n0nランサムウェア解析：AI支援型恐喝オペレーションの内部

概要

n0nランサムウェアグループはAI支援ツールを用いてスクリプト作成と攻撃ワークフローを自動化する大規模な恐喝キャンペーンを実施しています。このグループは主にデータの抽出に焦点を当てており、一部の事件では伝統的なファイルの暗号化ではなく、破壊的なデータ消去を行っています。その活動は急速に拡大し、世界中のさまざまな業界の多くの組織を標的にしています。

調査

SOCRadar脅威研究ユニットは、次の場所で露出しているステージングサーバーを発見しました： 185.157.161.148 その露出により、オペレーターのアクティブなワークスペースが明らかになりました。この露出により、数百の攻撃スクリプト、ソースコード、およびAIコーディングエージェントの運用に使用される大量のLLM API支出の証拠が明らかになりました。また、C2パネル、略奪物の保管、リークサイトのバックエンドを含むグループの分割インフラストラクチャがマッピングされました。

緩和策

組織は、すべてのリモートアクセスサービスに対してフィッシングに強いMFAを適用し、IP許可リストを使用してファイアウォール管理インターフェースを制限するべきです。破壊的な活動やシャドウコピー削除に対する保護には、不変またはエアギャップされたバックアップを維持することが重要です。また、防御側は大量のクラウドストレージ削除や不審な管理者行動を監視するべきです。

対応

n0nの活動が検出された場合には、セキュリティチームは直ちに侵害された資格情報を無効化し、影響を受けたクラウドIAMキーを回転させるべきです。EDRおよびCloudTrailのテレメトリを確認し、大量のオブジェクト削除パターンや不審なSSMコマンド実行を確認してください。また、組織はRDPやWinRMを通じた横方向の移動を防ぐために、ネットワークセグメンテーションを再評価するべきです。

シミュレーション実行

• 攻撃の流れとコマンド: 敵対者は資格情報収集とセッションハイジャックの組み合わせを通じて有効なAWS資格情報を入手しました。恐喝の威力を最大限に発揮するために、攻撃者はまず ListBucketsを通じて利用可能なすべてのストレージ資産を列挙します。高価値のバケットが特定されるとすぐに、攻撃者は外部エンドポイントに対して GetObject 呼び出しを用いて機密データを抽出する迅速なシーケンスを開始します。最後に、被害者がネイティブなバックアップやリカバリツールを使用できないようにするために、攻撃者はバケットの内容を大量削除することによって DeleteObjectsを実行し、事実上「焦土作戦」のデータ破壊攻撃を行います。

• 回帰テストスクリプト:

  #!/bin/bash
  # n0nランサムウェアシミュレーションスクリプト
  # ターゲット: AWS S3データ操作
  
  BUCKET_NAME="test-n0n-ransomware-bucket"
  OBJECT_NAME="sensitive_data_$(date +%s).txt"
  
  echo "[+] ステップ1: ターゲットバケットにダミーデータを作成中..."
  echo "これは恐喝のための機密情報です。" > $OBJECT_NAME
  aws s3 cp $OBJECT_NAME s3://$BUCKET_NAME/
  
  echo "[+] ステップ2: 発見のシミュレーション (ListBuckets)..."
  aws s3 ls
  
  echo "[+] ステップ3: 抽出のシミュレーション (GetObject)..."
  aws s3 cp s3://$BUCKET_NAME/$OBJECT_NAME ./exfiltrated_$OBJECT_NAME
  
  echo "[+] ステップ4: データ破壊のシミュレーション (DeleteObject)..."
  aws s3 rm s3://$BUCKET_NAME/$OBJECT_NAME
  
  echo "[+] シミュレーション完了。ListBuckets、GetObject、およびDeleteObjectイベントをCloudTrailで確認してください。"

• クリーンアップコマンド:

  #!/bin/bash
  # 残っているアーティファクトを削除するクリーンアップスクリプト
  aws s3 rb s3://test-n0n-ransomware-bucket --force
  rm exfiltrated_*
  echo "[+] クリーンアップ完了。"