Analyse du ransomware n0n : Au cœur d’une opération d’extorsion assistée par IA

Résumé

Le groupe de ransomware n0n mène des campagnes d’extorsion à grande échelle en utilisant des outils assistés par l’IA pour automatiser la création de scripts et les flux de travail d’attaques. Le groupe se concentre principalement sur l’exfiltration de données et, dans certains incidents, sur l’effacement destructeur de données plutôt que sur le chiffrement traditionnel des fichiers. Ses opérations se sont rapidement étendues, ciblant de nombreuses organisations à travers plusieurs industries dans le monde entier.

Enquête

L’unité de recherche sur les menaces SOCRadar a découvert un serveur de mise en scène exposé à 185.157.161.148 contenant l’espace de travail actif de l’opérateur. L’exposition a révélé des centaines de scripts d’attaque, de code source, et des preuves d’un important investissement dans les API LLM utilisé pour opérer un agent de codage IA. Les chercheurs ont également cartographié l’infrastructure segmentée du groupe, incluant des panneaux C2, du stockage de butin, et des backends de sites de fuite.

Atténuation

Les organisations devraient appliquer une authentification multifacteur résistante au phishing sur tous les services d’accès distant et restreindre les interfaces de gestion des pare-feux en utilisant des listes d’autorisation IP. Maintenir des sauvegardes immuables ou déconnectées est crucial pour se protéger contre les activités destructrices et la suppression des copies de l’ombre. Les défenseurs devraient également surveiller les suppressions de stockage cloud à haut volume et les comportements administratifs inhabituels.

Réponse

Lorsque l’activité n0n est détectée, les équipes de sécurité devraient immédiatement invalider les identifiants compromis et faire tourner les clés IAM cloud affectées. Examiner la télémetrie EDR et CloudTrail pour détecter des modèles de suppression massive d’objets ou des exécutions de commandes SSM suspectes. Les organisations devraient également réévaluer la segmentation du réseau pour prévenir les mouvements latéraux via RDP ou WinRM.

Exécution de simulation

• Narratif de l’attaque et commandes : L’adversaire a obtenu des identifiants AWS valides grâce à une combinaison de collecte d’identifiants et de détournement de session. Pour maximiser l’effet de levier de l’extorsion, l’attaquant commence par énumérer tous les actifs de stockage disponibles via ListBuckets. Une fois qu’un bucket de haute valeur est identifié, l’attaquant débute une séquence rapide d’appels GetObject pour exfiltrer des données sensibles vers un point de terminaison externe. Enfin, pour empêcher la victime d’utiliser des sauvegardes natives ou des outils de récupération, l’attaquant exécute une suppression massive du contenu du bucket en utilisant DeleteObjects, effectuant efficacement une attaque de destruction de données par la « terre brûlée ».

• Script de test de régression :

  #!/bin/bash
  # Script de simulation de ransomware n0n
  # Cible : Manipulation de données AWS S3
  
  BUCKET_NAME="test-n0n-ransomware-bucket"
  OBJECT_NAME="sensitive_data_$(date +%s).txt"
  
  echo "[+] Étape 1 : Création de données factices dans le bucket cible..."
  echo "Ceci est une information sensible pour l'extorsion." > $OBJECT_NAME
  aws s3 cp $OBJECT_NAME s3://$BUCKET_NAME/
  
  echo "[+] Étape 2 : Simulation de la découverte (ListBuckets)..."
  aws s3 ls
  
  echo "[+] Étape 3 : Simulation de l'exfiltration (GetObject)..."
  aws s3 cp s3://$BUCKET_NAME/$OBJECT_NAME ./exfiltrated_$OBJECT_NAME
  
  echo "[+] Étape 4 : Simulation de la destruction de données (DeleteObject)..."
  aws s3 rm s3://$BUCKET_NAME/$OBJECT_NAME
  
  echo "[+] Simulation complète. Vérifiez CloudTrail pour les événements ListBuckets, GetObject, et DeleteObject."

• Commandes de nettoyage :

  #!/bin/bash
  # Script de nettoyage pour supprimer les artefacts restants
  aws s3 rb s3://test-n0n-ransomware-bucket --force
  rm exfiltrated_*
  echo "[+] Nettoyage terminé."