واحد تحقیقات تهدیدات SOCRadar اخیراً یک سرور Staging لو رفته متعلق به یکی از اپراتورهای گروه باج‌افزاری n0n را کشف کرده است. این سرور حاوی جزئیات کاملی از گردش کار این گروه در سپتامبر ۲۰۲۶ بود، از جمله ابزارهای نفوذ و استخراج داده (Exfiltration)، سورس‌کد رمزنگار (Locker) و محیطی برای استفاده از عامل‌های کدنویسی هوش مصنوعی (AI Coding Agents) که بیش از ۷,۰۰۰ دلار هزینه API برای مدل‌های زبانی بزرگ (LLM) داشته است.
نقاط ورود و متدولوژی نفوذ
برخلاف بسیاری از حملات پیشرفته، در عملیات n0n هیچ‌گونه اکسپلویت یا آسیب‌پذیری (Vulnerability) خاصی شناسایی نشد. تمام موارد نفوذ مستند شده بر اساس اعتبارنامه‌های (Credentials) ضعیف یا سرقتی بوده است. روش‌های اصلی دسترسی عبارتند از:
- کمپین‌های Credential Stuffing علیه ۳۰۵ دستگاه FortiGate SSL-VPN.
- استفاده از کلیدهای AWS لو رفته.
- اعتبارنامه‌های ضعیف RDP و WinRM.
- دسترسی به پورتال‌های مدیریت میزبانی (Hosting Management Portals).
نقش هوش مصنوعی در توسعه حملات
این عامل تهدید از یک عامل کدنویسی متن‌باز به نام opencode استفاده می‌کند که با ۱۵۴ مدل مختلف (از جمله مدل‌های بدون سانسور یا Abliterated) پیکربندی شده است. این سیستم AI صدها اسکریپت حمله را تولید و دیباگ کرده است. شواهد نشان می‌دهد که این یک عملیات هدایت‌شده توسط انسان است که توسط AI پشتیبانی می‌شود و هنوز به مرحله حملات کاملاً خودکار (Autonomous) نرسیده است.
تاثیرات و رفتارهای تخریبی
گروه n0n در برخی موارد به جای رمزنگاری داده‌ها، آن‌ها و بک‌آپ‌ها را به‌طور کامل تخریب می‌کند. برخی از رفتارهای خاص این گروه عبارتند از:
- تخریب زیرساخت: در یک مورد، اپراتور با تصاحب Cisco Firepower Management Center، تمام سیاست‌های دسترسی را به حالت BLOCK تغییر داد تا باعث اختلال گسترده در سرویس‌ها شود.
- رمزنگاری: استفاده از یک رمزنگار سبک AES-256-CBC برای ویندوز، لینوکس و PowerShell.
- پاکسازی: اجرای اسکریپت‌هایی برای متوقف کردن سرویس‌ها، حذف Shadow Copies و پاک کردن فضای خالی دیسک پیش از اجرای Locker.
توصیه‌های امنیتی برای مدیران SOC و CISOها
برای مقابله با این نوع تهدیدات، اقدامات زیر توصیه می‌شود:
- تقویت دسترسی‌های از راه دور: پیاده‌سازی MFA مقاوم در برابر فیشینگ برای RDP، SSL-VPNها و پورتال‌های مدیریتی.
- مدیریت کلیدهای ابری: جایگزینی کلیدهای طولانی‌مدت با نقش‌های کوتاه‌مدت (Short-lived roles) و فعال‌سازی Object Lock در S3.
- بک‌آپ‌های غیرقابل تغییر: استفاده از بک‌آپ‌های Air-gapped یا Immutable، زیرا n0n به‌طور فعال بک‌آپ‌های میزبانی‌شده را حذف می‌کند.
- مانیتورینگ: رصد لاگ‌های CloudTrail و فایروال برای شناسایی توکن‌های REST مشکوک یا تغییرات ناگهانی در Policyهای دسترسی.
