n0n 勒索软件分析：深入 AI 辅助的敲诈运营

概要

n0n 勒索软件集团通过使用AI辅助工具来自动化脚本创建和攻击工作流程，进行大规模的勒索活动。该组织主要专注于数据外泄，并在某些事件中采用破坏性的数据擦除，而不是传统的文件加密。其行动迅速扩展，已在全球多个行业中针对众多组织进行攻击。

调查

SOCRadar威胁研究组在 185.157.161.148 发现了一个暴露的暂存服务器，包含了操作人员的活跃工作区。此暴露揭示了数百个攻击脚本、源代码以及大量用于操作AI编码代理的LLM API消费的证据。研究人员还映射了该组织的分段基础设施，包括C2面板、战利品存储和泄密站点后端。

缓解措施

组织应在所有远程访问服务上强制实施抗钓鱼MFA，并使用IP允许列表限制防火墙管理接口。保持不可变或气隙备份对于防止破坏性活动和影子副本删除至关重要。防御者还应监控高容量云存储删除和不寻常的管理行为。

响应

当检测到n0n活动时，安全团队应立即作废被泄露的凭证并轮换受影响的云IAM密钥。检查EDR和CloudTrail遥测以发现大规模对象删除模式或可疑SSM命令执行。组织还应重新评估网络分段，以防止通过RDP或WinRM的横向移动。

模拟执行

• 攻击叙述及命令: 对手通过凭证收集和会话劫持获得了有效的AWS凭证。为了最大化勒索手段，攻击者首先通过 ListBuckets枚举所有可用的存储资产。一旦识别出高价值的桶，攻击者会迅速进行 GetObject 调用，将敏感数据外泄到外部终端。最后，为了防止受害者使用原生备份或恢复工具，攻击者实施了通过 DeleteObjects的大规模桶内容删除，有效地执行了“焦土”数据破坏攻击。

• 回归测试脚本:

  #!/bin/bash
  # n0n 勒索软件模拟脚本
  # 目标: AWS S3 数据操作
  
  BUCKET_NAME="test-n0n-ransomware-bucket"
  OBJECT_NAME="sensitive_data_$(date +%s).txt"
  
  echo "[+] 步骤1: 在目标存储桶中创建虚拟数据..."
  echo "这是用于勒索的敏感信息。" > $OBJECT_NAME
  aws s3 cp $OBJECT_NAME s3://$BUCKET_NAME/
  
  echo "[+] 步骤2: 模拟发现 (ListBuckets)..."
  aws s3 ls
  
  echo "[+] 步骤3: 模拟外泄 (GetObject)..."
  aws s3 cp s3://$BUCKET_NAME/$OBJECT_NAME ./exfiltrated_$OBJECT_NAME
  
  echo "[+] 步骤4: 模拟数据销毁 (DeleteObject)..."
  aws s3 rm s3://$BUCKET_NAME/$OBJECT_NAME
  
  echo "[+] 模拟完成。检查CloudTrail中的ListBuckets、GetObject和DeleteObject事件。"

• 清理命令:

  #!/bin/bash
  # 清理脚本以移除任何剩余的工件
  aws s3 rb s3://test-n0n-ransomware-bucket --force
  rm exfiltrated_*
  echo "[+] 清理完成。"