Cybersecurityonderzoekers hebben een door kunstmatige intelligentie (AI) aangedreven inbraak-ecosysteem ontdekt dat wordt beheerd door affiliates van de ransomwaregroepen INC en The Gentlemen.
Centrale component van de operatie is een “Autonomous Red Team Kill Chain Framework” dat Phantom wordt genoemd. De dreigingsactor wordt beoordeeld als Russischtalig en fungeert zowel als een inbraak- en gegevensafpersingsoperator als een infrastructuurprovider die verschillende partners binnen het ransomware-ecosysteem ondersteunt.
“De operators misbruikten op grote schaal edge- en externe-toegangsapparaten, waaronder FortiClient EMS, SimpleHelp, cPanel en VPN-gateways,” zei SOCRadar. “Ze gebruikten door AI beheerde kennisbanken om slachtoffers, gestolen inloggegevens en de voortgang van campagnes bij te houden.”
Een opvallend kenmerk van de campagne is de “AI-uitgevoerde, door mensen goedgekeurde structuur”, waarbij een menselijke operator een slachtoffer-specifieke prompt aanlevert en elke stap beoordeelt, terwijl de inbraken zelf worden uitgevoerd via OpenCode met commercieel gehoste modellen via OpenRouter.
Een onderzoek van de blootgestelde directory op 45.227.254[.]43 toonde aan dat de activiteit 8.257 berichten over 133 sessies heeft gelogd. Mocht een model weigeren om op een prompt te reageren, dan heeft de operator soms het verzoek herschreven als een geautoriseerde red team-beoordeling in plaats van simpelweg van model te wisselen.
De initiële toegang wordt verkregen door publiek toegankelijke edge-apparaten op grote schaal te misbruiken, waarna de aanvallers lateraal bewegen, persistentie vestigen, gegevens exfiltreren en escaleren richting het inzetten van ransomware. Operatorlogboeken geven aan dat de aanvallen de uitbuiting van de volgende kwetsbaarheden omvatten –
“Eenmaal binnen volgden de operators een terugkerende levenscyclus: het domein inventariseren, waar mogelijk escaleren naar domeinbeheerder, inloggegevens oogsten met stealer-tooling, prioriteit geven aan financiële, HR-, juridische en bestuursbestanden en deze verzamelen via reverse-SOCKS-tunnels,” zei SOCRadar.
“Herbruik van inloggegevens was de belangrijkste vermenigvuldiger; in één geval opende één hergebruikt wachtwoord tegelijkertijd de VPN, servers, RMM, back-up- en beveiligingsbeheersplatforms. Beveiligingsproducten werden verstoord met een BYOVD-killer en laadevasive technieken op loader-niveau, hoewel de operators in hun eigen logs wisselende resultaten tegen enterprise EDR’s noteerden.”
De dreigingsactor wordt ondersteund door een divers arsenaal aan aangepaste frameworks, gewijzigde open-source tools en gecompileerde binaries –
- Phantom, een door AI aangedreven offensief security- en penetratietestframework dat in live-operaties via OpenCode wordt ingezet en een agent gebruikt die met een externe server communiceert om taken op te halen, opdrachten uit te voeren en outputs terug te sturen. Het ondersteunt 18 skill-modules om verkenning, binaire reverse-engineering, exploit-onderzoek, steganografie, telemetrie-assessment en EDR-fingerprinting te faciliteren, onder andere.
- WormGPT-MCP, een verzameling van 32 Model Context Protocol (MCP)-servers die het AI-systeem verbinden met 32 verschillende modules die functies bestrijken van verkenning tot afpersing.
- Ghost C2, een collectie van drie generaties polymorfe implantaten die communiceren met een externe server via Cloudflare, Telegram of DNS, en taakuitvoering doen en persistente beacons onderhouden op gecompromitteerde endpoints.
- RevSocks, een reverse SOCKS5-framework dat wordt gebruikt om binnen slachtoffernetwerken te pivoteren en data klaar te zetten voor exfiltratie.
Andere tools omvatten een Cloudflare-voorgeplaatste Mythic-agent genaamd QuickLine, een Quick Heal/Seqrite EDR-killer die misbruik maakt van de Zemana-driver (“zam64.sys”) als onderdeel van een BYOVD-aanval, en exfiltratieprogramma’s zoals rks3 en BackupAgent.
Analyse van tientallen door AI opgestelde afpersingsdossiers laat zien dat de dreigingsactoren een data-gecentreerde aanpak hanteren. Dit omvat het onderzoeken van de gestolen financiële gegevens om te bepalen welk bedrag een slachtoffer kan betalen zonder een bank of verzekeraar te hoeven betrekken, het vervolgens verzenden van afgeschermde bewijsmateriaalmonsters en het opvoeren van de druk via gescripte vishing-calls en dreigementen om klanten, partners en toezichthouders te informeren.
De gestolen gegevens worden uiteindelijk gepubliceerd op de data-lekwebsite als het slachtoffer niet binnen een termijn van 24–72 uur betaalt. De uiteindelijke uitkomsten van deze losgeldclaims zijn echter onbekend, omdat er geen cryptocurrency-wallet of betalingsbewijs is teruggevonden.
In totaal wordt geschat dat 62 organisaties door de operatie zijn beoogd, waarvan er vier uiteindelijk op de data-leksites van INC en The Gentlemen zijn geplaatst. De VS vormen meer dan 50% van de doelwitten. De aanvallen waren vooral gericht op de industrie-, productie- en energiesector, gevolgd door zorg- en farmaceutische organisaties.
“Binnen deze blootgestelde infrastructuur voerden de actoren wijdverspreide exploitatie van blootgestelde internetdiensten uit, met name gericht op FortiClient EMS-gateways, Ivanti/Citrix/SonicWall/OpenVPN-gateways, SimpleHelp remote management-servers en cPanel hosting-controles,” zei SOCRadar.
“Tegelijkertijd orkestreerden ze operaties via het Phantom-framework, richtten RevSocks reverse-SOCKS-proxy’s op voor netwerkpivoting, zetten Ghost C2-varianten in en gebruikten door AI beheerde kennisbanken om nauwgezet slachtoffertelemetrie, gecompromitteerde inloggegevens en actieve campagnestatussen te loggen.”
