Вымогатели потратили $7000+ на ИИ-инструменты, а в итоге забыли закрыть свой же сервер 👺
Есть особый вид иронии в том, как группировка, вымогавшая у жертв 283,7 миллиона долларов, сама облажалась ровно той же дырой, которую сама же эксплуатировала у других. А именно незащищённым доступом к инфраструктуре. Исследователи SOCRadar наткнулись на открытый сервер n0n с 1719 файлами внутри, включая исходники пяти версий собственного шифровальщика, 829 автоматизационных скриптов и, что особенно смешно, полную переписку оператора с ИИ-агентом OpenCode.
По сути, группировка оставила после себя подробный дневник того, как именно она готовила атаки. Бесценный подарок для исследователей 🤦♂️
При всём технологическом понте (154 модели от семи поставщиков, включая расцензуренные версии с вырезанными защитными механизмами, счёт за API больше $7000), реальный способ взлома оказался самым примитивным - просто слабые или украденные пароли. Для 305 устройств FortiGate с SSL VPN группировка держала целую ферму подбора паролей через жилые прокси в 15 потоков, чтобы маскироваться под обычных домашних пользователей. ИИ при этом не принимал решений самостоятельно, а только писал и отлаживал скрипты, пока человек-оператор решал, куда бить.
Что было дальше - это вообще классика жанра с вишенками абсурда... Взлом учётной записи AWS у торговой площадки Fanatics с доступом к 40 хранилищам по 110 ГБ каждое, захват Cisco Firepower у венесуэльского провайдера Inter, атака на нидерландскую Transcom и массовая атака на 38 логистических компаний и морских перевозчиков 12 октября, после которой ни одна жертва не заплатила (по крайней мере, в блокчейне транзакций не видно) 🤔
При всем при этом даже собственный шифровальщик сделан небрежно: жёстко зашитые ключи AES-256-CBC, причём один и тот же ключ, судя по всему, использовали против разных жертв, а значит теоретически можно расшифровать данные одной компании с помощью инструмента, созданного для другой.
ИИ ускоряет техническую рутину преступников, но не отменяет того факта, что корень большинства взломов это всё те же старые добрые слабые пароли и доступы без MFA. Технологии меняются, а фундаментальная гигиена безопасности почему-то остаётся той же дырявой, что и десять лет назад.
🥸 godnoTECH - Новости IT