Исследователи SOCRadar получили редкую возможность заглянуть в то, как работают преступники. Открытый сервер, связанный с аффилиатами программ-вымогателей INC и The Gentlemen, содержал 8 257 сообщений ИИ с Claude и Kimi, 46 сборок шифровальщиков и 62 именованные жертвы. Эта находка — конкретный пример того, как группировки программ-вымогателей используют ИИ-ассистентов в своей повседневной работе, и она даёт полезные уроки для частных лиц и малого бизнеса.
Исходный отчёт краток, поэтому данная статья придерживается только опубликованных данных и избегает домыслов о деталях, которые не были обнародованы.
Что SOCRadar обнаружила на открытом сервере
Согласно изложению находок SOCRadar, сервер оставался открытым для доступа и был связан с аффилиатами двух группировок программ-вымогателей — INC и The Gentlemen. Обнаружение определяют три цифры:
- 8 257 сообщений ИИ, которыми обменивались с ассистентами Claude и Kimi
- 46 сборок шифровальщиков, то есть скомпилированных версий вредоносного ПО для блокировки файлов, готовых к развёртыванию
- 62 именованные жертвы, то есть организации, идентифицированные на сервере
Открытый сервер такого рода работает как мастерская с незапертой дверью. Вместо того чтобы видеть только завершённую атаку, исследователи могут увидеть инструменты, записи и рабочие беседы за ними. Операционные ошибки преступников, такие как оставленная незащищённой инфраструктура, — один из немногих способов, которыми защитники получают такую видимость.
Как INC и The Gentlemen использовали Claude и Kimi
Главная деталь — объём разговоров с ИИ. Более восьми тысяч сообщений говорят о том, что ассистенты были не случайным экспериментом, а регулярной частью рабочего процесса этих аффилиатов. Исходные материалы подтверждают наличие чатов наряду со сборками шифровальщиков и записями о жертвах. В доступной здесь информации не уточняется, для каких именно задач использовались ассистенты, поэтому мы не будем строить предположения о конкретных запросах или выводах.
Что показывает это сочетание, так это то, что чат-инструменты ИИ стоят рядом с механизмами кампании атаки: сборки вредоносного ПО с одной стороны, список жертв с другой и длинная череда разговоров с ИИ между ними. Для защитников практический вывод таков: ИИ может ускорить рутинную работу для преступников, что может снизить усилия, необходимые для подготовки и проведения атак.
Важно и то, что фигурируют два разных ассистента. Claude и Kimi происходят от разных разработчиков, что говорит о том, что аффилиаты не привязаны к одному инструменту и могут переключаться между ними.
Что 62 именованные жертвы говорят о выборе целей
Шестьдесят две именованные жертвы вместе с 46 сборками шифровальщиков указывают на организованную, повторяемую операцию, а не на разовое вторжение. Наличие множества готовых сборок говорит о том, что злоумышленники заранее готовят адаптированные или разнообразные версии своего вредоносного ПО, что может сделать простое обнаружение по сигнатурам менее надёжным.
В источнике не приводится разбивка жертв по отраслям или регионам, поэтому было бы неправильно делать твёрдые выводы о выборе отраслей. Разумное толкование более узкое: аффилиаты программ-вымогателей ведут рабочие списки целей и заранее готовят инструменты. Эта картина согласуется с более широкой тенденцией: группировки атакуют организации, на которые легче оказать давление, — тема, рассмотренная в нашем материале о том, как группировки программ-вымогателей Qilin и Akira наращивают атаки на цепочки поставок.
Что это значит для вас
Если вы управляете малым бизнесом или своими устройствами, новость может показаться далёкой, но урок практичен. Помощь ИИ не столько изобретает новые способы проникновения, сколько ускоряет подготовку существующих методов. Это значит, что основы важны больше, а не меньше.
- Частные лица: Злоумышленники по-прежнему полагаются на украденные пароли, неисправленное ПО и обманутых пользователей. Надёжные уникальные логины и обновлённые устройства остаются эффективными барьерами.
- Малый бизнес: Малый размер — не защита. Аффилиаты ведут списки жертв, а подготовка дёшева, когда инструменты уже созданы.
- Все: Не думайте, что сможете распознать атаку по небрежным формулировкам или неуклюжей технике. ИИ может помочь отполировать и то, и другое.
Как снизить риск программ-вымогателей с помощью резервных копий, обновлений и MFA
Три привычки делают основную работу против программ-вымогателей, кто бы или что бы ни помогало злоумышленнику:
- Держите офлайн- или неизменяемые резервные копии. Программы-вымогатели созданы для блокировки ваших файлов, и резервная копия, до которой злоумышленники не могут добраться, превращает кризис в неудобство. Регулярно проверяйте восстановление, потому что непроверенная резервная копия — это догадка.
- Своевременно устанавливайте обновления. Устанавливайте обновления для операционных систем, браузеров, VPN-устройств и инструментов удалённого доступа как можно скорее. В первую очередь — всё, что доступно из интернета.
- Включите многофакторную аутентификацию (MFA). Активируйте её для электронной почты, удалённого доступа, административных учётных записей и облачных сервисов. Тогда одни только украденные пароли становятся гораздо менее полезными.
Добавьте несколько вспомогательных шагов: ограничьте права администратора, сегментируйте важные системы от повседневных и запишите, кому звонить, если вы подверглись атаке.
Главное
Открытие SOCRadar — напоминание о том, что группировки программ-вымогателей, использующие ИИ-ассистентов, уже работают в масштабе, измеряемом тысячами сообщений, десятками сборок вредоносного ПО и десятками жертв. Вы не можете контролировать, что преступники делают с этими инструментами, но вы можете контролировать, насколько вы подготовлены. Настройте офлайн-резервные копии, оперативно устанавливайте обновления и включите MFA на этой неделе. Чтобы понять более широкое давление на организации, прочитайте наш материал о том, как группировки программ-вымогателей, такие как Qilin и Akira, нацеливаются на цепочки поставок.
