Новости
JADEPUFFER: ИИ сам провёл атаку-шифровальщик
Sysdig описала первый случай, когда атаку-шифровальщик от взлома до шифрования БД полностью провёл автономный ИИ-агент.
Коротко: 20 октября 2026 Threat Research Unit компании SOCRadar опубликовала разбор незащищённого командного сервера, которым пользовались аффилиаты группировок-вымогателей INC Ransomware и The Gentlemen. На сервере нашли 46 собранных под заказ шифровальщиков, подготовленных для шести жертв, исходный код фреймворка атак Phantom и 8257 сообщений переписки с ИИ-моделями — операторы использовали их, чтобы планировать проникновение и готовить вымогательские записки. Для владельцев файлов и бизнеса вывод простой: порог входа в такие атаки продолжает падать, а офлайн-бэкап и базовая гигиена паролей остаются единственной надёжной защитой.
Что именно обнаружили исследователи
SOCRadar наткнулась на сервер, оставленный в открытом доступе без авторизации, — классическая ошибка операционной безопасности, которая время от времени выдаёт целые кибергруппировки с головой. На нём хранились:
- 46 готовых сборок шифровальщика INC, подготовленных под конкретные цели — шесть жертв уже были на очереди на развёртывание.
- Исходный код Phantom — собственного фреймворка аффилиатов для автоматизации цепочки атаки, который исследователи описали как «автономный Kill Chain для red team».
- 8257 сообщений переписки с ИИ-моделями в 133 сессиях — операторы использовали Claude Opus 4.6 и Kimi K3 через сервис OpenRouter внутри инструмента OpenCode, чтобы планировать вторжения и готовить тексты вымогательских требований.
- Готовый брендированный пакет вымогательства для одного из кейсов, который вела группировка The Gentlemen.
По оценке SOCRadar, на оплату ИИ-сервисов операторы потратили свыше 23 920 долларов — для киберпреступников это обычная статья расходов наравне с арендой серверов и покупкой эксплойтов.
Как аффилиаты проникали в сети жертв
Переписка с ИИ показала и техническую сторону операций. По данным SOCRadar, аффилиаты массово эксплуатировали известные уязвимости в пограничных и удалённых системах доступа — в том числе FortiClient EMS, SimpleHelp, cPanel и VPN-шлюзы. Это стандартный набор точек входа для современных вымогателей: такие сервисы часто выставлены в интернет и реже всех обновляются вовремя.
!
INC и The Gentlemen — не новички
Обе группировки давно известны исследователям как операторы модели Ransomware-as-a-Service (RaaS): они не только шифруют файлы жертв, но и крадут данные для двойного вымогательства — угрожают публикацией, если выкуп не заплачен.
Почему это важный сигнал для всех, кто хранит файлы
Случай с открытым сервером интересен не самим фактом утечки — операторская инфраструктура вымогателей и раньше попадала в открытый доступ по ошибке. Важнее масштаб использования ИИ как рабочего инструмента: 8257 сообщений за 133 сессии — это не разовый эксперимент, а поставленный на поток процесс, где модель помогает на каждом этапе, от разведки до текста требования о выкупе.
Это продолжает тенденцию, которую в июле 2026 зафиксировала компания Sysdig в разборе атаки JADEPUFFER — первого задокументированного случая, когда шифровальщик от взлома до шифрования базы данных провёл полностью автономный ИИ-агент. История с INC и The Gentlemen показывает, что это уже не единичный прецедент, а рабочая практика сразу нескольких группировок.
Для обычного пользователя и бизнеса логика угрозы не меняется: вымогатель находит слабое место (непропатченный VPN-шлюз, забытую панель администрирования, пароль по умолчанию), получает доступ к файлам и шифрует их, требуя выкуп. Подробнее о типах угроз и о том, как проверять загрузки до открытия, — в разделе безопасность файлов и в гайде как проверить файл на вирусы.
Как защититься уже сейчас
- Обновляйте VPN-шлюзы и удалённый доступ. FortiClient EMS, SimpleHelp, cPanel и подобные сервисы — приоритетные цели для патчей, особенно если они доступны из интернета.
- Отключите или ограничьте внешний доступ к панелям управления и удалённым рабочим столам везде, где это возможно, и включите многофакторную аутентификацию.
- Делайте офлайн- или неизменяемые резервные копии критичных файлов и регулярно проверяйте, что они реально восстанавливаются.
- Сегментируйте сеть, чтобы компрометация одного сервиса не открывала доступ сразу ко всем файловым хранилищам и базам данных.
- Следите за аномальной активностью: массовые обращения к файловым серверам, новые сессии в инструментах удалённого доступа, нетипичное время входа — типичные индикаторы подготовки к шифрованию.
Разработчикам и администраторам, которые держат собственные сервисы в интернете, пригодятся материалы о кибербезопасности в разработке и безопасности веб-приложений — забытый без патчей сервис остаётся самым частым способом попасть в подобную статистику.
