Por Canuto  

Un grupo de extorsión digital combinó credenciales robadas con herramientas de inteligencia artificial y exigió rescates en Bitcoin, pero dejó expuesto un servidor con miles de archivos sobre sus operaciones. SOCRadar atribuye a n0n ataques contra organizaciones de distintos países y señala que sus acciones incluyeron borrar datos y copias de seguridad.
***

  • SOCRadar encontró 1.719 archivos expuestos en un servidor alojado en Suecia, incluidos scripts, código de ransomware y un entorno de IA.
  • El grupo habría intentado acceder a 23 organizaciones de 14 países y utilizó credenciales débiles, robadas o expuestas, no vulnerabilidades explotadas.
  • n0n pidió rescates de hasta USD $28 millones pagaderos en Bitcoin; tras algunos vencimientos, los datos de las víctimas aparecieron publicados.

Grupo de extorsión gastó más de USD $7.216 en IA y dejó expuesto su arsenal

Un grupo de extorsión digital empleó herramientas de inteligencia artificial para preparar ataques contra organizaciones de varios países, pero dejó a la vista su propio espacio de trabajo en un servidor accesible desde internet. SOCRadar, firma de inteligencia de amenazas, encontró allí 1.719 archivos con scripts, código de ransomware y material sobre la infraestructura de extorsión, una exposición que permitió reconstruir parte de las operaciones atribuidas al grupo n0n.

Según la investigación, el operador había gastado más de USD $7.216 en servicios de IA hasta el 22 de octubre y habría intentado acceder a 23 organizaciones en 14 países. Sin embargo, los investigadores no encontraron evidencia de que explotara vulnerabilidades para entrar en las redes: en los casos documentados, el acceso dependió de credenciales débiles, robadas o expuestas.

Credenciales convencionales y apoyo de inteligencia artificial

La investigación describe una operación que combinó técnicas de acceso conocidas con herramientas recientes de IA. Ensar Seker, director de seguridad de la información de SOCRadar, dijo que no hallaron indicios de explotación de vulnerabilidades en los casos revisados y que cada intrusión documentada se apoyó en credenciales débiles o robadas.

Entre los métodos mencionados figuran el escaneo general del protocolo de escritorio remoto, conocido como RDP, y los intentos automatizados de probar credenciales en portales FortiGate SSL-VPN. Para acceder a ChiBiTek, un proveedor estadounidense de servicios gestionados de tecnología, los operadores usaron proxies residenciales SOCKS5 con 15 hilos para probar combinaciones de dirección, puerto, usuario y contraseña contra el portal de acceso remoto.

El grupo también habría aprovechado credenciales de nube expuestas y reutilizado sesiones de portales de alojamiento. En un caso relacionado con el sitio de comercio electrónico Fanatics, SOCRadar identificó el uso de una clave de acceso de AWS con permisos para listar, leer y eliminar objetos en buckets S3, lo que permitió extraer información de 40 buckets que contenían hasta 110 GB cada uno.

El alcance de esa clave no se limitó a la extracción: los operadores eliminaron datos, entre ellos archivos de transacciones bancarias, y borraron claves en 12 buckets considerados sensibles. Seker señaló que el acceso inicial podía ser básico, pero que la IA ayudó a convertirlo en una operación más amplia y adaptada a cada objetivo, al facilitar la escritura y depuración de cientos de scripts.

Un espacio de trabajo expuesto reveló los métodos

SOCRadar localizó el espacio de trabajo en un servidor HTTP de Python de acceso público alojado en Suecia, en la dirección 185.157.161[.]148 y el puerto 8877. La firma documentó el directorio en capturas tomadas el 25 y el 26 de septiembre, después de encontrar el servidor el mes anterior, según el reporte.

En el material expuesto había 1.719 archivos que incluían scripts de ataque, código fuente de ransomware, infraestructura de extorsión y un entorno de agente de programación con IA. Esa información ofreció a los investigadores una vista de cómo el operador preparaba los ataques, organizaba las listas de víctimas y administraba los datos sustraídos.

El entorno utilizaba OpenCode, un agente de codificación de IA de código abierto configurado con 154 entradas de modelo repartidas entre siete proveedores. La lista incluía Gemini, Mistral, Nemotron, Llama, Claude, GPT-5.x, Grok, Kimi, GLM, DeepSeek, MiniMax y Qwen, además de modelos descritos como no censurados o con eliminación de entrenamiento de seguridad.

