AI Skriptit, Kohteet, Hinnat: Aave käyttää kiristystä vesilinjana, mutta sitä on käytettävä joka vaiheessa. Pää

Ensinnäkin, sen nimi on: Aave Jotain on olemassa, ja se johtaa tosielämän hyökkäyksiä, mutta...Se ei ole "AI." Kaikki on automaattista.En tiedä.

Sen todellinen muoto on:Tekoäly vastaa ehdotuksesta ja henkilö vastaa nyökkäyksestä.Jokainen siirto edellyttää lentotoiminnan harjoittajan hyväksyntää mennä alas sana on ... koordinoi jokainen toiminta kanssani.

Tämä on päinvastoin tämän artikkelin arvokkain paikka. Koska Full Auto kuulostaa pelottavalta mutta kaukana, jokainen askel kuulostaa turvalliselta, mutta lähellä.Mies, jolla on joukko tekoälyjä, voi lopettaa entisen tiimin työn.

Kolme numeroa mieleen.8,257 viestiä / 133 istuntoa / tekoälylaskut 23,920 dollariaEn tiedä. 24 000 dollaria, 62 järjestöä.

Ensinnäkin lähteen uskottavuus on selkeästi määritelty.

Artikkelille on vain yksi lähde:SOCRAAR-uhkatutkimusryhmä (STRU)Julkaistu 20. lokakuuta 2026, päivitetty 23. 24. lokakuuta, Claude Security Alliance teki analyysin, mutta se selvästi kirjoitti:Lähes kaikki julkiset tiedot ovat peräisin SOC-tutkalta, analyysistä, jota toinen tutkimusryhmä, mallivalmistajat tai valtion virastot eivät tällä hetkellä vahvista itsenäisesti.

Tämä on tärkeää, koska se määrittää, miten käytät kaikki numerot takana.

Hyvä uutinen on, että todisteet ovat ainutlaatuisia.Ei ulkopuolelta, vaan hyökkääjien omasta koneesta.Syyskuun lopussa 2026 julkisen verkon C2-palvelin. 45.227.254[.]43 Luettelo hakemistoista on avoin, joka sisältää tietopohjan, OpenCode-istuntotietokannan, Phantom-lähdekoodin ja uhri-uhri-työtilan. Sen jälkeen kokoonpano, lokit, todisteet, STRU kosketti kuusi lisää, seitsemän lisää, joista useimmat oli ripustettu AS267784(Flyserves SA.)

Numerot ovat siis kahdessa kategoriassa, ja merkitsen ne tekstiin:

Todennettavissa: istuntopalkkien lukumäärä, viestien määrä, tilin kulutus, salaustiedostojen määrä, lähderakenne - nämä ovat suoraan tiedostosta ja niillä on suurin uskottavuus.
Hyökkääjä ilmoitti siitä.Kuinka monta kohdetta, kuinka monta salasanaa, kuinka monta kotia on valloitettu - nämä ovat oman tietopohjansa tuloksia.Kukaan ei tarkistanut.Se on ainoa asia, mitä he ajattelevat.

ii. Kuka tämä jengi on? Mikä on virallista?

Socradar n luonnehdinta oli hyvin hillitty ja kolme luottamustasoa erotettiin, mikä on oppimisen arvoista:

Luota minuun.Isännät ovat aktiivisia tunkeutumis- ja taisteluasemia.
Se on iso juttu.Yhteistyökumppanit INC ja herratYhteinen toimintaympäristöEn tiedä.
Uskomatonta.Näiden kahden merkin välillä on muodollinen liitto.

Todennäköisimmät lomakkeet ovat:Toimittaja erikoistunut työkaluja ja infrastruktuuria samalla useita kiristys tuotemerkkejä.

Jos tämä on totta, se tarkoittaa paljon enemmän kuin "jengi vahvistuu" --Aaveen kykyä käytetään palveluna kiertää kiristysympäristössä.Eikä tietyn perheen henkilökohtaisia tavaroita. Niiden ihmisten määrä, jotka pystyvät siihen, kasvaa.

