les vår artikkel om hvordan ransomware-gjenger som Qilin og Akira målretter seg mot forsyningskjeder.
