SOCRadar раскрыла применение AI-агентов в атаках вымогателей
SOCRadar обнаружила инфраструктуру партнёров вымогательских группировок INC и The Gentlemen, где AI-фреймворк Phantom применялся для выполнения вторжений. В открытом каталоге на сервере исследователи нашли 8 257 сообщений из 133 сессий, а всего с этой операцией связали 62 организации; четыре из них позднее появились на сайтах утечек данных INC и The Gentlemen.
Исследователи считают операторов русскоязычными. Они совмещали функции исполнителей вторжений и вымогательства с ролью поставщика инфраструктуры для других участников экосистемы ransomware. Более половины целей находилось в США, а основными секторами стали промышленность, производство и энергетика; также затрагивались здравоохранение и фармацевтика.
Как AI-фреймворк встраивали в атаку
Phantom описывается как Autonomous Red Team Kill Chain Framework. Оператор формулировал запрос для конкретной жертвы и проверял каждый этап, а команды выполнялись через OpenCode с коммерческими моделями, размещёнными через OpenRouter. Такая схема, по оценке SOCRadar, сочетала автоматическое исполнение с человеческим утверждением действий.
Если модель отказывалась выполнять запрос, операторы не обязательно переходили к другой модели. В журналах видно, что они переформулировали задачу как санкционированную проверку red team. Phantom взаимодействовал с внешним сервером, получал задания, выполнял команды и возвращал результаты. В составе фреймворка заявлены 18 модулей для разведки, обратной разработки бинарных файлов, исследования эксплойтов, стеганографии, оценки телеметрии и выявления EDR.
Отдельно SOCRadar описала WormGPT-MCP: набор из 32 серверов Model Context Protocol, связывавших AI-систему с 32 модулями — от разведки до вымогательства. Для ведения операций использовались управляемые ИИ базы знаний с данными о жертвах, украденных учётных данных и статусах кампаний.
Уязвимые внешние сервисы и развитие вторжения
Первоначальный доступ строился на массовой эксплуатации публично доступных пограничных и удалённых систем. Среди целей названы FortiClient EMS, SimpleHelp, cPanel и VPN-шлюзы, включая решения Ivanti, Citrix, SonicWall и OpenVPN. В записях операторов упомянуты CVE-2024-57727 в SimpleHelp, CVE-2026-35616 в Fortinet FortiClient и CVE-2026-41940 в cPanel/WHM как активно эксплуатируемые уязвимости.
После проникновения атакующие обследовали домен, при возможности повышали привилегии до domain admin, собирали учётные данные и отбирали финансовые, кадровые, юридические и управленческие документы. Для перемещения внутри сети и подготовки данных к выводу применялся RevSocks — reverse SOCKS5-фреймворк. SOCRadar отмечает, что повторное использование паролей становилось ключевым усилителем атаки: один пароль в одном случае открыл доступ одновременно к VPN, серверам, RMM, платформам резервного копирования и управления безопасностью.
В набор инструментов также входили Ghost C2 с вариантами имплантов, которые связывались с управляющим сервером через Cloudflare, Telegram или DNS, агент QuickLine для Mythic и средства вывода данных rks3 и BackupAgent. Для нарушения работы защитных продуктов использовалась атака BYOVD с драйвером Zemana zam64.sys, хотя собственные журналы операторов фиксировали неоднозначные результаты против корпоративных EDR.
Давление через украденные данные
Судя по десяткам созданных ИИ записей для вымогательства, злоумышленники анализировали похищенную финансовую информацию, чтобы определить сумму, которую жертва может выплатить без обращения в банк или к страховщику. Затем они отправляли замаскированные образцы доказательств, использовали сценарные звонки vishing и угрожали уведомить клиентов, партнёров и регуляторов.
При отказе от оплаты данные публиковались на сайте утечек через 24–72 часа. При этом SOCRadar не обнаружила криптовалютных кошельков или платёжных записей, поэтому итоговые результаты требований о выкупе неизвестны.
Что проверить компаниям
Практический вывод для бизнеса — сократить поверхность атаки на внешних шлюзах и системах удалённого управления: оперативно устранять известные уязвимости, инвентаризировать доступные из интернета сервисы и контролировать их обновления. Не менее важно исключать повторное использование паролей и отслеживать аномальные подключения, поскольку именно сочетание открытого сервиса, учётных данных и средств сетевого перемещения формировало описанную SOCRadar цепочку вторжения.