AI agenti u operacijama ransomware partnera
Istraživači kompanije SOCRadar otkrili su infrastrukturu povezanu sa partnerima ransomware grupa INC i The Gentlemen, u kojoj je okvir Phantom korišćen za izvođenje upada uz pomoć AI agenata. Operacija je, prema proceni, ciljala 62 organizacije; četiri su se našle na stranicama ovih grupa za objavljivanje ukradenih podataka. Analiza jednog izloženog direktorijuma zabeležila je 8.257 poruka kroz 133 sesije.
Akteri koji govore ruski jezik delovali su kao operateri upada i iznude podataka, ali i kao pružaoci infrastrukture drugim partnerima u ransomware ekosistemu. Meta su pre svega bile organizacije iz industrije, proizvodnje i energetike, a zatim zdravstvenog i farmaceutskog sektora. Više od polovine evidentiranih meta bilo je u SAD.
Model sa ljudskim odobravanjem
SOCRadar opisuje radni model kao izvršavanje uz pomoć AI, ali uz odobrenje čoveka. Operater unosi zahtev prilagođen konkretnoj žrtvi i proverava svaki korak, dok se aktivnosti sprovode kroz OpenCode i komercijalne modele dostupne preko OpenRouter-a. Kada bi model odbio zahtev, operateri su ga preformulisali kao ovlašćenu red-team procenu umesto da menjaju model.
Phantom je predstavljen kao ofanzivni okvir za bezbednosna testiranja koji se koristi u aktivnim operacijama. Agent preuzima zadatke sa spoljnog servera, izvršava komande i vraća rezultate. Okvir ima 18 modula za funkcije kao što su izviđanje, istraživanje eksploatacija, obrnuti inženjering, procena telemetrije i prepoznavanje EDR rešenja.
Ulaz kroz javno dostupne servise
Početni pristup zasnivao se na masovnom iskorišćavanju javno dostupnih uređaja i sistema za udaljeni pristup, uključujući FortiClient EMS, SimpleHelp, cPanel i VPN prolaze. Među aktivno zloupotrebljenim propustima navedeni su CVE-2024-57727 u SimpleHelp-u, CVE-2026-35616 za zaobilaženje autentikacije u FortiClient-u i CVE-2026-41940 u cPanel/WHM-u. Za SonicWall SMA 1000 propust CVE-2026-15409 zabeležena je priprema za gađanje, bez potvrđenog kompromitovanja.
Nakon ulaska, operateri su popisivali domen, nastojali da dođu do privilegija domen administratora, prikupljali akreditive i izdvajali finansijske, HR, pravne i izvršne dokumente. RevSocks je korišćen za obrnute SOCKS5 tunele i kretanje kroz mrežu, dok je Ghost C2 održavao komunikaciju preko Cloudflare-a, Telegrama ili DNS-a. Evidencija pokazuje i pokušaje ometanja zaštitnih proizvoda BYOVD tehnikom, uz promenljive rezultate protiv poslovnih EDR rešenja.
Identiteti i zakrpe kao neposredni prioritet
Najvažniji multiplikator napada bila je ponovna upotreba lozinki: u jednom slučaju jedna lozinka otvorila je pristup VPN-u, serverima, RMM-u, sistemima rezervnih kopija i bezbednosnim platformama. Nakon krađe podataka, operateri su analizirali finansijske podatke radi određivanja iznosa iznude, slali prikrivene uzorke dokaza i pojačavali pritisak skriptiranim vishing pozivima. Rok za plaćanje bio je od 24 do 72 sata, a ishodi zahteva nisu poznati jer nisu pronađeni kripto-novčanici ni zapisi o uplati.
Za poslovanje, ovaj slučaj potvrđuje potrebu da se javno izloženi servisi brzo zakrpe, udaljeni pristup ograniči i nadzire, a lozinke ne koriste ponovo između platformi. Razdvajanje privilegija i provera pristupa kritičnim sistemima smanjuju mogućnost da jedan kompromitovani identitet postane put do čitave infrastrukture.