Forskare på SOCRadar har fått en sällsynt inblick i hur kriminella arbetar. En öppen server kopplad till affiliater till ransomware-operationerna INC och The Gentlemen innehöll 8 257 AI-meddelanden med Claude och Kimi, 46 krypteringsprogramsbyggen och 62 namngivna offer. Fyndet är ett konkret exempel på att ransomwaregäng använder AI-assistenter som en del av sin dagliga rutin, och det ger användbara lärdomar för privatpersoner och småföretag.

Källrapporten är kortfattad, så den här artikeln håller sig till det som har publicerats och undviker gissningar om detaljer som inte har offentliggjorts.

Vad SOCRadar hittade på den öppna servern

Enligt sammanfattningen av SOCRadars fynd lämnades servern öppet åtkomlig och var kopplad till affiliater till två ransomwaregrupper, INC och The Gentlemen. Tre siffror definierar upptäckten:

  • 8 257 AI-meddelanden utbytta med assistenterna Claude och Kimi
  • 46 krypteringsprogramsbyggen, det vill säga kompilerade versioner av filåsningsskadlig programvara som är redo att användas
  • 62 namngivna offer, organisationer identifierade på servern

En exponerad server av det här slaget fungerar som en verkstad med dörren lämnad öppen. I stället för att bara se den färdiga attacken kan forskare se verktyg, register och de arbetsrelaterade konversationerna bakom dem. Operativa misstag av kriminella, som att lämna infrastruktur osäkrad, är ett av de få sätten som försvarare får den här typen av insyn på.

Hur INC och The Gentlemen använde Claude och Kimi

Rubrikdetaljen är mängden AI-konversationer. Mer än åtta tusen meddelanden tyder på att assistenterna inte var ett enstaka experiment utan en regelbunden del av arbetsflödet för dessa affiliater. Källmaterialet bekräftar förekomsten av chattarna tillsammans med krypteringsprogramsbyggena och offren, men i den information som finns här specificeras inte varje uppgift som assistenterna användes för, så vi kommer inte att spekulera om specifika prompter eller utdata.

Vad kombinationen däremot visar är att AI-chattverktyg sitter bredvid maskineriet i en attackkampanj: skadlig programvara på ena sidan, en offerlista på den andra och en lång register över AI-konversationer däremellan. För försvarare är den praktiska slutsatsen att AI kan snabba upp rutinarbete för kriminella, vilket kan minska ansträngningen som krävs för att förbereda och genomföra attacker.

Det spelar också roll att två olika assistenter förekommer. Claude och Kimi kommer från olika utvecklare, vilket tyder på att affiliater inte är bundna till ett enda verktyg och kan växla mellan dem.

Vad de 62 namngivna offren säger om målval

Sextiotvå namngivna offer tillsammans med 46 krypteringsprogramsbyggen pekar mot en organiserad, repeterbar operation snarare än ett engångsintrång. Att ha många byggen redo tyder på att angripare förbereder skräddarsydda eller varierade versioner av sin skadliga programvara i förväg, vilket kan göra enkel signaturbaserad detektering mindre tillförlitlig.

Källan redogör inte för vilka branscher eller regioner offren tillhör, så det vore fel att dra säkra slutsatser om sektoriellt målval. En rimlig tolkning är snävare: ransomware-affiliater håller fungerande mållistor och förbereder verktyg i förväg. Det mönstret stämmer med den bredare trenden där grupper slår mot organisationer som är lättare att pressa, ett tema som utforskas i vår genomgång av hur Qilin- och Akira-ransomwaregängen trappar upp attacker mot leveranskedjan.

Vad detta betyder för dig

Om du driver ett litet företag eller hanterar dina egna enheter kan nyheten kännas avlägsen, men lärdomen är praktisk. AI-assistans uppfinner inte nya sätt att ta sig in så mycket som den gör befintliga metoder snabbare att förbereda. Det innebär att grunderna spelar större roll, inte mindre.

  • Privatpersoner: Angripare är fortfarande beroende av stulna lösenord, ouppdaterad programvara och lurade användare. Starka, unika inloggningar och uppdaterade enheter är fortfarande effektiva barriärer.
  • Småföretag: Att vara liten är inget skydd. Affiliater håller offerlistor, och förberedelserna är billiga när verktygen redan är byggda.
  • Alla: Anta inte att du kan upptäcka en attack på slarvigt formulerade texter eller klumpig teknik. AI kan hjälpa till att polera båda.

Hur du minskar din ransomware-risk med säkerhetskopior, patchning och MFA

Tre vanor gör det mesta av arbetet mot ransomware, oavsett vem eller vad som hjälper angriparen:

  1. Håll säkerhetskopior offline eller oföränderliga. Ransomware är utformat för att låsa dina filer, och en säkerhetskopia som angripare inte kan nå förvandlar en kris till ett besvär. Testa återställningar regelbundet, för en otestad säkerhetskopia är en gissning.
  2. Patcha snabbt. Installera uppdateringar för operativsystem, webbläsare, VPN-enheter och fjärråtkomstverktyg så snart du kan. Prioritera allt som är exponerat mot internet.
  3. Aktivera multifaktorautentisering (MFA). Aktivera det för e-post, fjärråtkomst, administratörskonton och molntjänster. Enbart stulna lösenord blir då mycket mindre användbara.

Lägg till några stödjande steg: begränsa administratörsrättigheter, segmentera viktiga system från vardagliga och skriv ned vem du ska ringa om du drabbas.

Slutsatsen

SOCRadars upptäckt är en påminnelse om att ransomwaregäng som använder AI-assistenter redan arbetar i en skala som mäts i tusentals meddelanden, dussintals skadliga programvarubyggen och dussintals offer. Du kan inte kontrollera vad kriminella gör med dessa verktyg, men du kan kontrollera hur förberedd du är. Sätt upp offline-säkerhetskopior, patcha snabbt och aktivera MFA den här veckan. För att förstå det bredare trycket på organisationer, läs vår artikel om hur ransomwaregäng som Qilin och Akira riktar in sig på leveranskedjor.