Un répertoire d'infrastructure exposé a révélé comment des affiliés de rançongiciels ont utilisé des outils d'IA pour exécuter des intrusions sous supervision humaine, depuis l'exploitation de services exposés sur Internet jusqu'à l'organisation des données volées et la préparation des demandes d'extorsion.
Selon les résultats de SOCRadar rapportés par The Hacker News, l'opération impliquait des affiliés des groupes de rançongiciels INC et The Gentlemen. Les chercheurs ont évalué l'opérateur comme russophone et décrit un double rôle : mener des intrusions et des extorsions de données, tout en fournissant de l'infrastructure à des partenaires de l'écosystème des rançongiciels.
SOCRadar estime que 62 organisations ont été ciblées. Quatre d'entre elles sont ensuite apparues sur les sites de fuite d'INC et de The Gentlemen, mais ces listings n'établissent pas à eux seuls l'ampleur d'un vol de données. Plus de 50 % des cibles se trouvaient aux États-Unis. Les organisations des secteurs industriel, manufacturier et énergétique étaient majoritaires, suivies des organisations de santé et de l'industrie pharmaceutique.
Validation humaine, exécution par l'IA
Au cœur de l'opération se trouvait Phantom, décrit comme un « Autonomous Red Team Kill Chain Framework ». Malgré ce nom, le flux de travail observé reposait sur une supervision humaine : un opérateur fournissait une invite propre à chaque victime et examinait chaque étape, tandis qu'OpenCode exécutait les tâches d'intrusion à l'aide de modèles commerciaux hébergés via OpenRouter.
Le répertoire exposé contenait 8 257 messages répartis sur 133 sessions. Lorsque les modèles refusaient les requêtes, l'opérateur les présentait comme des évaluations red team autorisées plutôt que de simplement changer de modèle, selon le rapport. Des bases de connaissances gérées par l'IA suivaient les victimes, les identifiants compromis et l'avancement des campagnes.
Phantom prenait en charge 18 modules de compétences couvrant des activités telles que la reconnaissance, la rétro-ingénierie binaire, la recherche d'exploits, la stéganographie, l'évaluation de la télémétrie et l'empreinte des EDR. Son agent récupérait des tâches auprès d'un serveur externe, exécutait des commandes et renvoyait les résultats.
Exploitation de la périphérie, puis réutilisation d'identifiants
Les enregistrements de l'opérateur distinguaient les vulnérabilités utilisées pour l'accès des capacités encore en préparation. Ils consignaient l'exploitation active de la faille de traversée de répertoires (path traversal) de SimpleHelp CVE-2024-57727, de la vulnérabilité de FortiClient EMS CVE-2026-35616 et du contournement d'authentification de cPanel/WHM CVE-2026-41940.
La faille SimpleHelp permet à des attaquants non authentifiés de télécharger des fichiers arbitraires au moyen de requêtes HTTP forgées, ce qui peut exposer des secrets de configuration et des mots de passe hachés. Pour FortiClient EMS, la fiche CVE fournie par Fortinet identifie les versions 7.4.5 à 7.4.6 comme affectées par un contrôle d'accès inadéquat pouvant permettre l'exécution non authentifiée de code ou de commandes non autorisés.
D'autres entrées n'ont pas permis d'établir une exploitation réussie dans le cadre de cette opération. La vulnérabilité SSRF de SonicWall SMA 1000 CVE-2026-15409 a été préparée pour être ciblée, sans compromission confirmée. Les enregistrements décrivaient l'exploit WordPress « wp2shell », CVE-2026-63030, comme développé, tandis que l'injection SQL LiteLLM CVE-2026-42208 et l'injection SQL Drupal CVE-2026-9082 étaient développées ou référencées.
Après avoir obtenu l'accès, les opérateurs ont énuméré les domaines, cherché à obtenir des privilèges d'administrateur de domaine, récolté des identifiants à l'aide d'outils de vol d'informations (stealers) et établi une persistance. Ils ont priorisé les fichiers de finance, de RH, juridiques et de direction, en collectant les données via des tunnels reverse-SOCKS avant d'escalader vers le déploiement d'un rançongiciel.
La réutilisation d'identifiants a considérablement élargi l'accès. Dans un cas documenté, un seul mot de passe réutilisé a donné accès au VPN, aux serveurs, aux outils de supervision et de gestion à distance, aux systèmes de sauvegarde et aux plateformes de gestion de la sécurité, a indiqué SOCRadar.
Implants, tunnels et interférences avec les outils de sécurité
La boîte à outils de soutien comprenait WormGPT-MCP, un ensemble de 32 serveurs Model Context Protocol reliant le système d'IA à 32 modules couvrant de la reconnaissance jusqu'à l'extorsion. Ghost C2 comprenait trois générations d'implants polymorphes qui utilisaient Cloudflare, Telegram ou DNS pour communiquer avec l'infrastructure distante, recevoir des tâches et maintenir des balises persistantes.
RevSocks fournissait des tunnels SOCKS5 inversés pour le mouvement latéral et préparait les données destinées à l'exfiltration. Parmi les autres composants figuraient l'agent Mythic QuickLine, placé derrière Cloudflare, ainsi que les programmes d'exfiltration rks3 et BackupAgent.
Les opérateurs ont aussi tenté d'affaiblir la protection des postes de travail, par un contournement au niveau du loader et au moyen d'un killer d'EDR Quick Heal/Seqrite qui abusait du pilote Zemana zam64.sys dans une attaque de type « bring-your-own-vulnerable-driver ». Leurs propres journaux ont enregistré des résultats mitigés contre les produits EDR d'entreprise.
L'analyse financière a façonné les demandes d'extorsion
Des dizaines d'enregistrements d'extorsion rédigés par IA montraient que les opérateurs examinaient les informations financières volées afin d'estimer ce que les victimes pouvaient payer sans impliquer de banque ni d'assureur. Ils recouraient ensuite à des échantillons de preuves masqués, à des appels de vishing scriptés et à des menaces de contacter clients, partenaires et régulateurs afin d'accroître la pression.
Le rapport décrivait des délais de 24 à 72 heures, suivis de la publication des données volées lorsque les demandes restaient impayées. Les conséquences financières restent inconnues : les chercheurs n'ont retrouvé aucun portefeuille de cryptomonnaie ni aucun justificatif de paiement permettant d'établir si les victimes avaient payé.
