Tổ chức ransomware n0n chi 7.000 USD cho AI, để lộ bằng chứng
"The ransomware group 'n0n' conducted data-theft and extortion attacks against 23 organizations across 14 countries, primarily gaining access through stolen or weak credentials and exploiting exposed cloud credentials (like AWS S3 keys). They utilized AI services costing over $7,200 to assist in script writing and debugging, but did not exploit any known vulnerabilities. The group left a publicly accessible server exposed containing attack scripts and infrastructure."
Sự việc cho thấy tấn công ransomware ngày càng tinh vi, sử dụng AI để hỗ trợ. Việc lộ thông tin đăng nhập và cloud credentials là lỗ hổng nghiêm trọng.
Các doanh nghiệp có thể bị mất dữ liệu, gián đoạn hoạt động và thiệt hại uy tín do các cuộc tấn công ransomware. Chi phí khắc phục hậu quả có thể rất lớn.
Tổ chức ransomware n0n đã thực hiện tấn công đánh cắp dữ liệu và tống tiền 23 tổ chức ở 14 quốc gia. Chúng chủ yếu xâm nhập bằng thông tin đăng nhập bị đánh cắp hoặc yếu, và khai thác cloud credentials bị lộ (ví dụ: AWS S3 keys). Nhóm này đã sử dụng các dịch vụ AI với chi phí hơn 7.216 USD để hỗ trợ viết và gỡ lỗi script.
Điều đáng chú ý là n0n không khai thác bất kỳ lỗ hổng bảo mật đã biết nào. SOCRadar cho biết, trong tất cả các trường hợp xâm nhập được ghi nhận, quyền truy cập đều dựa trên thông tin đăng nhập yếu hoặc bị đánh cắp. Việc kết hợp giữa phát triển hỗ trợ AI và các phương pháp xâm nhập thông thường là điểm đáng chú ý.
Chúng sử dụng RDP scanning rộng rãi và credential stuffing tự động trên FortiGate SSL-VPN để xâm nhập. Ví dụ, chúng sử dụng pool proxy SOCKS5 với 15 luồng để thử thông tin đăng nhập trên cổng FortiGate. Trong một trường hợp liên quan đến Fanatics, n0n đã sử dụng AWS access key bị lộ để truy cập 40 S3 bucket, xóa dữ liệu và khóa quan trọng.
Nhóm này đã sử dụng các mô hình AI như Gemini, Mistral, Llama, và GPT-5.x (bao gồm cả các mô hình không có kiểm duyệt) để viết và gỡ lỗi hàng trăm script. Chúng không chỉ đánh cắp và mã hóa dữ liệu mà còn xóa dữ liệu và bản sao lưu, thậm chí thay đổi firewall policies để chặn lưu lượng truy cập.
SOCRadar phát hiện một máy chủ HTTP file Python công khai ở Thụy Điển (185.157.161[.]148:8877) chứa 1.719 file, bao gồm script tấn công, mã nguồn ransomware, cơ sở hạ tầng tống tiền và môi trường AI. Nhóm n0n mới xuất hiện gần đây, đã tuyên bố có 108 nạn nhân và yêu cầu tiền chuộc từ 400.000 USD đến 28 triệu USD. Dữ liệu của 38 tổ chức hàng hải đã bị công khai sau khi hết thời hạn chót.
Câu hỏi thường gặp
Nhóm n0n đã sử dụng AI như thế nào trong các cuộc tấn công?
Nhóm n0n đã sử dụng các dịch vụ AI như OpenCode với nhiều mô hình khác nhau (Gemini, Mistral, Llama, GPT-5.x) để viết và gỡ lỗi script tấn công. Chúng chi hơn 7.216 USD cho các dịch vụ này.
Cách thức xâm nhập phổ biến nhất của nhóm n0n là gì?
Nhóm n0n chủ yếu xâm nhập bằng cách sử dụng thông tin đăng nhập bị đánh cắp hoặc yếu, RDP scanning, và credential stuffing trên FortiGate SSL-VPN. Chúng cũng khai thác cloud credentials bị lộ.
Nhóm n0n đã gây thiệt hại gì cho các nạn nhân?
Nhóm n0n đã đánh cắp và mã hóa dữ liệu, xóa dữ liệu và bản sao lưu, và thậm chí thay đổi firewall policies để chặn lưu lượng truy cập. Chúng yêu cầu tiền chuộc từ 400.000 USD đến 28 triệu USD.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc nhóm n0n sử dụng AI để hỗ trợ tấn công cho thấy xu hướng này sẽ ngày càng phổ biến. Các doanh nghiệp Việt Nam, đặc biệt là các công ty sử dụng cloud services như AWS, cần tăng cường bảo mật thông tin đăng nhập và thường xuyên kiểm tra quyền truy cập. Điều đáng chú ý là nhóm này không khai thác lỗ hổng, mà tập trung vào các lỗi bảo mật cơ bản. Doanh nghiệp nên ưu tiên vá các lỗ hổng đã biết và đào tạo nhân viên về an toàn thông tin.