Una directory di infrastruttura esposta ha rivelato come gli affiliati di ransomware abbiano usato strumenti di IA per eseguire intrusioni sotto supervisione umana, dallo sfruttamento dei servizi esposti su internet all'organizzazione dei dati rubati fino alla preparazione delle richieste di estorsione.
Secondo i risultati di SOCRadar riportati da The Hacker News, l'operazione coinvolgeva affiliati dei gruppi ransomware INC e The Gentlemen. I ricercatori ritenevano che l'operatore fosse di lingua russa e ne descrivevano un doppio ruolo: condurre intrusioni ed estorsioni di dati, e al tempo stesso fornire infrastrutture a partner dell'ecosistema ransomware.
SOCRadar stimava che fossero state prese di mira 62 organizzazioni. Quattro di queste sono successivamente comparse sui siti di leak di INC e The Gentlemen, ma tali inserzioni non stabiliscono di per sé la portata di eventuali furti. Più del 50% dei bersagli si trovava negli Stati Uniti. Prevalevano le organizzazioni industriali, manifatturiere ed energetiche, seguite da quelle sanitarie e farmaceutiche.
Approvazione umana, esecuzione affidata all'IA
Al centro dell'operazione c'era Phantom, descritto come un “framework autonomo per kill chain di red team”. Nonostante questo nome, il flusso di lavoro osservato si basava sulla supervisione umana: un operatore forniva un prompt specifico per ciascuna vittima e verificava ogni passaggio, mentre OpenCode eseguiva i compiti di intrusione usando modelli commerciali ospitati su OpenRouter.
La directory esposta conteneva 8.257 messaggi distribuiti su 133 sessioni. Quando i modelli rifiutavano le richieste, secondo il rapporto l'operatore le riformulava come valutazioni red team autorizzate, anziché limitarsi a cambiare modello. Basi di conoscenza gestite dall'IA tenevano traccia delle vittime, delle credenziali compromesse e dell'avanzamento delle campagne.
Phantom supportava 18 moduli di competenza che coprivano attività come ricognizione, reverse engineering di binari, ricerca di exploit, steganografia, valutazione della telemetria e fingerprinting degli EDR. Il suo agente recuperava le attività da un server esterno, eseguiva i comandi e restituiva i risultati.
Sfruttamento dei servizi esposti, seguito dal riutilizzo delle credenziali
I record degli operatori distinguevano le vulnerabilità usate per l'accesso dalle capacità ancora in preparazione. Vi era registrato lo sfruttamento attivo della vulnerabilità di path traversal in SimpleHelp CVE-2024-57727, della vulnerabilità in FortiClient EMS CVE-2026-35616 e del bypass di autenticazione in cPanel/WHM CVE-2026-41940.
La falla in SimpleHelp consente ad aggressori non autenticati di scaricare file arbitrari tramite richieste HTTP appositamente costruite, esponendo potenzialmente segreti di configurazione e password con hash. Per FortiClient EMS, la scheda CVE fornita da Fortinet indica come vulnerabili le versioni dalla 7.4.5 alla 7.4.6, a causa di un controllo degli accessi inadeguato che potrebbe consentire l'esecuzione non autenticata di codice o comandi non autorizzati.
Altre voci non stabilivano un exploit riuscito in questa operazione. La vulnerabilità SSRF in SonicWall SMA 1000 CVE-2026-15409 è stata predisposta per essere presa di mira, senza alcuna compromissione confermata. I record descrivevano come sviluppata la vulnerabilità WordPress “wp2shell”, CVE-2026-63030, mentre l'SQL injection in LiteLLM CVE-2026-42208 e quella in Drupal CVE-2026-9082 risultavano sviluppate o solo menzionate.
Una volta ottenuto l'accesso, gli operatori enumeravano i domini, cercavano privilegi di amministratore di dominio, raccoglievano credenziali con strumenti stealer e stabilivano la persistenza. Davano priorità ai file di finanza, risorse umane, legale e dirigenza, raccogliendo dati attraverso tunnel reverse-SOCKS prima di passare alla distribuzione del ransomware.
Il riutilizzo delle credenziali ha ampliato notevolmente l'accesso. In un caso documentato, una sola password riutilizzata ha aperto VPN, server, strumenti di monitoraggio e gestione remota, sistemi di backup e piattaforme di gestione della sicurezza, ha dichiarato SOCRadar.
Implant, tunnel e interferenze con gli strumenti di sicurezza
Il toolkit di supporto includeva WormGPT-MCP, un insieme di 32 server Model Context Protocol che collegavano il sistema di IA a 32 moduli, dalla ricognizione all'estorsione. Ghost C2 comprendeva tre generazioni di implant polimorfici che usavano Cloudflare, Telegram o DNS per comunicare con l'infrastruttura remota, ricevere attività e mantenere beacon persistenti.
RevSocks forniva tunnel SOCKS5 inversi per il movimento laterale interno e la preparazione dei dati da esfiltrare. Altri componenti includevano l'agente Mythic QuickLine, con front-end su Cloudflare, e i programmi di esfiltrazione rks3 e BackupAgent.
Gli operatori tentavano anche di compromettere la protezione degli endpoint tramite evasione a livello di loader e un killer di EDR di Quick Heal/Seqrite che abusava del driver vulnerabile Zemana zam64.sys in un attacco di tipo bring-your-own-vulnerable-driver. I loro stessi log registravano risultati contrastanti contro i prodotti EDR aziendali.
L'analisi finanziaria orienta le richieste di estorsione
Decine di record di estorsione generati con l'IA mostravano che gli operatori esaminavano le informazioni finanziarie rubate per stimare quanto le vittime potessero pagare senza coinvolgere una banca o un assicuratore. Usavano poi campioni di prova mascherati, chiamate di vishing scriptate e minacce di contattare clienti, partner e autorità di regolamentazione per aumentare la pressione.
Il rapporto descriveva scadenze di 24–72 ore, seguite dalla pubblicazione dei dati rubati quando le richieste restavano non pagate. Gli esiti finanziari restano sconosciuti: i ricercatori non hanno recuperato alcun portafoglio di criptovalute né registrazioni di pagamento che stabilissero se le vittime avessero pagato.
