Оператор, связанный с группировкой n0n, пытался взломать 23 организации в 14 странах, но не смог обеспечить собственную безопасность, оставив свой сервер открытым со всеми методами работы на виду.
Преступники использовали смесь новых (ИИ) и старых (украденные учетные данные) инструментов во время своей кампании по краже данных. В некоторых случаях они не только крали и шифровали файлы, но и удаляли данные и резервные копии, лишая жертв возможности восстановить информацию.
И несмотря на страх и ажиотаж вокруг «брешпокалипсиса», когда ИИ находит и разрабатывает эксплойты для критических уязвимостей, затрагивающих большинство организаций по всему миру, эти мошенники не использовали ни одной уязвимости для проникновения в ИТ-среду своих жертв.
«В каждом задокументированном случае компрометации в ходе этого расследования доступ осуществлялся с использованием слабых или украденных учетных данных», — заявил Энсар Секер, директор по информационной безопасности компании SOCRadar, занимающейся анализом угроз.
«Что выделяется, так это сочетание разработки с помощью ИИ и очень традиционных точек входа, — сказал Секер The Register. — Мы не нашли никаких доказательств эксплуатации уязвимостей в исследованных случаях».
Группировка взламывает организации в больших масштабах, используя широко распространенное сканирование протокола удаленного рабочего стола (RDP) и автоматизированную подстановку учетных данных для FortiGate SSL-VPN. Для доступа к американскому поставщику ИТ-управляемых услуг ChiBiTek злоумышленники использовали пул из 15 потоков резидентных прокси SOCKS5 для тестирования учетных данных (ip:port:user:password) против порталов FortiGate (GET /remote/login).
Операторы также получали доступ, используя раскрытые облачные учетные данные и повторно использованные сессии хостинговых порталов. В одном случае, связанном с сайтом электронной коммерции Fanatics, SOCRadar обнаружила, что n0n использовала раскрытый ключ доступа AWS с разрешениями на перечисление, чтение и удаление объектов в бакетах S3. Затем преступники использовали этот ключ для извлечения данных из 40 бакетов S3, объемом до 110 ГБ на бакет, и в конечном итоге удалили данные, включая архивы банковских транзакций, и очистили ключи в 12 конфиденциальных бакетах.
Вымогательство с помощью ИИ
Хотя охотники за угрозами не нашли никаких доказательств полностью автономной системы атак, оператор программы-вымогателя использовал ИИ для помощи во взломах, понеся расходы на использование ИИ в размере более 7 216 долларов США к 22 октября.
В частности: преступник или преступники использовали OpenCode, ИИ-агент для кодирования с открытым исходным кодом, настроенный с 154 записями моделей от семи поставщиков. Среди моделей были Gemini, Mistral, Nemotron, Llama, Claude, GPT-5.x, Grok, Kimi, GLM, DeepSeek, MiniMax, Qwen и многие другие, некоторые из которых были лишены защиты безопасности, а другие продавались как «нецензурированные» модели.
«Оператор использовал ИИ для написания и отладки сотен скриптов. Это показывает, как ИИ может помочь злоумышленнику превратить базовый доступ в более широкую, индивидуальную операцию», — сказал Секер.
«Разрушительное поведение так же значимо, — добавил он. — Оператор не только крал и шифровал файлы: в некоторых случаях он удалял данные и резервные копии, а в одном случае изменял политики брандмауэра для блокировки трафика. Это создает проблему восстановления, которую ключ дешифрования сам по себе не может решить».
Охотники за угрозами SOCRadar обнаружили рабочее пространство оператора — общедоступный файловый сервер Python HTTP, размещенный в Швеции по адресу 185.157.161[.]148 на порту 8877 — в прошлом месяце и задокументировали открытый каталог на снимках от 25 и 26 сентября.
«На этих снимках мы идентифицировали 1 719 файлов, включая скрипты атак, исходный код программы-вымогателя, инфраструктуру вымогательства и среду ИИ-агента для кодирования, — сказал Секер. — Это дало нам представление об операции, стоящей за списками жертв, включая то, как оператор подготавливал атаки и обрабатывал украденные данные».
Знакомьтесь, n0n
Это также позволило подробно изучить n0n — новичка в игре по краже данных и вымогательству, который с момента своего появления в прошлом месяце насчитал 108 жертв.
12 октября группа добавила 38 организаций из сферы морских перевозок, портов и логистики из 18 стран на свой сайт утечек в одной партии. Исследователи связали по крайней мере 21 из них с клиентами южнокорейского поставщика морского программного обеспечения CyberLogitec, хотя поставщик программного обеспечения не подтвердил взлом.
Мошенники установили крайний срок 19 октября для морских компаний, с требованиями выкупа от 400 000 до 28 000 000 долларов США (от 3 600 до 252 000 евро), выплачиваемых в биткойнах. Однако после крайнего срока ни один из 38 списков не был отмечен как «урегулированный», и ни один из их платежных адресов не показал никаких транзакций. Все украденные данные пострадавших организаций были опубликованы.
Хотя несколько заявленных жертв группировки были отмечены как «почтенные — данные уничтожены» на сайте утечек n0n, что указывает на то, что пострадавшие организации заплатили выкуп, SOCRadar не подтвердила никаких транзакций в блокчейне. В описании своей деятельности аналитический центр оценивает группировку в 10 из 10 по «агрессивности» и в ноль из 10 по «летальности».
Предполагается, что группа базируется в России, хотя сервер, обнаруженный SOCRadar, который, по их мнению, принадлежит одному оператору или небольшой команде, не предоставил никаких окончательных географических или национальных атрибутов.
Каждый случай, задокументированный на открытом сервере, следовал одному и тому же жизненному циклу: от первоначального доступа к установлению постоянства и сбору учетных данных через скрытые учетные записи администратора, замаскированные под службы, скрытые прокси, кражу учетных данных и токенов сеанса, почтовые ящики и полученные по электронной почте коды многофакторной аутентификации.
Затем мошенники собирали конфиденциальные данные и отправляли все в центральное хранилище оператора, при этом воздействие атаки варьировалось от кражи данных, шифрования, уничтожения до сетевых сбоев, в зависимости от целевой организации.
После взлома нидерландского поставщика финансовых услуг Transcom преступники отправили вторичное уведомление о выкупе непосредственно команде безопасности PayPal, хотя скомпрометированные данные находились только в сети Transcom.
Глупые ошибки и основы безопасности n0n
Наконец, преступники отправляют записки с требованиями выкупа, размещают на сайте утечек таймер обратного отсчета, создают комнаты для переговоров и электронные адреса для жертв — а затем публикуют украденные файлы или уничтожают резервные копии, если организации не платят. В некоторых случаях, чтобы усилить давление на пострадавшие компании, n0n также транслирует автоматические предупреждения с обратным отсчетом поставщикам услуг компаний, клиентам и СМИ.
Несмотря на агрессивную тактику, оператор в данном случае — как и другие глупые преступники, The Registerс энтузиазмомдокументировал в предыдущих статьях — все еще борется с базовой гигиеной безопасности.
«Существует поразительный разрыв между операционными амбициями и дисциплиной безопасности, — сказал Секер. — Оператор вложил тысячи долларов в услуги ИИ, оставив при этом свое рабочее пространство открытым. В локере также содержались жестко закодированные ключи шифрования, причем данные свидетельствуют об их повторном использовании для разных жертв. Операция может обладать серьезным разрушительным потенциалом, но при этом допускать фундаментальные ошибки».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Jessica Lyons