Operaattorin muotokuva:Venäjä, päätapahtuman aika 06:00.14:00 UTCEn tiedä. Tämä ikkuna vastaa Moskovan aikaa klo 21-17, normaali työläinen.

Kolme, kuusi vesijohtoa, joilla on ihmisen piste. Pää

Phantom kuvailee itseään "autonominen Red Team Kill Chain Framework," 18 taitomoduulit autopilotti ja itseopiskelu anent (huijattu Windows Update komponentti). Suorita avoimen lähdekoodin pääte OpenCode Mene. OpenRouter Ilmoita. anthropic/claude-opus-4.6 sekä moonshotai/kimi-k3En tiedä.

Mutta todellinen tapa juosta on kuusi osaa, joista jokainen päättyy yhteen henkilöön:

#	Vaihe	Mitä?	Mitä sinä teet?
01	Kohteen valinta	Piirrä EMS / SimpleHelp / Mail / VPN luettelo omaisuuserät FOFA	Vahvistakaa, mikä taistelu, mikä järjestys.
02	Soita sisäänkäynnille.	Luo ja vianetsintäkomennot	Päätä, mitä polkua käytät.
03	Nasta lautaan.	Alueluku, pidätysmääräys, asiakirjojen ensisijaisuus	Riskinarviointi, päätös jatkaa
04	Pakkaa ulkopuoli.	Kirjoita RevSocksin tunneli ja Restic/ RCline Transfer Command	Ei laukaisinta.
05	Hinnoittelu	Varastetut rahat arvioidaan "kuinka paljon voidaan maksaa ilman pankkia" ja lakisääteiseksi vipuvoimaksi.	Paljonko se maksaa?
06	Salaus/paine	Luo mukautetun salauksen konfiguraatio, kiristyskirjeet, äänikalastus skriptit	Olen päättänyt, etten tee sitä.

Virallinen "autonominen" on markkinointitermi. SocRadarin sanat ovat: Tämä on ensimmäinen kerta, kun voimme puhua.- Alin suoritus, manuaalinen hyväksyntä.

CSA antoi minulle lukeman, että luulin olevan paikallaan: "Tekoportti on kolme etua operaattori:

Kustannussäästöt.Mallit luovat todisteita, liioittelevat löydöstä (antrooppinen sytytti ongelman GTG-1002:ssa), ja voidaan erottaa toisistaan ja välttää sisäänkäynnin polttaminen.
Valvonta OPSEC.Oikea uhriverkosto, milloin ja kuinka vaikeaa on tulla tuomituksi.
Siirrä pullonkauloja malleista ihmisiin.Voi tuijottaa muutama rivi samaan aikaan, hyväksyä paljon nopeammin kuin kirjoittaa.

"Ihmisen hyväksymää" ei lueta "hidaaksi."133 istuntoa, 62 kohdetta, ja tätä tuotosta voi ylläpitää tiimi.

Neljä, sisäänkäynti on yhä sama. Se on jo myöhässä.

Tämä on vähiten "AI" osa koko ja kaikkein toimintakelpoisin osa.

Tekoäly nopeutti prosessia, muttaSe ei avannut ovea.En tiedä. Hyökkääjät tallensivat kaikki sisäänkäynnit Internetin reunalla (seuraavat luvut ilmoitetaan itse):

CVE	Tuotteet	Hyökkääjien tietojen tulokset
CVE-2026-3516	Fortinet FortiClitEMS-tunnistus ohitettu	2 236 tavoitetta . 108 valvojan tiliä . Tenetin pääte
CVE-2024-57727	Yksinkertainen apu RMM-polun ylitys	Tutkittu 4922. 427 järjestelmänvalvojan salasanat 242 IP vaikuttaa
CVE-2026-41940	cPanelin/WHM-tunnistuksen ohitus	Väitetty 49+ pienten talonvartijoiden tunkeutuminen
CVE-2026-15409	Sonicwall SMA1000	Meillä on lista kohteista, ei vahvistettu.

