Caught in 4K művelet
A CloudSEK egy rosszul konfigurált, nyilvánosan elérhető szerveren keresztül szinte teljes rálátást szerzett az Azazel, egy oroszul nyelvű ransomware-operátor tevékenységére. Az Azazel a Gentlemen ransomware partnere volt, de saját szivárogtató oldalt is üzemeltetett, a Gentlemen infrastruktúráját és eszközeit használta a támadásokhoz, majd egyes áldozatokat saját oldalán zsarolt, így a bevételt nem osztotta meg a RaaS üzemeltetőivel. A feltárt két szerver több mint 29 TB tárhelyet, legalább két tucat áldozati könyvtárat és körülbelül 6 TB ellopott adatot tartalmazott, az áldozatok hat országban működtek.
A behatolások közös pontja a CI/CD hitelesítő adatok kompromittálása volt. A CloudSEK szerint minden megerősített áldozathoz lopott fejlesztői vagy pipeline-secreteken keresztül jutottak el, egyetlen kompromittált GitLab-példány pedig két, egymástól független szervezethez is hozzáférést biztosított. A célpontok között logisztikai, biztosítási, gyógyszeripari, AI-, orvostechnikai és kormányzati kapcsolatokkal rendelkező szervezetek szerepeltek. A kutatás idején az egyik exfiltráció még aktívan zajlott, az áldozathoz tartozó könyvtár mérete két megfigyelés között több száz gigabájttal nőtt.
Az eset legérdekesebb része az AI-agent támadási láncba integrálása. Az operátor egy reverse-shell kezelőt regisztrált eszközként egy AI coding assistanthez MCP-n keresztül, majd az AI-t ezen a kapcsolaton át használta támadási műveletek végrehajtására. Külön infrastruktúrát épített az interneten elérhető AI-asszisztens portok felderítésére is. A lefoglalt adatok alapján az AI nemcsak a támadásokban jelent meg, Azazel saját lopott adatainak mentésével és infrastruktúrájának kezelésével kapcsolatban is AI-asszisztenst használt.
A CloudSEK az operátort oroszul beszélő szereplőként azonosítja a szkriptekben található természetes orosz nyelvű megjegyzések és az infrastruktúra elnevezései alapján, ez azonban önmagában nem jelent orosz állami attribúciót. Az érintett szervezeteket a CloudSEK a publikáció előtt értesítette.
