Expertos en ciberseguridad han detectado un ecosistema de intrusión basado en inteligencia artificial (IA) que es administrado por afiliados de los grupos de ransomware INC y The Gentlemen. El eje de la operación es un framework de kill chain autónomo para red team conocido como Phantom. Según la evaluación, el actor de amenazas es de habla rusa y cumple un doble rol: por un lado ejecuta intrusiones y extorsión de datos, y por otro provee infraestructura a diversos socios del ecosistema de ransomware.
De acuerdo con SOCRadar, los operadores explotaron de forma masiva sistemas perimetrales y de acceso remoto, entre ellos FortiClient EMS, SimpleHelp, cPanel y pasarelas VPN. Además, emplearon bases de conocimiento gestionadas por IA para llevar el seguimiento de las víctimas, las credenciales robadas y el avance de las campañas.
Un rasgo distintivo de la campaña es su esquema operativo 'ejecutado por IA y aprobado por humanos': un operador humano entrega un prompt específico para cada víctima y revisa cada paso, mientras que las intrusiones se ejecutan mediante OpenCode con modelos comerciales alojados en OpenRouter. El examen de un directorio expuesto en 45.227.254[.]43 reveló que la actividad registró 8.257 mensajes en 133 sesiones. Cuando los modelos se negaban a actuar ante las peticiones, el operador reformulaba las solicitudes como una evaluación de red team autorizada, en lugar de simplemente cambiar de modelo.
El acceso inicial se consigue explotando a gran escala dispositivos perimetrales expuestos a Internet; después, los atacantes se desplazan lateralmente, establecen persistencia, exfiltran datos y escalan hasta el despliegue de ransomware. Los registros de los operadores indican que los ataques implican la explotación de las siguientes vulnerabilidades:
- CVE-2024-57727 (path traversal en SimpleHelp) (explotación activa)
- CVE-2026-35616 (bypass de autenticación en Fortinet FortiClient) (explotación activa)
- CVE-2026-41940 (bypass de autenticación en cPanel/WHM) (explotación activa)
- CVE-2026-15409 (SSRF en SonicWall SMA 1000) (preparada para ataque, sin compromiso confirmado)
- CVE-2026-63030 (WordPress wp2shell) (desarrollada)
- CVE-2026-42208 (inyección SQL en LiteLLM) (desarrollada o referenciada)
- CVE-2026-9082 (inyección SQL en Drupal) (desarrollada o referenciada)
SOCRadar señala que, una vez dentro, los operadores siguieron un ciclo de vida recurrente: enumerar el dominio, escalar a administrador de dominio cuando fuera posible, recolectar credenciales con herramientas de robo, priorizar archivos financieros, de recursos humanos, legales y ejecutivos, y recopilarlos a través de túneles SOCKS inversos. La reutilización de credenciales fue el principal multiplicador de fuerza; en un caso, una única contraseña reutilizada permitió acceder simultáneamente a la VPN, servidores, RMM, copias de seguridad y plataformas de gestión de seguridad. Los productos de seguridad fueron degradados con un killer BYOVD y evasión a nivel de cargador, aunque los propios registros de los operadores recogen resultados mixtos contra EDR empresariales.
El actor de amenazas se apoya en un conjunto de herramientas diverso que incluye marcos personalizados, herramientas de código abierto modificadas y binarios compilados:
- Phantom: marco de seguridad ofensiva y pruebas de penetración impulsado por IA, desplegado en operaciones reales mediante OpenCode, que emplea un agente que se comunica con un servidor externo para recibir tareas, ejecutar comandos y devolver resultados. Soporta 18 módulos de habilidades para facilitar el reconocimiento, la ingeniería inversa de binarios, la investigación de exploits, la esteganografía, la evaluación de telemetría y la identificación de EDR, entre otras.
- WormGPT-MCP: conjunto de 32 servidores del Model Context Protocol (MCP) que conectan el sistema de IA con 32 módulos distintos que abarcan funciones desde el reconocimiento hasta la extorsión.
- Ghost C2: colección de tres generaciones de implantes polimórficos que se comunican con un servidor remoto a través de Cloudflare, Telegram o DNS, y ejecutan tareas y mantienen balizas persistentes en los endpoints comprometidos.
- RevSocks: marco SOCKS5 inverso utilizado para pivotar dentro de las redes víctimas y preparar datos para la exfiltración.
Otras herramientas incluyen un agente Mythic con frontend de Cloudflare denominado QuickLine, un killer de EDR Quick Heal/Seqrite que abusa del controlador Zemana ('zam64.sys') como parte de un ataque BYOVD, y programas de exfiltración como rks3 y BackupAgent.
El análisis de decenas de registros de extorsión generados por IA muestra que los actores de amenazas adoptan un enfoque centrado en los datos. Esto implica examinar los estados financieros robados para determinar la cantidad que una víctima puede pagar sin tener que involucrar a un banco o aseguradora, y luego enviar muestras de prueba enmascaradas y aumentar la presión mediante llamadas de vishing guionizadas y amenazas de notificar a clientes, socios y reguladores. Los datos robados se publican finalmente en el sitio de filtraciones si la víctima no paga dentro de un plazo de 24 a 72 horas. No obstante, el resultado final de estas demandas de rescate es desconocido, ya que no se ha recuperado ninguna cartera de criptomonedas ni registro de pago.
Se estima que un total de 62 organizaciones han sido objetivo de la operación, de las cuales cuatro acabaron listadas en los sitios de filtraciones de INC y The Gentlemen. Estados Unidos representa más del 50% de los objetivos. Los ataques se dirigieron principalmente a los sectores industrial, manufacturero y energético, seguidos de organizaciones sanitarias y farmacéuticas.
En esta infraestructura expuesta, los actores llevaron a cabo una explotación generalizada de servicios de Internet expuestos, dirigida específicamente a pasarelas FortiClient EMS, pasarelas Ivanti/Citrix/SonicWall/OpenVPN, servidores de gestión remota SimpleHelp y controles de alojamiento cPanel. Simultáneamente, orquestaron operaciones mediante el marco Phantom, establecieron proxies SOCKS inversos RevSocks para el pivoteo de red, desplegaron variantes de Ghost C2 y utilizaron bases de conocimiento gestionadas por IA para registrar meticulosamente la telemetría de las víctimas, las credenciales comprometidas y los estados activos de las campañas.
Deja una respuesta