El grupo de ransomware n0n atacó a decenas de organizaciones usando credenciales robadas y herramientas de IA para automatizar sus scripts. Aunque fueron agresivos borrando respaldos y filtrando datos, cometieron el error crítico de dejar su propio servidor expuesto. Esto permitió que investigadores descubrieran sus métodos, códigos fuente y claves de cifrado.



Un operador de ransomware conocido como n0n intentó irrumpir en 23 organizaciones de 14 países, pero no pudo asegurar su propia puerta principal, dejando su servidor expuesto con todos sus métodos a la vista.

Los criminales utilizaron una mezcla de herramientas nuevas (IA) y antiguas (credenciales robadas) durante su racha de robo de datos, y en algunos casos no solo robaron y cifraron archivos, sino que también eliminaron datos y copias de seguridad, eliminando la capacidad de las víctimas para recuperar su información.

Y a pesar del miedo y la exageración en torno al "apocalipsis de las brechas", con la IA encontrando y desarrollando exploits para vulnerabilidades críticas que afectan a la mayoría de las organizaciones en todo el mundo, estos delincuentes no explotaron ni un solo bug para entrar en los entornos informáticos de sus víctimas.

"En cada compromiso documentado en esta investigación, el acceso dependió de credenciales débiles o robadas", afirmó Ensar Seker, director de seguridad de la información de la firma de inteligencia de amenazas SOCRadar.

"Lo que destaca es la combinación de desarrollo asistido por IA y puntos de entrada muy convencionales", dijo Seker. "No encontramos evidencia de explotación de vulnerabilidades en los casos examinados".

La banda irrumpe en las organizaciones a escala utilizando el escaneo generalizado del Protocolo de Escritorio Remoto (RDP) y el relleno de credenciales automatizado de FortiGate SSL-VPN. Para acceder al proveedor de servicios gestionados de TI con sede en EE. UU., ChiBiTek, el equipo utilizó un grupo de proxies SOCKS5 residenciales de 15 hilos para probar credenciales contra los portales de FortiGate.

Los operadores también ganaron acceso utilizando credenciales de nube expuestas y sesiones de portales de hosting reutilizadas. En un caso vinculado al sitio de comercio electrónico Fanatics **, SOCRadar descubrió que n0n utilizó una clave de acceso de AWS expuesta con permisos para listar, leer y eliminar objetos en buckets de S3. Los criminales utilizaron entonces esta clave para extraer datos de 40 buckets de S3, con hasta 110 GB por bucket, y finalmente eliminaron datos, incluidos archivos de transacciones bancarias, y purgaron claves en 12 buckets sensibles.

Extorsión asistida por ia

Aunque los cazadores de amenazas no encontraron evidencia de un sistema de ataque totalmente autónomo, el operador de ransomware utilizó la IA para asistir en estas intrusiones, incurriendo en costes de uso de IA superiores a 7.216 dólares hasta el 22 de octubre.

Específicamente: el criminal o criminales utilizaron OpenCode, un agente de codificación de IA de código abierto, configurado con 154 entradas de modelos a través de siete proveedores. Los modelos incluyeron Gemini, Mistral, Nemotron, Llama, Claude, GPT-5.x, Grok, Kimi, GLM, DeepSeek, MiniMax, Qwen y muchos otros, algunos con el entrenamiento de seguridad eliminado y otros comercializados como modelos "sin censura".

"El operador utilizó la IA para escribir y depurar cientos de scripts. Eso muestra cómo la IA puede ayudar a un atacante a convertir un acceso básico en una operación más amplia y personalizada", dijo Seker.

"El comportamiento destructivo es igualmente significativo", añadió. "El operador hizo más que robar y cifrar archivos: en algunos casos, eliminó datos y copias de seguridad, y en un caso cambió las políticas del firewall para bloquear el tráfico. Eso crea un problema de recuperación que una clave de descifrado por sí sola no puede resolver".

Los cazadores de amenazas de SOCRadar encontraron el espacio de trabajo del operador —un servidor de archivos HTTP de Python accesible públicamente alojado en Suecia— el mes pasado, y documentaron el directorio expuesto en capturas el 25 y 26 de septiembre.

