Badacze z SOCRadar uzyskali rzadki wgląd w sposob, w jaki działają przestępcy. Otwarty serwer powiązany z afiliantami operacji ransomware INC i The Gentlemen zawierał 8 257 wiadomości AI z Claude i Kimi, 46 kompilacji encryptorów i 62 nazwanych ofiar. To odkrycie jest konkretnym przykładem tego, że gangi ransomware wykorzystują asystentów AI jako część swojej codziennej rutyny, i oferuje użyteczne lekcje dla osób prywatnych oraz małych firm.

Źrodłowy raport jest zwięzły, dlatego ten artykuł trzyma się tego, co zostało opublikowane, i unika zgadywania szczegółów, które nie zostały ujawnione publicznie.

Co SOCRadar znalazł na otwartym serwerze

Zgodnie z podsumowaniem ustaleń SOCRadar serwer pozostawiono otwarcie dostępnym, a był on powiązany z afiliantami dwóch grup ransomware: INC i The Gentlemen. Odkrycie definiują trzy liczby:

  • 8 257 wiadomości AI wymienionych z asystentami Claude i Kimi
  • 46 kompilacji encryptorów, czyli skompilowanych wersji złośliwego oprogramowania blokującego pliki, gotowych do wdrożenia
  • 62 nazwanych ofiar, czyli organizacji zidentyfikowanych na serwerze

Ujawniony serwer tego rodzaju działa jak warsztat z pozostawionymi otwartymi drzwiami. Zamiast widzieć wyłącznie przeprowadzony atak, badacze mogą zobaczyć narzędzia, zapisy i rozmowy robocze stojące za nimi. Błędy operacyjne przestępców, takie jak pozostawienie infrastruktury niezabezpieczonej, są jednym z niewielu sposobów, w jakie obrońcy uzyskują tego rodzaju widoczność.

Jak INC i The Gentlemen wykorzystywali Claude i Kimi

Najważniejszym szczegółem jest wolumen rozmów z AI. Ponad osiem tysięcy wiadomości sugeruje, że asystenci nie byli okazjonalnym eksperymentem, lecz regularną częścią przepływu pracy tych afiliantów. Materiał źródłowy potwierdza obecność czatów obok kompilacji encryptorów i rejestrów ofiar. Nie precyzuje jednak, w dostępnych tu informacjach, każdego zadania, do którego wykorzystywano asystentów, dlatego nie będziemy spekulować na temat konkretnych promptów ani wyników.

To, co pokazuje to połączenie, to fakt, że narzędzia czatu AI stoją obok maszynerii kampanii ataku: kompilacje złośliwego oprogramowania po jednej stronie, lista ofiar po drugiej i długi zapis rozmów z AI pomiędzy nimi. Dla obrońców praktyczny wniosek jest taki, że AI może przyspieszyć rutynową pracę przestępców, co może obniżyć wysiłek potrzebny do przygotowania i przeprowadzenia ataków.

Istotne jest również to, że pojawiają się dwa różne asystenty. Claude i Kimi pochodzą od różnych deweloperów, co sugeruje, że afilianci nie są przywiązani do jednego narzędzia i mogą przełączać się między nimi.

Co 62 nazwane ofiary mówią o typowaniu celów

Sześćdziesiąt dwie nazwane ofiary obok 46 kompilacji encryptorów wskazują na zorganizowaną, powtarzalną operację, a nie jednorazową intruzję. Wiele gotowych kompilacji sugeruje, że atakujący przygotowują z wyprzedzeniem dostosowane lub zróżnicowane wersje swojego złośliwego oprogramowania, co może sprawić, że proste wykrywanie oparte na sygnaturach stanie się mniej niezawodne.

Źródło nie dzieli ofiar według branż ani regionów, więc błędem byłoby wyciąganie stanowczych wniosków na temat typowania sektorów. Rozsądna interpretacja jest węższa: afilianci ransomware prowadzą robocze listy celów i przygotowują narzędzia z wyprzedzeniem. Ten wzorzec jest spójny z szerszym trendem grup uderzających w organizacje, które łatwiej zmusić do ustępstw — temat ten omawiamy w naszym artykule o tym, jak gangi ransomware Qilin i Akira eskalują ataki na łańcuch dostaw.

Co to oznacza dla Ciebie

Jeśli prowadzisz małą firmę lub zarządzasz własnymi urządzeniami, te wiadomości mogą wydawać się odległe, ale lekcja jest praktyczna. Wsparcie AI nie tyle wymyśla nowe sposoby włamania, ile przyspiesza przygotowanie istniejących metod. Oznacza to, że podstawy mają większe, a nie mniejsze znaczenie.

  • Osoby prywatne: Atakujący nadal polegają na skradzionych hasłach, niezałatanych programach i oszukanych użytkownikach. Silne, unikalne loginy i aktualne urządzenia pozostają skutecznymi barierami.
  • Małe firmy: Bycie małym nie jest ochroną. Afilianci prowadzą listy ofiar, a przygotowanie jest tanie, gdy narzędzia są już zbudowane.
  • Wszyscy: Nie zakładaj, że rozpoznasz atak po niestarannym sformułowaniu lub niezgrabnej technice. AI może pomóc dopracować jedno i drugie.

Jak zmniejszyć ryzyko ransomware dzięki kopiom zapasowym, łataniu i MFA

Trzy nawyki wykonują większość pracy w walce z ransomware, niezależnie od tego, kto lub co pomaga atakującemu:

  1. Utrzymuj kopie zapasowe offline lub niezmienne. Ransomware jest zaprojektowane do blokowania plików, a kopia zapasowa, do której atakujący nie mogą dotrzeć, zamienia kryzys w niedogodność. Regularnie testuj przywracanie, ponieważ nietestowana kopia zapasowa to zgadywanie.
  2. Łataj niezwłocznie. Instaluj aktualizacje systemów operacyjnych, przeglądarek, urządzeń VPN i narzędzi zdalnego dostępu tak szybko, jak to możliwe. Priorytetowo traktuj wszystko, co jest wystawione na internet.
  3. Włącz uwierzytelnianie wieloskładnikowe (MFA). Włącz je dla poczty e-mail, zdalnego dostępu, kont administracyjnych i usług w chmurze. Same skradzione hasła stają się wtedy znacznie mniej użyteczne.

Dodaj kilka kroków wspierających: ogranicz prawa administratora, oddziel ważne systemy od tych codziennych i zapisz, do kogo dzwonić, jeśli zostaniesz zaatakowany.

Podsumowanie

Odkrycie SOCRadar przypomina, że gangi ransomware wykorzystujące asystentów AI działają już na skalę mierzoną w tysiącach wiadomości, dziesiątkach kompilacji złośliwego oprogramowania i dziesiątkach ofiar. Nie możesz kontrolować tego, co przestępcy robią z tymi narzędziami, ale możesz kontrolować, jak bardzo jesteś przygotowany. Skonfiguruj kopie zapasowe offline, łataj szybko i włącz MFA w tym tygodniu. Aby zrozumieć szerszą presję na organizacje, przeczytaj nasz artykuł o tym, jak gangi ransomware takie jak Qilin i Akira celują w łańcuchy dostaw.