Cercetătorii de la SOCRadar au oferit o perspectivă rară asupra modului în care lucrează infractorii. Un server deschis, legat de afiliații operațiunilor de ransomware INC și The Gentlemen, conținea 8.257 de mesaje AI cu Claude și Kimi, 46 de versiuni de criptare și 62 de victime nominalizate. Descoperirea este un exemplu concret al faptului că bandele de ransomware folosesc asistenți AI ca parte a rutinei lor zilnice și oferă lecții utile pentru persoane fizice și întreprinderi mici.
Raportul sursă este scurt, așa că acest articol se limitează la ceea ce a fost publicat și evită speculațiile despre detalii care nu au fost făcute publice.
Ce a găsit SOCRadar pe serverul deschis
Conform rezumatului constatărilor SOCRadar, serverul a fost lăsat accesibil public și era legat de afiliații a două grupuri de ransomware, INC și The Gentlemen. Trei cifre definesc descoperirea:
- 8.257 de mesaje AI schimbate cu asistenții Claude și Kimi
- 46 de versiuni de criptare, adică versiuni compilate ale malware-ului de blocare a fișierelor, gata de implementare
- 62 de victime nominalizate, organizații identificate pe server
Un server expus de acest tip funcționează ca un atelier cu ușa lăsată deschisă. În loc să vadă doar atacul finalizat, cercetătorii pot vedea instrumente, înregistrări și conversațiile de lucru din spatele lor. Greșelile operaționale ale infractorilor, cum ar fi lăsarea infrastructurii nesecurizate, sunt una dintre puținele modalități prin care apărătorii obțin acest tip de vizibilitate.
Cum au folosit INC și The Gentlemen Claude și Kimi
Detaliul principal este volumul conversațiilor AI. Peste opt mii de mesaje sugerează că asistenții nu au fost un experiment ocazional, ci o parte regulată a fluxului de lucru al acestor afiliați. Materialul sursă confirmă prezența conversațiilor alături de versiunile de criptare și înregistrările victimelor. Nu detaliază, în informațiile disponibile aici, fiecare sarcină pentru care au fost folosiți asistenții, așa că nu vom specula despre prompturi sau rezultate specifice.
Ce arată combinația este că instrumentele de chat AI stau alături de mecanismul unei campanii de atac: versiuni de malware pe o parte, o listă de victime pe cealaltă și o lungă înregistrare de conversații AI între ele. Pentru apărători, concluzia practică este că AI poate accelera munca de rutină pentru infractori, ceea ce poate reduce efortul necesar pentru pregătirea și desfășurarea atacurilor.
De asemenea, contează că apar doi asistenți diferiți. Claude și Kimi provin de la dezvoltatori diferiți, ceea ce sugerează că afiliații nu sunt legați de un singur instrument și pot alterna între ele.
Ce sugerează cele 62 de victime nominalizate despre țintire
Șaizeci și două de victime nominalizate alături de 46 de versiuni de criptare indică o operațiune organizată și repetabilă, mai degrabă decât o intruziune unică. Faptul că există multe versiuni gata sugerează că atacatorii pregătesc în avans versiuni personalizate sau variate ale malware-ului, ceea ce poate face detectarea simplă bazată pe semnături mai puțin fiabilă.
Sursa nu detaliază căror industrii sau regiuni aparțin victimele, așa că ar fi greșit să tragem concluzii ferme despre țintirea pe sectoare. O interpretare rezonabilă este mai restrânsă: afiliații de ransomware păstrează liste de lucru cu ținte și pregătesc instrumente în avans. Acest model este consecvent cu tendința mai largă a echipelor de a lovi organizațiile mai ușor de presat, o temă explorată în analiza noastră despre cum bandele de ransomware Qilin și Akira escaladează atacurile asupra lanțului de aprovizionare.
Ce înseamnă acest lucru pentru dumneavoastră
Dacă conduceți o afacere mică sau vă gestionați propriile dispozitive, vestea poate părea îndepărtată, dar lecția este practică. Asistența AI nu inventează atât de mult metode noi de a pătrunde, cât face metodele existente mai rapide de pregătit. Asta înseamnă că elementele de bază contează mai mult, nu mai puțin.
- Persoane fizice: Atacatorii depind în continuare de parole furate, software neactualizat și utilizatori păcăliți. Autentificările puternice și unice și dispozitivele actualizate rămân bariere eficiente.
- Întreprinderi mici: Faptul că sunteți mic nu este o protecție. Afiliații păstrează liste de victime, iar pregătirea este ieftină când instrumentele sunt deja construite.
- Toată lumea: Nu presupuneți că puteți detecta un atac după formulări neglijente sau tehnici stângace. AI poate ajuta la lustruirea ambelor.
Cum să vă reduceți riscul de ransomware cu backupuri, patch-uri și MFA
Trei obiceiuri fac cea mai mare parte a muncii împotriva ransomware, indiferent cine sau ce ajută atacatorul:
- Păstrați backupuri offline sau imuabile. Ransomware-ul este conceput să blocheze fișierele, iar un backup pe care atacatorii nu îl pot accesa transformă o criză într-un inconvenient. Testați restaurările regulat, pentru că un backup netestat este o presupunere.
- Aplicați patch-uri prompt. Instalați actualizări pentru sistemele de operare, browsere, aparatele VPN și instrumentele de acces la distanță cât mai curând posibil. Prioritizați tot ce este expus la internet.
- Activați autentificarea cu mai mulți factori (MFA). Activați-o pentru e-mail, acces la distanță, conturi de administrator și servicii cloud. Parolele furate singure devin astfel mult mai puțin utile.
Adăugați câțiva pași suplimentari: limitați drepturile de administrator, segregați sistemele importante de cele cotidiene și notați pe cine să sunați dacă sunteți lovit.
Concluzia
Descoperirea SOCRadar este o reamintire că bandele de ransomware care folosesc asistenți AI operează deja la o scară măsurată în mii de mesaje, zeci de versiuni de malware și zeci de victime. Nu puteți controla ce fac infractorii cu aceste instrumente, dar puteți controla cât de pregătit sunteți. Configurați backupuri offline, aplicați patch-uri rapid și activați MFA săptămâna aceasta. Pentru a înțelege presiunea mai largă asupra organizațiilor, citiți articolul nostru despre cum bandele de ransomware precum Qilin și Akira vizează lanțurile de aprovizionare.
