SOCRadar的研究人员罕见地揭开了犯罪分子的运作内幕。一台与INC和The Gentlemen勒索软件附属成员相关的开放服务器中存有8,257条与Claude和Kimi的AI消息、46个加密器构建版本以及62个已命名受害者。这一发现是勒索软件团伙将AI助手作为日常工作一部分的具体例证，也为个人和小企业提供了有益的教训。

源报告内容简短，因此本文仅依据已发布的信息，不对尚未公开的细节进行猜测。

SOCRadar在开放服务器上发现了什么

根据SOCRadar调查结果的摘要，该服务器处于公开可访问状态，并与两个勒索软件团伙——INC和The Gentlemen——的附属成员相关联。三个数字概括了这一发现：

  • 8,257条AI消息，与助手Claude和Kimi的对话记录
  • 46个加密器构建版本，即已编译完成、可直接部署的文件加密恶意软件
  • 62个已命名受害者，即在服务器上被识别的组织

这样一台暴露的服务器就像一间大门敞开的作坊。研究人员不仅能看到最终的攻击成果，还能看到工具、记录以及背后的工作对话。犯罪分子在操作上的失误——例如未对基础设施加以保护——是防御者获得此类可见性的少数途径之一。

INC和The Gentlemen如何使用Claude和Kimi

最引人注目的细节是AI对话的数量。超过八千条消息表明，这些助手并非偶尔尝试，而是这些附属成员日常工作流程中的常规组成部分。源材料证实了这些聊天记录与加密器构建版本及受害者记录同时存在。但就现有信息而言，并未详细说明助手被用于哪些具体任务，因此我们不会对具体的提示词或输出进行推测。

这种组合所展示的是，AI聊天工具就位于攻击活动的机器旁边：一边是恶意软件构建版本，另一边是受害者名单，中间是大量的AI对话记录。对防御者而言，实际启示是AI可以加速犯罪分子的日常工作，这可能会降低准备和实施攻击所需的投入。

两个不同助手的出现也值得注意。Claude和Kimi来自不同的开发商，这表明附属成员并不局限于单一工具，可能会在两者之间切换。

62个已命名受害者说明了什么 targeting 特征

62个已命名受害者加上46个加密器构建版本，表明这是一个有组织、可重复运作的行动，而非一次性的入侵。大量现成的构建版本表明攻击者会提前准备定制化或多样化的恶意软件版本，这会使简单的基于签名的检测变得更加不可靠。

源材料未细分受害者所属的行业或地区，因此就行业定向做出确定性结论是不正确的。更合理的解读应更为审慎：勒索软件附属成员维护着活跃的目标清单，并提前准备工具。这一模式与攻击者锁定较易施压组织的更广泛趋势相一致，我们在关于Qilin和Akira勒索软件团伙正在升级供应链攻击的文章中探讨了这一主题。

这对你意味着什么

如果你经营一家小企业或管理自己的设备，这则新闻可能感觉遥远，但其中的教训是实际的。AI辅助并非发明了新的入侵方式，而是让现有方法的准备速度更快。这意味着基础防护更加重要，而非相反。

  • 个人： 攻击者仍然依赖窃取的密码、未修补的软件和被欺骗的用户。强大且唯一的登录凭证和及时更新的设备仍然是有效的屏障。
  • 小企业： 规模小并不意味着受到保护。附属成员维护着受害者名单，而当工具已经构建完成时，准备工作成本很低。
  • 所有人： 不要以为可以通过拙劣的措辞或笨拙的手法来识别攻击。AI可以帮助润色这两者。

如何通过备份、补丁和MFA降低勒索软件风险

三个习惯就能完成抵御勒索软件的大部分工作，无论攻击者是谁或借助了什么工具：

  1. 保持离线或不可变备份。 勒索软件旨在锁定你的文件，而攻击者无法触及的备份能将危机化为不便。定期测试恢复，因为未经测试的备份只是一种猜测。
  2. 及时打补丁。 尽快为操作系统、浏览器、VPN设备和远程访问工具安装更新。优先处理任何暴露在互联网上的系统。
  3. 启用多因素认证（MFA）。 在电子邮件、远程访问、管理员账户和云服务上启用MFA。仅凭窃取的密码将变得远不如以前有用。

再补充几个辅助步骤：限制管理员权限，将重要系统与日常系统隔离，并写下遭受攻击时应联系的人员名单。

要点总结

SOCRadar的发现提醒我们，使用AI助手的勒索软件团伙已经在以数千条消息、数十个恶意软件构建版本和数十个受害者的规模运作。你无法控制犯罪分子如何使用这些工具，但你可以控制自己的准备程度。本周就设置离线备份、快速打补丁并启用MFA。要了解组织面临的更广泛压力，请阅读我们关于Qilin和Akira等勒索软件团伙如何锁定供应链的文章。