Аналіз n0n Ransomware: Усередині AI-Підтримуваної Операції Вимагання

Підсумок

Група здирників n0n проводить масштабні кампанії з вимагання, використовуючи інструменти з підтримкою ІІ для автоматизації створення сценаріїв та атакуючих робочих процесів. Група в першу чергу зосереджується на ексфільтрації даних і, в деяких випадках, на деструктивному видаленні даних замість традиційного шифрування файлів. Її операції швидко розширилися, націлюючись на численні організації в різних галузях у всьому світі.

Розслідування

Підрозділ досліджень загроз SOCRadar виявив відкритий допоміжний сервер на 185.157.161.148 який містив активне робоче середовище оператора. Витік розкрив сотні атакувальних сценаріїв, вихідний код та свідчення суттєвих витрат LLM API, що використовуються для роботи агента з кодування на основі ІІ. Дослідники також картографували сегментовану інфраструктуру групи, включаючи панелі C2, сховища здобичі та бекенди для сайтів витоків.

Захист

Організації повинні впроваджувати безфішингові MFA для всіх сервісів віддаленого доступу та обмежувати інтерфейси керування фаєрволом використанням білого списку IP. Підтримання незмінних або ізольованих резервних копій є критично важливим для захисту від деструктивної діяльності та видалення копій тіней. Захисники також повинні моніторити видалення даних із хмарного зберігання великого обсягу та незвичайну адміністративну поведінку.

Відповідь

Коли виявляється діяльність n0n, команди з безпеки повинні негайно анулювати скомпрометовані облікові дані та змінити постраждалі IAM ключі хмари. Перегляньте телеметрію EDR і CloudTrail на наявність шаблонів масового видалення об’єктів або підозрілих команд SSM. Організації також повинні переглянути сегментацію мережі, щоб запобігти латеральному переміщенню через RDP або WinRM.

Виконання моделювання

• Опис атаки та команди: Зловмисник отримав діючі облікові дані AWS через комбінацію збору облікових даних та викрадення сесії. Щоб максимізувати важелі вимагання, нападник спочатку перелічує всі доступні активи зберігання через ListBuckets. Щойно виявлено кошик з високою цінністю, нападник розпочинає швидку послідовність GetObject викликів для ексфільтрації чутливих даних на зовнішній кінцевий пункт. Нарешті, щоб завадити жертві використовувати інтегровані інструменти резервного копіювання або відновлення, нападник виконує масове видалення вмісту кошика за допомогою DeleteObjects, фактично здійснюючи атаку знищення даних за принципом ‘випаленої землі’.

• Сценарій регресійного тестування:

  #!/bin/bash
  # Сценарій моделювання n0n Ransomware
  # Ціль: маніпуляція даними AWS S3
  
  BUCKET_NAME="test-n0n-ransomware-bucket"
  OBJECT_NAME="sensitive_data_$(date +%s).txt"
  
  echo "[+] Крок 1: Створення фіктивних даних у цільовому кошику..."
  echo "Це конфіденційна інформація для вимагань." > $OBJECT_NAME
  aws s3 cp $OBJECT_NAME s3://$BUCKET_NAME/
  
  echo "[+] Крок 2: Моделювання виявлення (ListBuckets)..."
  aws s3 ls
  
  echo "[+] Крок 3: Моделювання ексфільтрації (GetObject)..."
  aws s3 cp s3://$BUCKET_NAME/$OBJECT_NAME ./exfiltrated_$OBJECT_NAME
  
  echo "[+] Крок 4: Моделювання знищення даних (DeleteObject)..."
  aws s3 rm s3://$BUCKET_NAME/$OBJECT_NAME
  
  echo "[+] Моделювання завершено. Перевірте CloudTrail на наявність подій ListBuckets, GetObject та DeleteObject."

• Команди очищення:

  #!/bin/bash
  # Сценарій очищення для видалення будь-яких залишкових артефактів
  aws s3 rb s3://test-n0n-ransomware-bucket --force
  rm exfiltrated_*
  echo "[+] Очищення завершено."