Mikään näistä ensimmäisistä reiästä ei ole uutta.Fortinet ilmoitti huhtikuussa 2026, että CVE-2026-35616 oli käytetty alalla, CISA lisäsi sen KEV 6 päivänä huhtikuuta; SimpleApp, reiässä, jossa yleissopimuksen oli antanut ilmoituksen kesäkuussa 2025, että kiristävä jengi otti sen asiakkaan alajuoksulla.

Käännös:Ovet ovat auki, koska kukaan ei sulje niitä.

Liikkuminen saapumisen jälkeen on myös rutiinia: verkkotunnusluku viittaa verkkotunnusputkeen, tarttuu todisteisiin, priorisoi rahoitus-, HR/ oikeudellinen/ toimeenpaneva tiedosto, vetää sen ulos SOCKS-tunnelin kautta päinvastoin.

Uudelleenkäyttö on suurin vahvistin.Kertomuksessa on yksi tapaus:Uudelleenkäytetty salasana VPN, palvelimen, RMM, varmuuskopio ja turvavalvonta alusta avattu.

Puolustuksen kiertämisen on tehnyt BYOVD: Quick Heal / Seqrite tappaja, joka käytti Zemana. zam64.sysEn tiedä. Hyökkääjän loki osoittaa, että vaikutus on hyvä tai huono yrityksen tasolla EDR -- tämä on todellista, mikä tarkoittaa, että EDR ei ole paperi, mutta se ei ole kaikki.

Kolme sisäänkäyntiä, kaikki vanhoja reikiä.

Viisi, paljonko rahaa käytetään, paljonko se maksaa?

Tämä osa on selvin osa "AI:n osallistumista liike-elämän harkintaan."

Kustannusten loppu:Kaksi maksua OpenRouter tilit, joista toinen maksoi $ 23,920 ja melkein näki sen jälkeen. Pohja(Vaadittu reaaliajassa 5 päivänä lokakuuta 2026). Ja seitsemän VPS:ää. Siinä kaikki.

Hinnoittelu päättyy, tekoäly tekee huonommin kuin kirjoittaminen koodi:Ota varastetut taloudelliset tiedot ja arvioi, kuinka paljon yritys voi maksaa, jos se ei järkytä pankkeja ja vakuutuksia., etsi sitten vipuvaikutus (asiakastiedot, säännösten noudattamista koskevat velvoitteet) vipuvaikutus.

Useita tapauksia on dokumentoitu:

Aidon.: 15 miljoonaa euroa, joilla toiminnanharjoittaja laski 4 miljoonaan euroon / 2,5 miljoonaan euroon, kun hän löysi väärän emoyhtiön.
Leo Schachter DiamondsNeliosainen paineposti, signeerattu herrat, äänikalastus käsikirjoitus.
Trulit- lasi ja alumiini: Väärennetty asema trulitesupport[.]com"Turvattomuusilmoitus" lähetetään suoraan uhrin asiakkaalle.
Lääketieteellinen verkosto.24 tuntia, 3-8 miljoonaa.

Paineen rytmi on kiinteä: vain tekstiviesti pomolle tai johtajalle,Ei lainausta.; sitten puhekalastus; sitten asiakkaat ja kumppanit; sitten valvonta; lopulta julkistaminen. Kesto 24-72 tuntia. Maksusuunnitelmat ovat Menrocoinissa.Ei lompakkoa, ei maksutietoja., lopullinen tulos on tuntematon.

Mitä tämä osa tarkoittaa puolustuksen:Rahanne, asiakaslistanne ja velvollisuutenne ovat osa hyökkäystä.He päättävät, paljonko he tarjoavat ja maksatko.

