Un directorio de infraestructura expuesto ha revelado cómo los afiliados de ransomware usaron herramientas de IA para ejecutar intrusiones bajo supervisión humana, desde la explotación de servicios accesibles desde internet hasta la organización de los datos robados y la preparación de las exigencias de extorsión.
Según los hallazgos de SOCRadar publicados por The Hacker News, la operación involucraba a afiliados de los grupos de ransomware INC y The Gentlemen. Los investigadores consideraron que el operador hablaba ruso y describieron un doble papel: ejecutar intrusiones y extorsiones de datos, al tiempo que proporcionaba infraestructura a socios de todo el ecosistema de ransomware.
SOCRadar estimó que se habían atacado 62 organizaciones. Cuatro de ellas aparecieron después en los sitios de filtración de INC y The Gentlemen, aunque esas publicaciones no establecen por sí solas el alcance de ningún robo. Más del 50 % de los objetivos estaban en Estados Unidos. Predominaban las organizaciones industriales, manufactureras y energéticas, seguidas de las del sector sanitario y farmacéutico.
Aprobación humana, ejecución por IA
En el centro de la operación estaba Phantom, descrito como un «Autonomous Red Team Kill Chain Framework». A pesar de ese nombre, el flujo de trabajo observado dependía de la supervisión humana: un operador proporcionaba un prompt específico para cada víctima y revisaba cada paso, mientras OpenCode ejecutaba las tareas de intrusión con modelos comerciales alojados en OpenRouter.
El directorio expuesto contenía 8257 mensajes distribuidos en 133 sesiones. Cuando los modelos rechazaban las solicitudes, el operador las replanteaba como evaluaciones autorizadas de red team, en lugar de limitarse a cambiar de modelo, según el informe. Unas bases de conocimiento gestionadas por IA registraban las víctimas, las credenciales comprometidas y el avance de las campañas.
Phantom admitía 18 módulos de habilidades que cubrían actividades como el reconocimiento, la ingeniería inversa de binarios, la investigación de exploits, la esteganografía, la evaluación de telemetría y la identificación de EDR. Su agente obtenía las tareas de un servidor externo, ejecutaba los comandos y devolvía los resultados.
Explotación de servicios perimetrales seguida de reutilización de credenciales
Los registros del operador distinguían las vulnerabilidades usadas para acceder de las capacidades que aún se estaban preparando. Registraron la explotación activa de la vulnerabilidad de path traversal en SimpleHelp CVE-2024-57727, de la vulnerabilidad en FortiClient EMS CVE-2026-35616 y de la omisión de autenticación en cPanel/WHM CVE-2026-41940.
El fallo de SimpleHelp permite a atacantes no autenticados descargar archivos arbitrarios mediante solicitudes HTTP diseñadas a tal efecto, lo que podría exponer secretos de configuración y contraseñas con hash. En el caso de FortiClient EMS, el registro CVE proporcionado por Fortinet identifica como afectadas las versiones 7.4.5 a 7.4.6 por un control de acceso inadecuado que podría permitir la ejecución no autenticada de código o comandos no autorizados.
Otras entradas no confirmaron una explotación exitosa en esta operación. La vulnerabilidad SSRF de SonicWall SMA 1000 CVE-2026-15409 fue preparada como objetivo, sin que se confirmara ningún compromiso. Los registros describían como desarrollado el exploit «wp2shell» de WordPress, CVE-2026-63030, mientras que la inyección SQL en LiteLLM CVE-2026-42208 y la inyección SQL en Drupal CVE-2026-9082 se habían desarrollado o solo se mencionaban.
Tras obtener acceso, los operadores enumeraron dominios, buscaron privilegios de administrador de dominio, recopilaron credenciales con herramientas de robo y establecieron persistencia. Priorizaron los archivos de finanzas, recursos humanos, legal y dirección, y recopilaron datos a través de túneles reverse SOCKS antes de escalar hacia el despliegue de ransomware.
La reutilización de credenciales amplió considerablemente el acceso. En un caso documentado, una sola contraseña reutilizada permitió entrar en la VPN, los servidores, las herramientas de monitorización y gestión remotas, los sistemas de copia de seguridad y las plataformas de gestión de seguridad, según SOCRadar.
Implantes, túneles e interferencia con herramientas de seguridad
El conjunto de herramientas de apoyo incluía WormGPT-MCP, un conjunto de 32 servidores Model Context Protocol que conectaban el sistema de IA con 32 módulos que abarcaban desde el reconocimiento hasta la extorsión. Ghost C2 comprendía tres generaciones de implantes polimórficos que usaban Cloudflare, Telegram o DNS para comunicarse con la infraestructura remota, recibir tareas y mantener balizas persistentes.
RevSocks proporcionaba túneles reverse SOCKS5 para el movimiento interno y preparaba los datos para su exfiltración. Otros componentes incluían el agente Mythic QuickLine, con Cloudflare como frontal, y los programas de exfiltración rks3 y BackupAgent.
Los operadores también intentaron debilitar la protección de los endpoints mediante evasión a nivel de loader y un killer de EDR de Quick Heal/Seqrite que abusaba del driver vulnerable de Zemana zam64.sys en un ataque de tipo bring-your-own-vulnerable-driver. Sus propios registros reflejaban resultados dispares frente a productos EDR empresariales.
El análisis financiero marcó las exigencias de extorsión
Decenas de registros de extorsión redactados con IA mostraban que los operadores examinaban la información financiera robada para estimar cuánto podían pagar las víctimas sin que interviniera un banco o una aseguradora. Después utilizaban muestras de prueba enmascaradas, llamadas de vishing con guion y amenazas dirigidas a clientes, socios y reguladores para aumentar la presión.
El informe describía plazos de 24 a 72 horas, seguidos de la publicación de los datos robados cuando las exigencias no se pagaban. Los resultados financieros siguen siendo desconocidos: los investigadores no recuperaron ninguna cartera de criptomonedas ni registro de pago que establezca si las víctimas pagaron.
