n0n 랜섬웨어 분석: AI 지원 강요 작전의 내막

요약

n0n 랜섬웨어 그룹은 AI 보조 도구를 사용해 스크립트 생성 및 공격 워크플로우를 자동화하여 대규모의 공갈 캠페인을 수행합니다. 이 그룹은 주로 데이터 유출에 중점을 두며, 일부 사건에서는 전통적인 파일 암호화 대신 데이터 파괴 행위를 선택합니다. 그들의 작전은 빠르게 확장되어 전 세계 여러 산업에 걸쳐 수많은 조직을 대상으로 하고 있습니다.

조사

SOCRadar 위협 리서치 부서는 다음의 노출된 스테이징 서버를 발견했습니다: 185.157.161.148 이 노출은 수백 개의 공격 스크립트, 소스 코드, 그리고 AI 코딩 에이전트를 운영하는 데 사용된 상당한 LLM API 지출에 대한 증거를 드러냈습니다. 연구원들은 또한 C2 패널, 전리품 저장소, 유출 사이트 백엔드를 포함한 그룹의 세분화된 인프라를 지도화했습니다.

완화

조직은 모든 원격 접속 서비스에 대해 피싱 저항 MFA를 시행하고 IP 허용 목록을 사용하여 방화벽 관리 인터페이스를 제한해야 합니다. 파괴적 활동과 섀도우 복사본 삭제로부터 보호하기 위해 불변 또는 공기 절연 백업을 유지하는 것이 중요합니다. 수비수들은 또한 대량의 클라우드 저장소 삭제와 비정상적인 관리 행동을 모니터링해야 합니다.

대응

n0n 활동이 감지되면, 보안팀은 즉시 손상된 자격 증명을 무효화하고 영향을 받은 클라우드 IAM 키를 회전해야 합니다. 대량 객체 삭제 패턴이나 의심스러운 SSM 명령 실행을 위해 EDR과 CloudTrail 원격 측정을 검토하십시오. 조직은 또한 RDP 또는 WinRM을 통한 수평 이동을 방지하기 위해 네트워크 구역화를 재평가해야 합니다.

시뮬레이션 실행

• 공격 서사 및 명령: 적이 자격 증명 수집과 세션 하이재킹의 조합을 통해 유효한 AWS 자격 증명을 얻었습니다. 공갈 지렛대를 극대화하기 위해, 공격자는 먼저 ListBuckets을 통해 이용 가능한 모든 저장 자산을 열거합니다. 고가치 버킷이 식별되면, 공격자는 외부 엔드포인트로 민감한 데이터를 유출하기 위해 GetObject 호출의 빠른 연속을 시작합니다. 마지막으로, 피해자가 네이티브 백업이나 복구 도구를 사용하는 것을 방지하기 위해, 공격자는 DeleteObjects의 대량 삭제를 실행하여 사실상 “스코치드 어스” 데이터 파괴 공격을 수행합니다.

• 회귀 테스트 스크립트:

  #!/bin/bash
  # n0n 랜섬웨어 시뮬레이션 스크립트
  # 대상: AWS S3 데이터 조작
  
  BUCKET_NAME="test-n0n-ransomware-bucket"
  OBJECT_NAME="sensitive_data_$(date +%s).txt"
  
  echo "[+] 단계 1: 대상 버킷에 더미 데이터 생성 중..."
  echo "이것은 공갈용 민감한 정보입니다." > $OBJECT_NAME
  aws s3 cp $OBJECT_NAME s3://$BUCKET_NAME/
  
  echo "[+] 단계 2: 발견 시뮬레이션 (ListBuckets)..."
  aws s3 ls
  
  echo "[+] 단계 3: 유출 시뮬레이션 (GetObject)..."
  aws s3 cp s3://$BUCKET_NAME/$OBJECT_NAME ./exfiltrated_$OBJECT_NAME
  
  echo "[+] 단계 4: 데이터 파괴 시뮬레이션 (DeleteObject)..."
  aws s3 rm s3://$BUCKET_NAME/$OBJECT_NAME
  
  echo "[+] 시뮬레이션 완료. ListBuckets, GetObject 및 DeleteObject 이벤트를 위해 CloudTrail을 확인하십시오."

• 정리 명령:

  #!/bin/bash
  # 남아있는 모든 아티팩트를 제거하는 정리 스크립트
  aws s3 rb s3://test-n0n-ransomware-bucket --force
  rm exfiltrated_*
  echo "[+] 정리 완료."