VI. 62 VICTIMS, EI KVALLISIA

STRU jakoi 62 nimettyä järjestöä viiteen ryhmään levinneisyyssyvyyden mukaan:

Lähtö	Syvyys	Numero
L1	Vain tiedustelua.	12
L2	Ota jalansijasi.	28
L3	Paikallistason menetys	14
L4	Syötetään salausta tai kiristystä	4
L5	Se on julkisesti ripustettu vuotokohtaan.	4

Maantieteellisesti 36 kotitaloutta Yhdysvalloissa. Teollisuus ensin.Teollisuus/teollisuus/energia 16,1%ToiseksiLääketieteellinen/lääketieteellinen 14,5%En tiedä.

Eniten tietoa on tulojen jakautuminen:35 kotitaloutta, joilla on pääsy kohteeseen, 27: llä on 250 miljoonaa dollaria.

Se on tyypillinen keskikokoinen yrityskuva.Marginalisoitu laite on alasti julkisessa verkossa, IT ulkoistettu MSP, ei ole testikyky 7x24, mutta on rahaa.MSP-linjan kautta voidaan kirjautua pieneen yritykseen.

vii. Miten ne poistettiin: muisto tekoäly

Tämä osa on mielestäni ironisin ja arvokkain osa koko mietintöä.

Tämä bisnes onnistuu.Kestävä tietopohjaTekoälyn pitkäaikainen muisto muistaa jokaisen uhrin edistymisen, varastetut todisteet, suunnitelman seuraavaa vaihetta varten. Kaikki kolme ovat palvelimella.

Siksi se kääntyi:Tietopohja + istuntoloki = täydellinen toimintatapa operandi.Siinä on lähdekoodi, tausta-asiakirjat, kuvakaappaukset (mukaan lukien käyttäjän uhrin koneella ottama SimpleApua-näyttö), sisäiset chat-tiedot (Rocket). Chat) ja keskustelu "Moscow kello kuusi huomenna?") ja 46 uhrikohtaisia salauslaitteita.

46 salauslaitetta peitti kuusi uhria, Windows ja Linux. Molemmilla oli erillinen avain ja uhrin henkilöllisyys. Kolme niistä pakattiin 30. syyskuuta ja oli valmis lähtöön 1. lokakuuta.

Salauslaitteen tekniset yksityiskohdat kannattaa muistaa: varmuuskopio, tietokanta, palveluprosessi keskeytetään;Soita Poista kopio suoralla asemalla, älä mene vssadmin;Lisää .INC pääte INC-README.txt Osoita Tor Chat -portaaliin.

On myös todisteita "sisäisestä paketista." smilefacesec@gmail.comTarkista se BlackForumsin tililtä. sm4l1st123En tiedä.Sama henkilö, rajat, sama henkilöllisyys.

He kirjoittivat kumppaneilleen. README_PARTNER.mdMainossana on "35 MCP-palvelinta, 55+ työkalua, 9K+CVE PoC."Tämä on SaaSin tuotteen kuvaus.

VIII Luettelot puolustuksista, jotka voidaan kopioida suoraan

Raportti sisältää useita suosituksia, ja määrään ne uudelleen: "Voimmeko tehdä sen tänään?"

Tänään: Tarkista, ovatko nämä neljä altistuvat julkiselle verkolle.

FortiClianteMS- Varsinkin, jos niitä on lavan takana. sysadminEn tiedä.fct_svc_*En tiedä.ems_monitor_* Tällaiset odottamattomat korkean prioriteettitilin; tarkista, että VPN liittää skriptejä ja asetustiedostoja on muutettu.
YksinkertainenHerp / MeshCentral / N-central Tämän tyyppinen RMM - laskee, laastarit, rajoittaa kuka käyttää sitä.
cPanel/WHM- erityisesti asiamies ja sen asiakkaat.
Sonicwall SMA1000— CVE-2026-15409 has been included in the list of targets.

Johdon käyttöliittymä on käytettävissä verkossa.Paikat eivät tarkoita kenttää.Hyökkääjät, jotka ovat jo sisällä, eivät jätä laastaria ja on tehtävä erillinen tarkistus.

