Pesquisadores de segurança cibernética descobriram um ecossistema de invasões impulsionado por inteligência artificial (IA) e operado por afiliados dos grupos de ransomware INC e The Gentlemen.
No centro da operação está um “Framework Autônomo de Cadeia de Ataque de Equipe Vermelha” (estrutura de software que simula ataques reais para testar defesas), chamado Phantom. O ator de ameaça é avaliado como falante de russo e atua tanto como operador de invasão e extorsão de dados quanto como provedor de infraestrutura para diferentes parceiros do ecossistema de ransomware.
“Os operadores exploraram sistemas de borda e de acesso remoto em grande escala, incluindo FortiClient EMS, SimpleHelp, cPanel e gateways de rede privada virtual (VPN)”, afirmou a SOCRadar. “Eles usaram bases de conhecimento gerenciadas por IA para rastrear vítimas, credenciais roubadas e o andamento das campanhas.”
Um aspecto marcante da campanha é sua estrutura operacional “executada por IA e aprovada por humanos”. Nela, um operador humano fornece um comando específico para cada vítima e revisa cada etapa, enquanto as invasões são executadas por meio do OpenCode, com modelos comerciais hospedados na OpenRouter.
A análise do diretório exposto no endereço 45.227.254[.]43 revelou que a atividade registrou 8.257 mensagens em 133 sessões. Quando os modelos se recusam a executar os comandos, o operador reescreve os pedidos como uma avaliação autorizada de equipe vermelha, em vez de simplesmente trocar de modelo.
Vulnerabilidades exploradas
O acesso inicial é obtido pela exploração de dispositivos de borda voltados ao público em grande escala. Em seguida, os atacantes se movimentam lateralmente, estabelecem persistência, exfiltram dados e avançam até a implantação de ransomware. Os registros do operador indicam que os ataques envolvem a exploração das seguintes falhas:
- CVE-2024-57727 (travessia de diretório no SimpleHelp) (explorada ativamente)
- CVE-2026-35616 (desvio de autenticação no Fortinet FortiClient) (explorada ativamente)
- CVE-2026-41940 (desvio de autenticação no cPanel/WHM) (explorada ativamente)
- CVE-2026-15409 (falsificação de requisição do lado do servidor, SSRF, no SonicWall SMA 1000) (preparada para ataques, sem comprometimento confirmado)
- CVE-2026-63030 (WordPress wp2shell) (desenvolvida pelos operadores)
- CVE-2026-42208 (injeção de SQL no LiteLLM) (desenvolvida ou referenciada)
- CVE-2026-9082 (injeção de SQL no Drupal) (desenvolvida ou referenciada)
“Uma vez dentro da rede, os operadores seguiam um ciclo recorrente: enumerar o domínio, escalar para administrador de domínio sempre que possível, coletar credenciais com ferramentas de roubo, priorizar arquivos financeiros, de RH, jurídicos e executivos, e coletá-los por meio de túneis reverse SOCKS”, afirmou a SOCRadar.
“O reaproveitamento de credenciais foi o principal multiplicador de força. Em um caso, uma única senha reutilizada desbloqueou ao mesmo tempo a VPN, os servidores, a plataforma de gerenciamento remoto (RMM), o backup e as plataformas de gestão de segurança. Os produtos de segurança foram neutralizados com um killer baseado em BYOVD (uso de drivers vulneráveis legítimos) e evasão em nível de carregador, embora os registros dos próprios operadores mostrem resultados mistos contra os sistemas de detecção e resposta de endpoints (EDR) corporativos.”
Ferramentas utilizadas
Para sustentar os objetivos do ator de ameaça, a operação usa um conjunto diversificado de ferramentas, formado por estruturas sob medida, ferramentas de código aberto modificadas e binários compilados:
- Phantom, um framework ofensivo de segurança e de testes de invasão com inteligência artificial, implantado em operações reais por meio do OpenCode. Ele usa um agente que se comunica com um servidor externo para receber tarefas, executar comandos e devolver resultados. O framework oferece 18 módulos de habilidades para apoiar reconhecimento, engenharia reversa de binários, pesquisa de exploits, esteganografia, avaliação de telemetria e identificação de EDRs, entre outras funções.
- WormGPT-MCP, um conjunto de 32 servidores do Model Context Protocol (MCP, protocolo que conecta modelos de IA a ferramentas externas) que ligam o sistema de IA a 32 módulos diferentes, que vão desde reconhecimento até extorsão.
- Ghost C2, uma coleção de três gerações de implantes polimórficos que se comunicam com um servidor remoto por meio da Cloudflare, do Telegram ou de DNS (comando e controle, C2). Eles executam tarefas e mantêm sinalizações persistentes em dispositivos comprometidos.
- RevSocks, uma estrutura de SOCKS5 reverso (protocolo de proxy) usada para pivotar dentro das redes das vítimas e preparar dados para exfiltração.
Outras ferramentas incluem o QuickLine, um agente Mythic com fachada na Cloudflare; um killer de EDR da Quick Heal/Seqrite que abusa do driver da Zemana (“zam64.sys”) como parte de um ataque BYOVD; e programas de exfiltração como rks3 e BackupAgent.
Extorsão baseada em dados
A análise de dezenas de registros de extorsão redigidos por IA mostra que os atores de ameaça adotam uma abordagem centrada em dados. Eles examinam as informações financeiras roubadas para determinar o valor que a vítima pode pagar sem precisar envolver um banco ou uma seguradora. Em seguida, enviam amostras mascaradas como prova e aumentam a pressão por meio de ligações de vishing com roteiros e ameaças de notificar clientes, parceiros e órgãos reguladores.
Os dados roubados são publicados no site de vazamentos caso a vítima não pague dentro de um prazo de 24 a 72 horas. Ainda assim, o desfecho final dessas exigências de resgate é desconhecido, já que nenhuma carteira de criptomoedas ou registro de pagamento foi recuperado.
Alcance da operação
Estima-se que 62 organizações tenham sido alvo da operação, das quais quatro acabaram listadas nos sites de vazamento dos grupos INC e The Gentlemen. Os Estados Unidos concentram mais de 50% dos alvos. Os ataques tiveram como principal foco os setores industrial, de manufatura e de energia, seguidos por organizações da área de saúde e farmacêutica.
“Em toda essa infraestrutura exposta, os atores se envolveram em uma exploração generalizada de serviços de internet expostos, com foco específico em gateways FortiClient EMS, gateways Ivanti, Citrix, SonicWall e OpenVPN, servidores de gerenciamento remoto SimpleHelp e painéis de hospedagem cPanel”, afirmou a SOCRadar.
“Paralelamente, eles conduziram operações por meio do framework Phantom, estabeleceram proxies reverse SOCKS da RevSocks para pivotamento de rede, implantaram variantes do Ghost C2 e utilizaram bases de conhecimento gerenciadas por IA para registrar, com precisão, a telemetria das vítimas, as credenciais comprometidas e o status das campanhas ativas.”
