Análise do Ransomware n0n: Dentro de uma Operação de Extorsão Assistida por IA

Resumo

O grupo de ransomware n0n realiza campanhas de extorsão em larga escala usando ferramentas assistidas por IA para automatizar a criação de scripts e fluxos de ataque. O grupo se concentra principalmente na exfiltração de dados e, em alguns incidentes, na destruição de dados em vez de encriptação de arquivos tradicional. Suas operações se expandiram rapidamente, visando inúmeras organizações em vários setores ao redor do mundo.

Investigação

A Unidade de Pesquisa de Ameaças da SOCRadar descobriu um servidor de staging exposto em 185.157.161.148 contendo o espaço de trabalho ativo do operador. A exposição revelou centenas de scripts de ataque, código-fonte e evidências de gastos substanciais com API de LLM usados para operar um agente de codificação por IA. Os pesquisadores também mapearam a infraestrutura segmentada do grupo, incluindo painéis de C2, armazenamento de saques e backends de sites de vazamento.

Mitigação

As organizações devem aplicar MFA resistente a phishing em todos os serviços de acesso remoto e restringir as interfaces de gerenciamento de firewall usando listas de permissão de IP. Manter backups imutáveis ou desconectados é crítico para proteger contra atividades destrutivas e exclusão de cópias-sombra. Os defensores também devem monitorar exclusões em larga escala de armazenamento em nuvem e comportamento administrativo incomum.

Resposta

Quando se detecta atividade do n0n, as equipes de segurança devem imediatamente invalidar credenciais comprometidas e girar chaves de IAM afetadas em nuvem. Revisar a telemetria do EDR e CloudTrail em busca de padrões de exclusão em massa de objetos ou execução suspeita de comandos SSM. As organizações também devem reavaliar a segmentação de rede para impedir o movimento lateral por RDP ou WinRM.

Execução de Simulação

• Narrativa do Ataque & Comandos: O adversário obteve credenciais válidas da AWS através de uma combinação de coleta de credenciais e sequestro de sessão. Para maximizar a extorsão, o atacante primeiro enumera todos os ativos de armazenamento disponíveis via ListBuckets. Uma vez identificado um bucket de alto valor, o atacante inicia uma sequência rápida de chamadas GetObject para exfiltrar dados sensíveis para um ponto final externo. Finalmente, para impedir que a vítima use backups nativos ou ferramentas de recuperação, o atacante executa uma exclusão em massa dos conteúdos do bucket usando DeleteObjects, executando efetivamente um ataque de destruição de dados “terra arrasada”.

• Script de Teste de Regressão:

  #!/bin/bash
  # Script de Simulação de Ransomware n0n
  # Alvo: Manipulação de Dados AWS S3
  
  BUCKET_NAME="test-n0n-ransomware-bucket"
  OBJECT_NAME="sensitive_data_$(date +%s).txt"
  
  echo "[+] Etapa 1: Criando dados fictícios no bucket de destino..."
  echo "Esta é informação sensível para extorsão." > $OBJECT_NAME
  aws s3 cp $OBJECT_NAME s3://$BUCKET_NAME/
  
  echo "[+] Etapa 2: Simulando Descoberta (ListBuckets)..."
  aws s3 ls
  
  echo "[+] Etapa 3: Simulando Exfiltração (GetObject)..."
  aws s3 cp s3://$BUCKET_NAME/$OBJECT_NAME ./exfiltrated_$OBJECT_NAME
  
  echo "[+] Etapa 4: Simulando Destruição de Dados (DeleteObject)..."
  aws s3 rm s3://$BUCKET_NAME/$OBJECT_NAME
  
  echo "[+] Simulação completa. Verifique o CloudTrail para eventos de ListBuckets, GetObject e DeleteObject."

• Comandos de Limpeza:

  #!/bin/bash
  # Script de limpeza para remover quaisquer artefatos remanescentes
  aws s3 rb s3://test-n0n-ransomware-bucket --force
  rm exfiltrated_*
  echo "[+] Limpeza concluída."