Analiza oprogramowania ransomware n0n: Wewnątrz operacji wymuszeń wspomaganej przez sztuczną inteligencję

Podsumowanie

Grupa ransomware n0n prowadzi na dużą skalę kampanie wymuszeniowe, wykorzystując narzędzia wspomagane przez AI do automatyzacji tworzenia skryptów i przepływów pracy ataków. Grupa koncentruje się głównie na eksfiltracji danych, a w niektórych incydentach na destrukcyjnym usuwaniu danych zamiast tradycyjnego szyfrowania plików. Jej działania gwałtownie się rozszerzyły, atakując liczne organizacje w wielu branżach na całym świecie.

Śledztwo

Jednostka Badawcza Zagrożeń SOCRadar odkryła odsłonięty serwer stagingowy pod adresem 185.157.161.148 zawierający aktywne środowisko pracy operatora. Ekspozycja ujawniła setki skryptów ataków, kod źródłowy i dowody na znaczne wydatki API LLM wykorzystywane do obsługi agenta programującego AI. Badacze również zmapowali segmentowaną infrastrukturę grupy, w tym panele C2, przechowalnie łupów i zaplecza witryn z wyciekami.

Łagodzenie

Organizacje powinny wdrożyć odporną na phishing MFA we wszystkich usługach dostępu zdalnego i ograniczyć interfejsy zarządzania zaporą ogniową za pomocą list dozwolonych IP. Utrzymywanie niezmiennych lub odizolowanych kopii zapasowych jest kluczowe dla ochrony przed działaniami destrukcyjnymi i usuwaniem kopii w tle. Obrona powinna również monitorować usunięcia dużej ilości danych w chmurze oraz nietypowe zachowania administracyjne.

Reakcja

Gdy wykryto aktywność n0n, zespoły bezpieczeństwa powinny natychmiast unieważnić skompromitowane poświadczenia i zmienić dotknięte klucze IAM w chmurze. Przejrzyj telemetrię EDR i CloudTrail w poszukiwaniu wzorców masowego usuwania obiektów lub podejrzanego wykonania poleceń SSM. Organizacje powinny również ponownie ocenić segmentację sieci, aby zapobiec ruchowi lateralnemu przez RDP lub WinRM.

Wykonanie symulacji

• Narracja ataku i polecenia: Przeciwnik uzyskał ważne poświadczenia AWS poprzez połączenie wykradania danych uwierzytelniających i przejmowania sesji. Aby zmaksymalizować dźwignię wymuszania, atakujący najpierw enumeruje wszystkie dostępne zasoby przechowywania za pomocą ListBuckets. Gdy zostanie zidentyfikowane wartościowe wiadro, atakujący rozpoczyna szybką sekwencję GetObject wywołań, aby eksfiltrować wrażliwe dane na zewnętrzny punkt końcowy. Na końcu, aby uniemożliwić ofierze użycie natywnych kopii zapasowych lub narzędzi odzyskiwania, atakujący wykonuje masowe usunięcie zawartości wiadra używając DeleteObjects, efektywnie przeprowadzając atak destrukcji danych w stylu „wypalenia ziemi”.

• Skrypt testu regresji:

  #!/bin/bash
  # Skrypt symulacji n0n Ransomware
  # Cel: Manipulacja danymi AWS S3
  
  BUCKET_NAME="test-n0n-ransomware-bucket"
  OBJECT_NAME="sensitive_data_$(date +%s).txt"
  
  echo "[+] Krok 1: Tworzenie pozornych danych w docelowym wiadrze..."
  echo "To są wrażliwe informacje do wymuszenia." > $OBJECT_NAME
  aws s3 cp $OBJECT_NAME s3://$BUCKET_NAME/
  
  echo "[+] Krok 2: Symulacja Odkrycia (ListBuckets)..."
  aws s3 ls
  
  echo "[+] Krok 3: Symulacja Eksfiltracji (GetObject)..."
  aws s3 cp s3://$BUCKET_NAME/$OBJECT_NAME ./exfiltrated_$OBJECT_NAME
  
  echo "[+] Krok 4: Symulacja Destrukcji Danych (DeleteObject)..."
  aws s3 rm s3://$BUCKET_NAME/$OBJECT_NAME
  
  echo "[+] Symulacja zakończona. Sprawdź CloudTrail dla zdarzeń ListBuckets, GetObject i DeleteObject."

• Polecenia czyszczenia:

  #!/bin/bash
  # Skrypt czyszczenia, aby usunąć wszelkie pozostające artefakty
  aws s3 rb s3://test-n0n-ransomware-bucket --force
  rm exfiltrated_*
  echo "[+] Czyszczenie zakończone."