Analyse der n0n-Ransomware: Einblick in eine AI-unterstützte Erpressungsoperation

Zusammenfassung

Die n0n Ransomware-Gruppe führt groß angelegte Erpressungskampagnen durch und verwendet KI-unterstützte Tools, um die Skripterstellung und Angriffsabläufe zu automatisieren. Die Gruppe konzentriert sich hauptsächlich auf die Datenexfiltration und, in einigen Fällen, auf die destruktive Datenlöschung anstelle der herkömmlichen Dateiverschlüsselung. Ihre Operationen haben sich schnell ausgeweitet und zielen auf zahlreiche Organisationen in verschiedenen Branchen weltweit ab.

Untersuchung

Die SOCRadar Threat Research Unit entdeckte einen freigelegten Staging-Server unter 185.157.161.148 mit dem aktiven Arbeitsbereich des Betreibers. Die Freilegung zeigte Hunderte von Angriffsskripten, Quellcodes und Belege für erhebliche LLM-API-Ausgaben, die für den Betrieb eines KI-Coding-Agents verwendet wurden. Forscher kartierten außerdem die segmentierte Infrastruktur der Gruppe, einschließlich C2-Panels, Beutelspeicherung und Backend-Leak-Sites.

Minderung

Organisationen sollten einen phishingsicheren MFA für alle Remote-Zugriffsdienste erzwingen und die Firewall-Verwaltungsschnittstellen mit IP-Zulassungslisten einschränken. Unveränderliche oder Air-Gap-Backups sind entscheidend, um sich gegen zerstörerische Aktivitäten und Schattenkopie-Löschungen zu schützen. Verteidiger sollten auch große Löschungen im Cloud-Speicher und ungewöhnliches administratives Verhalten überwachen.

Antwort

Wenn n0n-Aktivitäten erkannt werden, sollten die Sicherheitsteams sofort kompromittierte Anmeldeinformationen ungültig machen und betroffene Cloud-IAM-Schlüssel rotieren. Überprüfen Sie die EDR- und CloudTrail-Telemetrie auf Muster massenhafter Objektlöschungen oder verdächtiger SSM-Befehlsausführungen. Organisationen sollten auch die Netzwerksegmentierung neu bewerten, um seitliche Bewegungen über RDP oder WinRM zu verhindern.

Simulationsausführung

• Angriffserzählung & Befehle: Der Angreifer hat gültige AWS-Anmeldeinformationen durch eine Kombination aus Anmeldeinformationsdiebstahl und Sitzungsentführung erlangt. Um die Erpressungskraft zu maximieren, listet der Angreifer zunächst alle verfügbaren Speicherressourcen über ListBucketsauf. Sobald ein wertvoller Bucket identifiziert ist, beginnt der Angreifer mit einer schnellen Abfolge von GetObject -Aufrufen, um sensible Daten an einen externen Endpunkt zu exfiltrieren. Schließlich löscht der Angreifer, um das Opfer daran zu hindern, native Backups oder Wiederherstellungstools zu verwenden, massenhaft Inhalte des Buckets mit DeleteObjectsund führt effektiv einen „verbrannte Erde“-Datenzerstörungsangriff aus.

• Regressionstest-Skript:

  #!/bin/bash
  # n0n Ransomware Simulation Script
  # Ziel: AWS S3 Datenmanipulation
  
  BUCKET_NAME="test-n0n-ransomware-bucket"
  OBJECT_NAME="sensitive_data_$(date +%s).txt"
  
  echo "[+] Schritt 1: Erstellen von Dummy-Daten im Ziel-Bucket..."
  echo "Dies sind sensible Informationen für Erpressung." > $OBJECT_NAME
  aws s3 cp $OBJECT_NAME s3://$BUCKET_NAME/
  
  echo "[+] Schritt 2: Simulation der Entdeckung (ListBuckets)..."
  aws s3 ls
  
  echo "[+] Schritt 3: Simulation der Exfiltration (GetObject)..."
  aws s3 cp s3://$BUCKET_NAME/$OBJECT_NAME ./exfiltrated_$OBJECT_NAME
  
  echo "[+] Schritt 4: Simulation der Datenzerstörung (DeleteObject)..."
  aws s3 rm s3://$BUCKET_NAME/$OBJECT_NAME
  
  echo "[+] Simulation abgeschlossen. Überprüfen Sie CloudTrail auf ListBuckets-, GetObject- und DeleteObject-Ereignisse."

• Bereinigungskommandos:

  #!/bin/bash
  # Bereinigungsskript zum Entfernen verbleibender Artefakte
  aws s3 rb s3://test-n0n-ransomware-bucket --force
  rm exfiltrated_*
  echo "[+] Bereinigung abgeschlossen."