Analisi del Ransomware n0n: All’interno di un’Operazione di Estorsione Assistita dall’IA

Sommario

Il gruppo ransomware n0n conduce campagne di estorsione su larga scala utilizzando strumenti assistiti dall’intelligenza artificiale per automatizzare la creazione di script e i flussi di attacco. Il gruppo si concentra principalmente sull’esfiltrazione di dati e, in alcuni incidenti, sulla cancellazione distruttiva dei dati, anziché sulla tradizionale crittografia dei file. Le sue operazioni si sono rapidamente espanse, prendendo di mira numerose organizzazioni in diversi settori in tutto il mondo.

Indagine

Il SOCRadar Threat Research Unit ha scoperto un server di staging esposto a 185.157.161.148 contenente l’ambiente di lavoro attivo dell’operatore. L’esposizione ha rivelato centinaia di script di attacco, codice sorgente e prove di una spesa sostanziale sull’API LLM utilizzata per far funzionare un agente di codifica AI. I ricercatori hanno anche mappato l’infrastruttura segmentata del gruppo, inclusi pannelli C2, spazi di archiviazione del bottino e backend dei siti di fuga.

Mitigazione

Le organizzazioni dovrebbero applicare MFA resistente al phishing su tutti i servizi di accesso remoto e limitare le interfacce di gestione del firewall utilizzando liste di permessi IP. Mantenere backup immutabili o isolati è fondamentale per proteggersi contro attività distruttive e cancellazione di copie shadow. I difensori dovrebbero anche monitorare eliminazioni di massa di cloud storage e comportamenti amministrativi insoliti.

Risposta

Quando viene rilevata attività n0n, i team di sicurezza dovrebbero invalidare immediatamente le credenziali compromesse e ruotare le chiavi IAM cloud interessate. Rivedere la telemetria EDR e CloudTrail per schemi di eliminazione di massa degli oggetti o esecuzione sospetta di comandi SSM. Le organizzazioni dovrebbero anche rivalutare la segmentazione della rete per impedire il movimento laterale tramite RDP o WinRM.

Esecuzione di Simulazione

• Narrativa dell’attacco e comandi: L’avversario ha ottenuto credenziali AWS valide attraverso una combinazione di furto di credenziali e dirottamento di sessioni. Per massimizzare il potere di estorsione, l’attaccante prima enumera tutte le risorse di archiviazione disponibili tramite ListBuckets. Una volta individuato un bucket di alto valore, l’attaccante avvia una rapida sequenza di GetObject richieste per esfiltrare dati sensibili verso un endpoint esterno. Infine, per impedire alla vittima di utilizzare backup nativi o strumenti di recupero, l’attaccante esegue una cancellazione di massa dei contenuti del bucket utilizzando DeleteObjects, effettuando efficacemente un attacco di distruzione di dati “terra bruciata”.

• Script di Test di Regressione:

  #!/bin/bash
  # Script di Simulazione Ransomware n0n
  # Obiettivo: Manipolazione Dati AWS S3
  
  BUCKET_NAME="test-n0n-ransomware-bucket"
  OBJECT_NAME="sensitive_data_$(date +%s).txt"
  
  echo "[+] Step 1: Creando dati dummy nel bucket di destinazione..."
  echo "Queste sono informazioni sensibili per l'estorsione." > $OBJECT_NAME
  aws s3 cp $OBJECT_NAME s3://$BUCKET_NAME/
  
  echo "[+] Step 2: Simulando Scoperta (ListBuckets)..."
  aws s3 ls
  
  echo "[+] Step 3: Simulando Esfiltrazione (GetObject)..."
  aws s3 cp s3://$BUCKET_NAME/$OBJECT_NAME ./exfiltrated_$OBJECT_NAME
  
  echo "[+] Step 4: Simulando Distruzione dei Dati (DeleteObject)..."
  aws s3 rm s3://$BUCKET_NAME/$OBJECT_NAME
  
  echo "[+] Simulazione completata. Verifica CloudTrail per eventi ListBuckets, GetObject e DeleteObject."

• Comandi di Pulizia:

  #!/bin/bash
  # Script di pulizia per rimuovere eventuali artefatti rimanenti
  aws s3 rb s3://test-n0n-ransomware-bucket --force
  rm exfiltrated_*
  echo "[+] Pulizia terminata."