El n0n ransomware, un caso de extorsión con inteligencia artificial, quedó desnudo por un descuido propio: su operador dejó abierto en internet el servidor donde guardaba las herramientas, las listas de víctimas y las cuentas del negocio. SOCRadar, firma de inteligencia de amenazas, encontró ese directorio sin protección en Suecia y contó 1.719 archivos. Dentro había 829 guiones de ataque y el código fuente de cinco versiones del cifrador que el grupo usa para bloquear los datos de sus víctimas.
Las capturas del servidor se tomaron el 25 y el 26 de septiembre, de acuerdo con la investigación de SOCRadar, publicada el 28 de octubre. El material conectó a ese operador con al menos 23 organizaciones de 14 países: un comercio deportivo de Estados Unidos, un proveedor de nube, un sindicato de maestros de Nueva York, un proveedor de internet de Venezuela, un ministerio de Argentina y una filial farmacéutica.
Una contraseña abrió cada puerta
El dato que más pesa no trae un fallo nuevo ni un programa desconocido. SOCRadar informó que no halló explotación de vulnerabilidades en ninguna intrusión documentada: cada entrada se apoyó en credenciales débiles, robadas o expuestas. Ensar Seker, responsable de seguridad de la información de la firma, lo dijo a The Register: el acceso dependió de contraseñas en todos los casos revisados.
La ruta de entrada combinó escaneos masivos del protocolo de escritorio remoto (RDP, por sus siglas en inglés), pruebas automatizadas de credenciales contra 305 equipos FortiGate con VPN de acceso remoto y claves débiles de WinRM, la herramienta de administración remota de Windows. Para entrar en ChiBiTek, proveedor de servicios de tecnología de Estados Unidos, el grupo probó combinaciones de usuario y contraseña contra el portal FortiGate con intermediarios residenciales y 15 hilos en paralelo. El robo de credenciales fue, pieza por pieza, el motor entero de la operación.
El caso de Fanatics, la tienda deportiva, muestra el tamaño del daño cuando una sola clave queda suelta. SOCRadar identificó una clave de acceso de Amazon Web Services (AWS) expuesta, con permiso para listar, leer y borrar objetos en depósitos de almacenamiento S3. Con esa llave, el operador extrajo información de 40 depósitos, cada uno con hasta 110 GB, borró un archivo de transacciones bancarias y eliminó claves en 12 depósitos sensibles. La exigencia para esa empresa llegó a 30 Bitcoin.
La IA escribió los guiones, una persona mandaba
Donde sí aparece la parte nueva es en el taller. El servidor expuesto guardaba el entorno de OpenCode, un agente de programación de código abierto configurado con 154 entradas de modelo de siete proveedores: Gemini, Mistral, Nemotron, Llama, Claude, GPT-5.x, Grok, Kimi, GLM, DeepSeek, MiniMax y Qwen, entre otros, con modelos descritos como sin censura o con el entrenamiento de seguridad retirado. La factura de ese uso superó los US$7.216 al 22 de octubre. Seker explicó que el agente escribió y corrigió cientos de guiones, y que eso ayudó al operador a convertir un acceso básico en una operación más amplia, ajustada a cada objetivo. SOCRadar no observó un sistema de ataque autónomo: una persona dirigía cada paso.
El cifrador del grupo trabaja con AES-256-CBC, un algoritmo de cifrado por bloques, y tiene variantes para Windows, Linux y PowerShell. Cada versión usa una sola clave escrita dentro del propio código, y una de esas claves aparece repetida en dos víctimas, de modo que una herramienta de descifrado para una podría servir para la otra. Adentro, el operador creaba cuentas de administrador ocultas disfrazadas de servicios y robaba credenciales de navegadores, tokens de sesión y códigos de autenticación multifactor recibidos por correo. En varios casos borró datos y copias de seguridad en lugar de cifrarlos, y eliminó las copias sombra de Windows.
La extorsión llegaba con cuenta regresiva y sala de negociación
Las exigencias del grupo oscilaron entre 0,5 y 33 Bitcoin por víctima, con un techo de US$28 millones por organización en el grupo de empresas marítimas. Cada víctima recibía una dirección de pago propia y, para abrir una sala de negociación, el grupo pedía un adelanto del 10 %. SOCRadar revisó las 55 direcciones reunidas en la investigación y no encontró ninguna transacción al 16 de octubre. Al 19 de octubre, el sitio de filtraciones de n0n listaba 93 víctimas con exigencias que sumaban US$283,7 millones.
El 12 de octubre, el grupo sumó en un solo bloque a 38 organizaciones marítimas, portuarias y de logística de 18 países. Al menos 21 aparecen vinculadas con clientes de CyberLogitec, proveedor surcoreano de programas marítimos, conexión que la empresa no confirmó. Vencido el plazo del 19 de octubre, ninguna quedó marcada como resuelta y los datos terminaron publicados. En Venezuela, el operador entró en el proveedor de internet Inter, cambió a bloqueo todas las reglas de su consola Cisco Firepower, afirmó haber cortado el tráfico nacional y pidió 15 Bitcoin.
La defensa que deja el informe es concreta y aburrida, justo por eso funciona. SOCRadar pidió autenticación multifactor resistente a la suplantación en accesos remotos, llaves de nube de corta duración, permisos de borrado separados de los de lectura y copias de seguridad fuera de línea o inmutables, porque n0n borra respaldos antes de pedir dinero. Seker resumió el contraste del caso en una frase: el operador invirtió miles de dólares en servicios de IA y dejó su propio espacio de trabajo abierto a todo el que pasara por esa dirección.
Fuente: SOCRadar