Tällä viikolla: Murtaa "Yksi salasana"

VPN, RMM, varmuuskopio, virtualisointi, tietoturvakonsoli, erillinen tilinumero + MFA, ei uudelleenkäyttö.
Hallitse kasvokkain IP-valkoisia listoja, rajoitettu.
Ylös, LAPS ja gMSA ylläpitäjäkerroksena (väli 0/1/2).
Sama vaatimus koski merten aluesuunnittelun sisällyttämistä sopimukseen - MSP-asiakkaan uudelleenkäyttö oli sitä, mitä oli tapahtunut.

Testi: Tarkista käyttäytymistä ja rytmiä, ei vain yksi piste. Poliisi

Seuraavat säädökset on nimetty kertomuksessa, ja ne voidaan ottaa suoraan huomioon säännöissä:

Office 进程拉起 PowerShell / curl / certutil
非域控主机发起复制请求（DCSync 特征）
卷影副本里的 ntds.dit 被读取
RC4 Kerberos 服务票据异常增多
restic / rclone 向外部对象存储批量传输
非安装器进程出现 Restart Manager 会话
zam64.sys（Zemana 驱动）加载 + Quick Heal/Seqrite 服务被停

On olemassa kaksi erityistä kansainvälistä operaatiota: suunnitellut tehtävät. Etunimi RealtekAudioSvcMene takaisin valtakuntaan. iquickline[.]comEn tiedä. IP- kohta 45.227.254.xEn tiedä.77.110.109.248En tiedä.

Ei, ei.

Invertable varmuuskopio tai offline eristäminen, virtualisointi keskustietokoneen ja ydindokumenttipalvelimen on erotettu käyttäjäsegmentistä.Ensimmäinen asia salauksessa on pysäyttää varmuuskopiopalvelut ja poistaa kopiot.Se on suunnittelutavoite, ei sivuvaikutus.

Jos teet sen itse...

Tämä arkkitehtuuri...Avoimen lähdekoodin agentti Harness + MCP-työkalupalvelin + kestävä tietopohja + yhdenmukaistamismalli- Se on täsmälleen sama rakenne kuin kunnon agenttien sijoittaminen yhtiöösi.

Hallintojärjestelmä on siis myös puolustus:Istuntolokit on säilytettävä, työkalut on kutsuttava luvallisiksi ja välittäjien henkilöllisyys on jäljitettävä.

On myös malli valmistaja ja polymeeri: kun pyyntö on pakattu "Authorized Red Team Society," pyyntö tehdään mallin valmistajalle ja polymeerille.Asiayhteyden validointia koskevan valtuutuksen puuttuminen olisi katsottava pikemminkin riskiksi kuin luottamussignaaliksi.Kun hyökkääjät hylättiin, se ei ollut avoin malli.Uudelleenmuotoilu- Vaihda kaavaa kysyäksesi.

IX Kolme viimeistä virkettä

Ensimmäinen virke:Täysi automaattinen kiristys ei ole vielä saapunut, mutta yksi kerrallaan -ryhmä on saapunut.Älä käytä "AI ei voi tehdä sitä" lohduttaaksesi. Ihmisiä ei kannata korvata. Se tekee ihmisistä pullonkauloja.

Toinen virke:Tekoäly teki iskusta nopeamman, muttei helpomman.62 kohteen sisäänkäynnit ja vanhat aukot. Mallin ei pitäisi olla hermostunut, vaan hätänumerosi.

Kolmas virke:Liiketoiminnan kustannusrakenne on muuttunut.24 000 API-laskua, plus 7 VPS, tukee 133 istuntoa. Kun panos on laskenut tälle tasolle, oletus "ei tarpeeksi rasvaa, ettei kukaan taistele" räjähtää - 250 miljoonan dollarin keskikokoiset yritykset ovat ulottuvilla.

Heidän oma tekoälymuistinsa myi heidät. Se muistuttaa kaikkia agentteja siitä, että tietopohja on voimavara ja todiste.

Viimeinen virke jäi niille, jotka työskentelivät turvallisuuden puolesta: raportissa oli vain yksi lähde, eikä riippumatonta validointia ollut vielä tehty.Päätelmät voivat odottaa.