Дослідники SOCRadar отримали рідкісну можливість зазирнути в те, як працюють зловмисники. Відкритий сервер, пов'язаний з афіліатами операцій програм-вимагачів INC та The Gentlemen, містив 8 257 повідомлень ШІ з Claude та Kimi, 46 збірок шифрувальників і 62 іменовані жертви. Ця знахідка є конкретним прикладом того, як угруповання програм-вимагачів використовують ШІ-асистентів у своїй щоденній роботі, і пропонує корисні уроки для приватних осіб та малого бізнесу.
Джерело звіту коротке, тому ця стаття дотримується лише опублікованого та уникає здогадок щодо деталей, які не були оприлюднені.
Що SOCRadar виявив на відкритому сервері
Згідно з підсумком висновків SOCRadar, сервер залишався відкрито доступним і був пов'язаний з афіліатами двох угруповань програм-вимагачів — INC та The Gentlemen. Три числа визначають цю знахідку:
- 8 257 повідомлень ШІ, якими обмінювалися з асистентами Claude та Kimi
- 46 збірок шифрувальників, тобто скомпільованих версій шкідливого програмного забезпечення для блокування файлів, готових до розгортання
- 62 іменовані жертви, організації, ідентифіковані на сервері
Відкритий сервер такого типу працює як майстерня з відчиненими дверима. Замість того, щоб бачити лише завершену атаку, дослідники можуть бачити інструменти, записи та робочі розмови за ними. Операційні помилки зловмисників, як-от залишення інфраструктури незахищеною, є одним із небагатьох способів, якими захисники отримують таку видимість.
Як INC та The Gentlemen використовували Claude і Kimi
Головна деталь — обсяг розмов зі ШІ. Понад вісім тисяч повідомлень свідчать про те, що асистенти були не випадковим експериментом, а регулярною частиною робочого процесу цих афіліатів. Джерельний матеріал підтверджує наявність чатів поряд зі збірками шифрувальників і записами жертв. У наявній тут інформації він не уточнює кожне завдання, для якого використовувалися асистенти, тому ми не будемо робити припущень щодо конкретних запитів чи результатів.
Однак поєднання показує, що інструменти чату зі ШІ стоять поряд із механізмами кампанії атаки: збірки шкідливого програмного забезпечення з одного боку, список жертв з іншого, і довгий запис розмов зі ШІ між ними. Для захисників практичний висновок полягає в тому, що ШІ може прискорити рутинну роботу для зловмисників, що може знизити зусилля, необхідні для підготовки та проведення атак.
Також важливо, що з'являються два різні асистенти. Claude та Kimi походять від різних розробників, що свідчить про те, що афіліати не прив'язані до одного інструмента і можуть перемикатися між ними.
Що 62 іменовані жертви свідчать про цілеспрямованість
Шістдесят дві іменовані жертви поряд із 46 збірками шифрувальників вказують на організовану, повторювану операцію, а не на одноразове вторгнення. Наявність багатьох готових збірок свідчить про те, що зловмисники заздалегідь готують адаптовані або різноманітні версії свого шкідливого програмного забезпечення, що може зробити просте виявлення на основі сигнатур менш надійним.
Джерело не розкриває, до яких галузей чи регіонів належать жертви, тому було б неправильно робити тверді висновки щодо цілеспрямованості за секторами. Обґрунтоване тлумачення є вужчим: афіліати програм-вимагачів ведуть робочі списки цілей і заздалегідь готують інструменти. Ця закономірність узгоджується із ширшою тенденцією, коли угруповання атакують організації, на які легше чинити тиск, — тема, досліджена в нашому матеріалі про те, як угруповання програм-вимагачів Qilin та Akira ескалюють атаки на ланцюги постачання.
Що це означає для вас
Якщо ви керуєте малим бізнесом або керуєте власними пристроями, новина може здаватися далекою, але урок практичний. ШІ-допомога не стільки винаходить нові способи злому, скільки робить існуючі методи швидшими в підготовці. Це означає, що основи важливіші, а не менш важливі.
- Приватні особи: Зловмисники все ще покладаються на викрадені паролі, неоновлене програмне забезпечення та обдурених користувачів. Надійні, унікальні логіни та оновлені пристрої залишаються ефективними бар'єрами.
- Малий бізнес: Бути малим — не захист. Афіліати ведуть списки жертв, а підготовка дешева, коли інструменти вже створені.
- Усім: Не думайте, що можете розпізнати атаку за недбалими формулюваннями чи незграбною технікою. ШІ може допомогти відшліфувати і те, й інше.
Як знизити ризик програм-вимагачів за допомогою резервних копій, патчів і MFA
Три звички виконують більшу частину роботи проти програм-вимагачів, незалежно від того, хто або що допомагає зловмиснику:
- Тримайте офлайн- або незмінні резервні копії. Програми-вимагачі створені для блокування ваших файлів, а резервна копія, до якої зловмисники не можуть дістатися, перетворює кризу на незручність. Регулярно тестуйте відновлення, бо неперевірена резервна копія — це лише здогадка.
- Встановлюйте патчі своєчасно. Встановлюйте оновлення для операційних систем, браузерів, VPN-пристроїв та інструментів віддаленого доступу якнайшвидше. Надавайте пріоритет усьому, що відкрите в інтернеті.
- Увімкніть багатофакторну автентифікацію (MFA). Увімкніть її для електронної пошти, віддаленого доступу, адміністративних облікових записів і хмарних сервісів. Тоді самі лише викрадені паролі стають набагато менш корисними.
Додайте кілька допоміжних кроків: обмежте права адміністратора, сегментуйте важливі системи від повсякденних і запишіть, кому телефонувати, якщо вас атакують.
Підсумок
Знахідка SOCRadar — це нагадування про те, що угруповання програм-вимагачів, які використовують ШІ-асистентів, уже працюють у масштабі, вимірюваному тисячами повідомлень, десятками збірок шкідливого програмного забезпечення та десятками жертв. Ви не можете контролювати, що зловмисники роблять із цими інструментами, але ви можете контролювати, наскільки ви підготовлені. Налаштуйте офлайн-резервні копії, встановлюйте патчі швидко та увімкніть MFA цього тижня. Щоб зрозуміти ширший тиск на організації, прочитайте наш матеріал про те, як угруповання програм-вимагачів, такі як Qilin та Akira, націлюються на ланцюги постачання.