"A través de esas capturas, identificamos 1.719 archivos, incluidos scripts de ataque, código fuente de ransomware, infraestructura de extorsión y un entorno de agente de codificación de IA", dijo Seker. "Esto nos dio visibilidad de la operación detrás de las listas de víctimas, incluyendo cómo el operador preparaba los ataques y manejaba los datos robados".

Conociendo a n0n

También permitió observar de cerca a n0n, un recién llegado al juego del robo de datos y la extorsión que ha reclamado 108 víctimas desde que surgió el mes pasado.

El 12 de octubre, el grupo añadió 38 organizaciones marítimas, portuarias y logísticas de 18 países a su sitio de filtraciones en un solo lote. Investigadores han vinculado al menos 21 de ellas con clientes del proveedor de software marítimo surcoreano CyberLogitec, aunque el proveedor no ha confirmado la intrusión.

Los delincuentes fijaron como fecha límite el 19 de octubre para las empresas marítimas, con demandas de rescate que oscilaban entre 400.000 y 28 millones de dólares, pagaderos en Bitcoin. Sin embargo, tras la fecha límite, ninguna de las 38 listas fue marcada como "solucionada" y ninguna de sus direcciones de pago mostró ninguna transacción. Todos los datos robados de las organizaciones afectadas fueron publicados.

Si bien algunas de las víctimas reclamadas por la banda han sido marcadas como "honradas - datos destruidos" en el sitio de filtraciones de n0n, lo que indicaría que pagaron el rescate, SOCRadar no ha validado ninguna transacción en la cadena de bloques. En los detalles de su perfil, la tienda de seguridad califica a la banda con un 10 de 10 en "agresividad" y un cero de 10 en "letalidad".

Se cree que el grupo tiene su base en Rusia, aunque el servidor descubierto por SOCRadar, que atribuyó a un solo operador o a un equipo pequeño, no proporcionó ninguna atribución geográfica o nacional definitiva.

Cada caso documentado por el servidor expuesto siguió el mismo ciclo de vida, pasando del acceso inicial al establecimiento de la persistencia y la recopilación de credenciales a través de cuentas de administrador ocultas disfrazadas de servicios, proxies encubiertos, robo de credenciales y tokens de sesión, buzones de correo y códigos de autenticación multifactor enviados por email.

Los delincuentes luego recopilaban datos sensibles y enviaban todo al almacenamiento central del operador, variando el impacto del ataque entre el robo de datos, el cifrado, la destrucción y la interrupción de la red, dependiendo de la organización objetivo.

Tras irrumpir en Transcom, un proveedor de servicios financieros con sede en los Países Bajos, los criminales enviaron una alerta de rescate secundaria directamente al equipo de seguridad de PayPal, a pesar de que los datos comprometidos solo estaban en la red de Transcom.

Errores estúpidos y n0n security basics

Finalmente, los criminales envían notas de rescate, publican un reloj de cuenta regresiva en el sitio de filtraciones, establecen salas de negociación y correos electrónicos para las víctimas, y luego filtran los archivos robados o destruyen las copias de seguridad cuando las organizaciones no pagan. En algunos casos, y para aplicar una mayor presión, n0n también transmite advertencias automatizadas de cuenta regresiva a los proveedores de servicios, clientes y medios de comunicación de las empresas victimizadas.

A pesar de sus tácticas agresivas, el operador en este caso —al igual que otros criminales estúpidos— todavía lucha con la higiene básica de seguridad.

"Hay una brecha sorprendente entre la ambición operativa y la disciplina de seguridad", dijo Seker. "El operador invirtió miles de dólares en servicios de IA mientras dejaba su propio espacio de trabajo expuesto. El almacenamiento también contenía claves de cifrado codificadas directamente (hardcoded), con evidencia que sugiere su reutilización entre víctimas. Una operación puede tener una capacidad destructiva seria y aun así cometer errores fundamentales".

Fuente:
TheRegister