La exposición también dejó al descubierto claves de cifrado escritas directamente en el material de trabajo, con indicios de que algunas se reutilizaban entre víctimas. Seker describió una marcada diferencia entre la ambición de la operación y su disciplina de seguridad: el operador pagó miles de dólares por herramientas de IA mientras mantenía sus propios archivos accesibles públicamente.

n0n combinó robo, cifrado y destrucción de datos

SOCRadar identificó a n0n como un recién llegado a las operaciones de robo de datos y extorsión que, según la firma, reclamaba 108 víctimas desde su aparición el mes anterior. El grupo no dependía de un sistema de ataque completamente autónomo: los hallazgos apuntan a que utilizaba IA como apoyo para desarrollar y corregir scripts, mientras sus operadores controlaban las intrusiones y la extorsión.

El ciclo descrito por los investigadores comenzaba con el acceso inicial y continuaba con la persistencia dentro de la red y la recopilación de credenciales. Los operadores habrían creado cuentas administrativas ocultas disfrazadas de servicios, empleado proxies encubiertos y sustraído credenciales, tokens de sesión, buzones y códigos de autenticación multifactor enviados por correo electrónico.

Después reunían información sensible y la enviaban al almacenamiento central del operador, aunque el impacto variaba según la organización. En algunos casos robaron y cifraron archivos; en otros, también eliminaron datos y copias de seguridad, y en un caso modificaron políticas de cortafuegos para bloquear tráfico, complicando la recuperación más allá de lo que resolvería una clave de descifrado.

Tras entrar en Transcom, proveedor de servicios financieros con sede en Países Bajos, los atacantes enviaron una alerta secundaria de rescate directamente al equipo de seguridad de PayPal. Los datos comprometidos estaban en la red de Transcom, de acuerdo con el reporte, por lo que el envío de esa notificación a otra empresa formó parte de la presión ejercida por los extorsionadores.

Demandas en Bitcoin y filtración de información

El 12 de octubre, n0n añadió en un solo lote 38 organizaciones marítimas, portuarias y logísticas de 18 países a su sitio de filtraciones. SOCRadar vinculó al menos 21 de esas organizaciones con clientes de CyberLogitec, proveedor de software marítimo de Corea del Sur, aunque la empresa no había confirmado una intrusión.

Para esas firmas marítimas, el grupo fijó el 19 de octubre como fecha límite y exigió rescates de entre USD $400.000 y USD $28 millones, pagaderos en Bitcoin. Una vez vencido el plazo, ninguna de las 38 organizaciones aparecía marcada como resuelta y las direcciones de pago asociadas no mostraban transacciones, según el análisis de SOCRadar.

Los datos robados de las 38 organizaciones terminaron publicados. En otros casos, algunas víctimas aparecían en el sitio de n0n con una marca que sugería que habían pagado y que sus datos habían sido destruidos, pero SOCRadar no validó transacciones en la cadena para confirmar esos pagos.

El grupo también utilizaba notas de rescate, cuentas regresivas, salas de negociación y direcciones de correo para comunicarse con las víctimas; si no recibía el pago, podía divulgar los archivos sustraídos o destruir respaldos. En algunos casos, además, enviaba alertas automatizadas a proveedores, clientes y medios de comunicación de las empresas para aumentar la presión pública.

La amenaza no confirma una atribución geográfica

SOCRadar calificó a n0n con una puntuación de 10 sobre 10 en agresividad y de cero sobre 10 en letalidad, según los detalles de perfil citados en el reporte. La firma considera posible que el grupo tenga base en Rusia, pero el servidor expuesto no permitió establecer de manera definitiva su ubicación o nacionalidad.

El caso muestra que el uso de IA no eliminó la dependencia de métodos de intrusión habituales: las credenciales siguieron siendo la puerta de entrada en los episodios examinados. La tecnología, según la evaluación de Seker, ayudó a ampliar y personalizar el trabajo de los atacantes, pero la exposición de su propio servidor revela que una operación con capacidad destructiva también puede fallar en controles básicos.

La eliminación de respaldos y datos plantea un riesgo adicional para las organizaciones afectadas, porque recuperar archivos cifrados no necesariamente restaura la información borrada ni las políticas de red alteradas. En consecuencia, el impacto descrito por los investigadores combina robo de información, interrupción operativa y extorsión, con efectos distintos según cada víctima.

El reporte no atribuye las intrusiones a una vulnerabilidad específica ni demuestra que los sistemas de IA ejecutaran ataques de forma autónoma. Su principal hallazgo es más concreto: un operador aprovechó credenciales expuestas para entrar en organizaciones, empleó IA para apoyar el desarrollo de herramientas y dejó en internet un archivo detallado de su propia operación.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados