Вымогательская группировка n0n потратила более 7216 долларов на ИИ-сервисы, чтобы автоматизировать кибератаки на организации в разных странах. Однако злоумышленники забыли защитить собственную инфраструктуру и оставили сервер с 1719 файлами в открытом доступе. Исследователи получили доступ к инструментам, исходному коду шифровальщика и переписке ИИ-агента с нейросетями.
Расследование SOCRadar показало, что за операцией стоял как минимум один оператор, который активно использовал искусственный интеллект для подготовки и проведения атак. В открытом каталоге обнаружили 829 сценариев для автоматизации вредоносных действий, исходный код пяти версий собственного шифровальщика и рабочее окружение ИИ-агента. Снимки сервера сделали 25 и 26 сентября 2026 года, а найденные материалы позволили восстановить значительную часть операций группировки.
По оценке исследователей, злоумышленники пытались проникнуть в инфраструктуру 23 организаций в 14 странах. В 15 случаях сведения о пострадавших позднее появились на сайте группировки, ещё четыре организации подверглись успешной компрометации, но их данные публично не опубликовали. Ещё четыре случая представляли собой попытки доступа без подтверждённого результата. К 19 октября на сайте n0n числились 93 предполагаемые жертвы, а совокупная сумма требований выкупа достигла 283,7 млн долларов.
Для разработки вредоносных инструментов преступники использовали OpenCode, открытого ИИ-агента для написания программного кода. Рабочая среда содержала 154 записи моделей от семи поставщиков. Среди доступных моделей исследователи обнаружили Gemini, Mistral, Nemotron, Llama, Claude, GPT-5, Grok, Kimi, GLM, DeepSeek, MiniMax и Qwen. Некоторые варианты позиционировались как модели без ограничений безопасности, другие представляли собой модифицированные версии с удалёнными защитными механизмами.
К 22 октября расходы на обращения к ИИ-моделям превысили 7216 долларов. С помощью нейросетей оператор написал и отладил сотни сценариев для автоматизации отдельных этапов атак. При этом исследователи не обнаружили признаков полностью автономной системы, которая самостоятельно выбирала бы жертв и проводила операции без участия человека. ИИ выступал техническим помощником, а решения о ходе атак оставались за оператором.
Самое примечательное в расследовании заключается в способах первоначального проникновения. Несмотря на широкое применение ИИ, преступники не использовали ни одной подтверждённой уязвимости программного обеспечения. Во всех задокументированных случаях доступ обеспечивали слабые или украденные учётные данные. Основными целями становились шлюзы удалённого доступа, серверы с открытым доступом и облачные учётные записи.
Один из основных инструментов группировки представлял собой систему автоматического подбора паролей для 305 устройств FortiGate с включённым SSL VPN. Злоумышленники направляли запросы через сеть из жилых SOCKS5-прокси, используя 15 параллельных потоков. Подобная схема позволяла проверять украденные комбинации логинов и паролей, маскируя подключения под обычный трафик домашних пользователей. В других случаях преступники проникали через слабые пароли RDP и WinRM, а также повторно использовали ранее скомпрометированные сеансы администрирования.
После проникновения злоумышленники закреплялись в инфраструктуре, создавали скрытые учётные записи администратора, похищали браузерные пароли, токены доступа и почтовые сообщения. Особый интерес представляли одноразовые коды многофакторной аутентификации, которые некоторые организации отправляли по электронной почте. Получив доступ к почтовым ящикам сотрудников, преступники могли перехватывать такие коды и продолжать работу с защищёнными учётными записями.
Отдельный эпизод затронул электронную торговую площадку Fanatics. Преступники воспользовались открытым ключом доступа AWS, который позволял просматривать, читать и удалять объекты в облачных хранилищах S3. С его помощью злоумышленники получили доступ к 40 хранилищам, объём данных в каждом из которых достигал 110 ГБ. Помимо кражи информации, атакующие удалили архив банковских транзакций и уничтожили ключи доступа к 12 чувствительным хранилищам.
В некоторых атаках группировка не ограничивалась кражей и шифрованием файлов. Преступники удаляли данные и резервные копии, очищали теневые копии Windows и изменяли сетевые правила межсетевых экранов, блокируя трафик. В одном из эпизодов злоумышленники получили контроль над Cisco Firepower Management Center венесуэльского интернет-провайдера Inter и изменили правила межсетевого экрана на блокирующие. Группировка утверждала, что действия привели к масштабному нарушению работы национальной сети, однако независимое подтверждение заявленного масштаба отсутствует.
Собственный шифровальщик n0n использовал алгоритм AES-256-CBC и существовал в вариантах для Windows, Linux и PowerShell. Исследователи обнаружили пять исходных версий программы, а также жёстко заданные ключи шифрования. По некоторым признакам, один и тот же ключ могли использовать против двух разных жертв. Подобная ошибка потенциально позволяет восстановить доступ к данным одной организации, если для другой жертвы уже подготовили подходящий инструмент расшифровки.
Группировка также активно применяла психологическое давление. Преступники публиковали украденные материалы, запускали обратный отсчёт до их раскрытия, создавали переговорные комнаты и отправляли угрозы клиентам, партнёрам и поставщикам пострадавших компаний. После атаки на нидерландскую финансовую компанию Transcom злоумышленники дополнительно направили уведомление о вымогательстве службе безопасности PayPal, хотя скомпрометированные данные находились в инфраструктуре Transcom.
Особенно масштабной стала кампания против морских перевозчиков, портов и логистических компаний. 12 октября n0n добавила на свой сайт 38 организаций из 18 стран. Исследователи связали как минимум 21 организацию с клиентами южнокорейского поставщика морского программного обеспечения CyberLogitec, однако сама компания не подтвердила компрометацию своей инфраструктуры или клиентов через цепочку поставок. Размер требований к отдельным организациям составлял от 400 тысяч до 28 млн долларов.
После истечения установленного на 19 октября срока все 38 организаций оказались в списке опубликованных жертв. Ни одна запись не получила отметку об урегулировании требований, а исследователи не обнаружили транзакций на связанных с кампанией адресах Bitcoin. При этом SOCRadar не смогла независимо подтвердить платежи и в других случаях, когда группировка помечала жертв как выполнивших требования.
Аналитики также не смогли достоверно установить географическое происхождение оператора. Некоторые наблюдатели предполагают российское происхождение группировки, однако обнаруженный сервер и содержимое рабочих каталогов не дают достаточных оснований для такой атрибуции. SOCRadar считает, что найденная инфраструктура принадлежала одному оператору или небольшой команде, хотя общая организация кампаний могла предполагать участие нескольких человек.
Расследование показывает, что искусственный интеллект уже помогает преступникам создавать специализированные инструменты и быстрее адаптировать атаки под конкретные цели, но не обязательно превращает киберпреступность в полностью автономный процесс. В случае n0n нейросети ускоряли техническую работу, тогда как основой проникновения оставались давно известные проблемы с паролями и управлением доступом.
Для защиты от подобных операций SOCRadar рекомендует применять устойчивую к фишингу многофакторную аутентификацию, ограничивать доступ к административным интерфейсам, использовать временные облачные ключи вместо постоянных и разделять права на чтение и удаление данных. Резервные копии следует хранить в изолированных или неизменяемых хранилищах, недоступных для учётных записей, которыми пользуются основные рабочие системы. История n0n показывает, что даже если злоумышленники не используют сложные уязвимости, украденные пароли и недостаточно защищённые облачные ресурсы способны привести к масштабному уничтожению корпоративных данных.