Вымогатели n0n потратили $7216 на ИИ, но оставили свой сервер открытым

Ошибка в настройке сервера позволила аналитикам заглянуть в «кухню» вымогателей. На сервере хранилось 1719 файлов, включая инструменты, исходный код шифровальщика и переписку ИИ-агента. Группировка потратила более $7216 на обращения к ИИ-моделям, но полностью автономной системы не создала — ИИ был лишь техническим помощником.

Среди находок — 829 сценариев для автоматизации вредоносных действий и пять версий шифровальщика. Злоумышленники пытались проникнуть в 23 организации в 14 странах: в 15 случаях данные жертв опубликовали, четыре компании скомпрометировали без публикации, ещё четыре атаки не подтвердились. К 19 октября на сайте n0n числились 93 предполагаемые жертвы, а общая сумма требований выкупа достигла $283,7 млн.

Для разработки инструментов использовался OpenCode, а в рабочей среде было 154 записи моделей от семи поставщиков. Часть моделей изначально не имела ограничений безопасности, другая часть была модифицирована для отключения защитных механизмов. Среди них — Gemini, Mistral, Nemotron, Llama, Claude, GPT-5, Grok, Kimi, GLM, DeepSeek, MiniMax и Qwen.

Преступники не эксплуатировали уязвимости ПО, а полагались на слабые или украденные учётные данные. Они атаковали шлюзы удалённого доступа, открытые серверы и облачные учётные записи. Для 305 устройств FortiGate с SSL VPN применялся автоматический подбор паролей через сеть жилых SOCKS5-прокси с 15 параллельными потоками. Также использовались слабые пароли RDP и WinRM. После входа создавались скрытые учётные записи администратора, похищались пароли, токены и почта, особенно интересовали одноразовые коды MFA. В одном эпизоде с торговой площадкой Fanatics злоумышленники получили доступ к 40 хранилищам S3 через открытый ключ AWS, удалили архив банковских транзакций и уничтожили ключи к 12 чувствительным хранилищам.

Уроки для российских компаний

Тактика n0n показывает, что даже без сложных эксплойтов можно нанести серьёзный ущерб, если не закрыть базовые дыры: слабые пароли на VPN-шлюзах, открытые административные панели, постоянные облачные ключи. Автоматизация подбора паролей и использование украденных учётных данных — главные векторы атак, поэтому критически важно усилить контроль удалённого доступа и регулярно проверять конфигурации.

Меры защиты

Чтобы противостоять подобным атакам, стоит внедрить многофакторную аутентификацию, устойчивую к фишингу, и ограничить доступ к административным интерфейсам. Облачные ключи должны быть временными, а права на чтение и удаление данных — разделены. Резервные копии необходимо хранить в изолированных или неизменяемых хранилищах, чтобы злоумышленники не могли их уничтожить.