Un grup ransomware a folosit AI pentru a-și planifica atacurile, apoi și-a lăsat planul pe un server expus

O operațiune ransomware legată de afiliați ai INC Ransomware și The Gentlemen a folosit modele AI comerciale pentru a planifica intruziuni, a sorta datele furate și a redacta materiale de șantaj. Același sistem a păstrat însă o evidență detaliată a tot ce au făcut, iar această evidență se afla pe servere accesibile din internet.

Ce s-a întâmplat

La sfârșitul lui septembrie 2026, cercetătorii SOCRadar Threat Research Unit (STRU) au descoperit un server expus care conținea sesiuni de chat AI, o bază de cunoștințe comună, credențiale furate și codul sursă al unui framework de atac numit Phantom. Jurnalele, fișierele de configurare și credențialele de pe acel server i-au condus la încă șase servere expuse.

Conform investigației:

• Operatorii au folosit OpenCode ca interfață pentru modele servite prin OpenRouter. În 8.257 de mesaje din 133 de sesiuni, AI-ul a ajutat la recunoaștere, alegerea tehnicilor, generarea de comenzi, depanarea uneltelor, analiza datelor furate și redactarea mesajelor de șantaj.
• Printre modelele menționate se numără Claude Opus 4.6 și Kimi K3. Cercetătorii descriu o operațiune care s-a sprijinit pe AI, nu una condusă în întregime de AI. Oamenii au rămas implicați, iar AI-ul era instruit să aștepte aprobarea înainte de a acționa.
• Când un model refuza o cerere, operatorii o reformulau uneori ca „evaluare red-team autorizată”. A apărut și un prompt de tip „WormGPT”, dar cercetătorii spun că era doar o etichetă, nu dovada unui model separat fără restricții.
• Cheltuielile înregistrate pentru AI au depășit 23.920 USD.
• Fișierele includeau 46 de variante ale encryptorului INC pregătite pentru șase victime, atât pentru Windows, cât și pentru Linux. O captură de ecran din 30 septembrie arăta un encryptor rulând în mediul unei victime. O lansare planificată pentru 1 octombrie nu a fost confirmată.

Cum au intrat

Chiar notițele operatorilor descriu accesul prin produse de administrare și acces la distanță expuse în internet, menționând:

• FortiClient EMS: CVE-2026-35616
• SimpleHelp: CVE-2024-57727 (înregistrările menționează 242 de IP-uri afectate)
• cPanel/WHM: CVE-2026-41940

Aceste cifre provin din evidențele atacatorilor și nu au fost verificate independent. CISA a avertizat separat că actori ransomware exploatează CVE-2024-57727 în instanțe SimpleHelp neactualizate, cu risc maxim acolo unde uneltele unui furnizor de servicii sunt conectate la rețelele clienților.

Odată intrați, operatorii s-au deplasat în rețea folosind credențiale furate sau refolosite. Într-un caz, o singură parolă refolosită a deschis acces la sisteme de acces la distanță, servere și unelte de backup. Au vizat fișiere financiare, de resurse umane, juridice și ale conducerii, folosind Phantom, Ghost C2, tuneluri RevSocks și o unealtă creată pentru a interfera cu anumite produse de securitate.

De ce contează

Evidențele numeau 62 de organizații, dar doar patru fuseseră listate public pentru șantaj. Restul se aflau în etape anterioare, precum recunoașterea sau accesul inițial. Datele financiare și ale clienților furate au fost folosite pentru a stabili cererile de răscumpărare și pentru a pregăti apeluri de presiune, ceea ce arată că furtul de date poate conta la fel de mult ca criptarea.

Investigatorii nu au concluzionat că INC și The Gentlemen ar avea o alianță formală. Explicația mai probabilă este un mediu operațional comun sau un furnizor de servicii care sprijină mai mulți parteneri ransomware.

Concluzia principală: AI-ul ușurează coordonarea unor intruziuni complexe de către un grup mic, dar nu schimbă punctul de intrare. Echipamentele de margine neactualizate și parolele refolosite au rămas calea de acces.

Ce trebuie făcut

1. Actualizați mai întâi sistemele de margine și de acces la distanță. Verificați FortiClient EMS, SimpleHelp și cPanel/WHM pentru CVE-urile de mai sus și tratați orice consolă de administrare expusă ca prioritate.
2. Reduceți suprafața de administrare expusă. Puneți interfețele de administrare în spatele unui VPN sau al unor liste de acces și nu le expuneți niciodată direct.
3. Impuneți MFA pentru toată administrarea la distanță și eliminați refolosirea parolelor, mai ales pentru conturile de backup și RMM.
4. Izolați backup-urile, astfel încât un cont de domeniu sau de administrator compromis să nu le poată accesa sau șterge.
5. Urmăriți semnalele de alarmă: modificări neașteptate ale setărilor VPN sau ale conturilor, unelte noi de administrare la distanță și transferuri mari de date spre exterior.
6. Căutați indicatorii publicați (IP-uri, domenii, servicii onion și hash-uri ale encryptorului) în SIEM sau în platforma de threat intelligence.

Nu puteți actualiza o consolă de administrare despre care nu știți că este expusă. Exact acest punct orb îl acoperă serviciul nostru de Attack Surface Management: cartografiază continuu gazdele și subdomeniile expuse în internet și semnalează panourile de administrare și produsele de acces la distanță vulnerabile înainte ca recunoașterea unui atacator să le găsească.

Sursa: cercetare originală a SOCRadar Threat Research Unit (STRU), relatată de Cyber Security News.