O infrastructură expusă a dezvăluit un ecosistem de intruziune asistat de inteligență artificială, folosit de afiliați ai grupărilor ransomware INC și The Gentlemen. SOCRadar estimează că operațiunea a vizat 62 de organizații, combinând exploatarea sistemelor accesibile din internet cu agenți AI controlați și validați de operatori umani.
În centrul operațiunii se află Phantom, un cadru de „lanț autonom de atac al unei echipe roșii”. Actorul, evaluat ca rusofon, ar funcționa atât ca operator de intruziune și extorcare, cât și ca furnizor de infrastructură pentru parteneri din ecosistemul ransomware.
Phantom automatizează execuția, nu decizia finală
Modelul de operare este descris drept „executat de AI, aprobat de oameni”: operatorul furnizează un prompt adaptat victimei și verifică fiecare etapă, în timp ce intruziunile sunt realizate prin OpenCode, cu modele comerciale găzduite de OpenRouter. Într-un director expus la 45.227.254[.]43, cercetătorii au identificat 8.257 de mesaje înregistrate în 133 de sesiuni.
Jurnalele arată și cum operatorii încercau să ocolească refuzurile modelelor: în loc să schimbe modelul, reformulau cererea ca pe o evaluare autorizată de tip red team. Phantom include un agent care preia sarcini de la un server extern, execută comenzi și returnează rezultatele, precum și 18 module pentru recunoaștere, inginerie inversă a binarelor, cercetarea exploatărilor, steganografie și evaluarea telemetriei ori a soluțiilor EDR.
Ecosistemul mai cuprinde WormGPT-MCP, o suită de 32 de servere Model Context Protocol care conectează sistemul AI la module pentru activități de la recunoaștere până la extorcare. Ghost C2 oferă trei generații de implanturi polimorfice, care comunică prin Cloudflare, Telegram sau DNS și mențin semnalizări persistente pe dispozitivele compromise.
De la sisteme expuse la acces în rețeaua internă
Accesul inițial s-a bazat pe exploatarea la scară largă a echipamentelor edge și a sistemelor de acces la distanță, inclusiv FortiClient EMS, SimpleHelp, cPanel și gateway-uri VPN. SOCRadar menționează și gateway-uri Ivanti, Citrix, SonicWall și OpenVPN, precum și infrastructură SimpleHelp și panouri de administrare cPanel expuse internetului.
În registrele operatorilor apar trei vulnerabilități exploatate activ: CVE-2024-57727, traversare de directoare în SimpleHelp; CVE-2026-35616, ocolirea autentificării în Fortinet FortiClient; și CVE-2026-41940, ocolirea autentificării în cPanel/WHM. CVE-2026-15409, o vulnerabilitate SSRF în SonicWall SMA 1000, era pregătită pentru vizare, fără compromitere confirmată.
Alte trei vulnerabilități erau în stadiu de dezvoltare sau referință: CVE-2026-63030, wp2shell pentru WordPress; CVE-2026-42208, injecție SQL în LiteLLM; și CVE-2026-9082, injecție SQL în Drupal. După acces, atacatorii inventariau domeniul, încercau să obțină privilegii de administrator de domeniu, furau acreditări și căutau cu prioritate documente financiare, de resurse umane, juridice și ale conducerii.
Parolele reutilizate au deschis calea către extorcare
SOCRadar descrie reutilizarea acreditărilor drept principalul multiplicator al atacului: într-un caz, o singură parolă folosită pe mai multe sisteme a deschis accesul la VPN, servere, platforme RMM, copii de siguranță și instrumente de administrare a securității. Pentru deplasarea laterală și pregătirea exfiltrării, atacatorii au folosit tuneluri reverse-SOCKS, inclusiv cadrul RevSocks.
Trusa tehnică mai include agentul Mythic QuickLine, ascuns în spatele Cloudflare, și un instrument de dezactivare a EDR-ului Quick Heal/Seqrite. Acesta abuzează de driverul Zemana „zam64.sys” într-un atac BYOVD, prin care este folosit un driver vulnerabil pentru a slăbi protecțiile; jurnalele atacatorilor consemnează însă rezultate mixte împotriva soluțiilor EDR de întreprindere.
Pentru colectarea și transferul datelor sunt menționate programele rks3 și BackupAgent, pe lângă implanturile Ghost C2. Analiza zecilor de înregistrări de extorcare redactate cu AI indică o abordare centrată pe date: operatorii evaluau situația financiară a victimei pentru a estima cât ar putea plăti fără implicarea unei bănci sau a unui asigurător.
Ce ar trebui să verifice organizațiile din România și UE
Victimelor li se trimiteau mostre mascate de date, apoi presiunea creștea prin apeluri de vishing redactate după scenarii și amenințări cu informarea clienților, partenerilor și autorităților de reglementare. Dacă plata nu era făcută în 24–72 de ore, datele erau publicate pe un site de scurgeri; rezultatul final al solicitărilor rămâne necunoscut, deoarece nu au fost găsite portofele de criptomonede sau dovezi ale plăților.
Din cele 62 de organizații estimate ca ținte, patru au ajuns listate pe site-urile de scurgeri asociate INC și The Gentlemen. Peste jumătate dintre ținte se aflau în Statele Unite, iar sectoarele vizate cu prioritate au fost industria, producția și energia, urmate de sănătate și farmaceutice; sursa nu indică victime românești sau europene confirmate.
Pentru companiile și instituțiile din România și UE, riscul concret ține de expunerea serviciilor de administrare, de parolele reutilizate și de folosirea unor instrumente care pot traversa rețeaua după compromiterea inițială. Echipele IT ar trebui să inventarieze și să limiteze accesul la gateway-uri și panouri de administrare, să aplice remedierile disponibile pentru produsele afectate și să rotească parolele reutilizate, cu autentificare multifactor unde este posibil.
Organizațiile ar trebui, de asemenea, să segmenteze sistemele critice și copiile de siguranță, să verifice logurile pentru conturi privilegiate, tuneluri reverse-SOCKS și conexiuni neobișnuite prin DNS, Telegram sau Cloudflare. Telemetria EDR trebuie corelată cu încărcarea de drivere precum „zam64.sys”, iar planurile de răspuns la incidente ar trebui să includă conservarea probelor și gestionarea coordonată a unei eventuale exfiltrări de date.
