Para peneliti keamanan siber baru saja membongkar ekosistem intrusi berbasis kecerdasan buatan (AI) yang dioperasikan secara aktif oleh kelompok afiliasi ransomware INC serta The Gentlemen.
Pusat dari keseluruhan operasi kejahatan siber ini mengandalkan sebuah "Autonomous Red Team Kill Chain Framework" yang dikenal menggunakan sandi Phantom. Aktor ancaman tersebut diidentifikasi berbicara dalam bahasa Rusia, menjalankan peran ganda sebagai operator intrusi dan pemerasan data, sekaligus bertindak sebagai penyedia infrastruktur yang menyokong berbagai mitra pada lanskap sindikat ransomware.
"Para operator mengeksploitasi sistem akses jarak jauh dan perangkat edge dalam skala besar, termasuk FortiClient EMS, SimpleHelp, cPanel, serta gateway VPN," ungkap pihak SOCRadar. "Mereka memanfaatkan basis pengetahuan yang dikelola AI untuk memantau para korban, kredensial curian, dan perkembangan kampanye."
Karakteristik penting yang membedakan kampanye ini adalah adanya "struktur operasi yang dieksekusi AI dengan persetujuan manusia". Dalam mekanisme kerja tersebut, operator manusia memberikan perintah berupa prompt khusus mengenai target korban lalu meninjau setiap tahapannya, sementara aksi peretasan dieksekusi secara otomatis memakai platform OpenCode dengan model komersial dari OpenRouter.
Pemeriksaan menyeluruh pada direktori terbuka di alamat IP 45.227.254[.]43 mendapati adanya catatan 8.257 pesan interaksi yang tersebar dalam 133 sesi peretasan. Apabila model AI menolak menjalankan instruksi berbahaya, sang operator diketahui menyusun ulang kalimat permintaan itu seolah-olah menjadi evaluasi red team resmi berizin daripada sekadar beralih ke model AI lain.
Akses awal penyusupan dicapai lewat eksploitasi besar-besaran terhadap perangkat tepi yang tersambung langsung ke jaringan publik. Setelah berhasil menembus, pelaku bergerak menyamping secara lateral, menanamkan persistensi, mencuri data perusahaan, dan meningkatkan eskalasi menuju deployment ransomware. Rekaman aktivitas operator menunjukkan bahwa serangan ini memanfaatkan sejumlah celah kerentanan penting.
"Begitu berhasil masuk, para operator mengikuti siklus hidup yang berulang: melakukan enumerasi domain, eskalasi hak istimewa ke administrator domain bila memungkinkan, memanen kredensial dengan perangkat lunak pencuri, memprioritaskan berkas keuangan, SDM, hukum, dan eksekutif, serta mengumpulkannya lewat terowongan reverse-SOCKS," papar analis dari SOCRadar.
"Penggunaan ulang kredensial menjadi faktor pengganda kekuatan utama mereka; dalam satu insiden, satu kata sandi daur ulang sanggup membuka akses VPN, server utama, RMM, cadangan sistem, hingga platform manajemen keamanan secara bersamaan. Produk perlindungan dilemahkan memakai pembunuh berbasis teknik BYOVD dan pengelakan level loader, meski log milik operator sendiri mencatat hasil bervariasi saat menghadapi solusi enterprise EDR."
Guna mendukung pencapaian sasaran jahat tersebut, pelaku memakai persenjataan digital yang beraneka ragam, mulai dari kerangka kerja rakitan sendiri, modifikasi perangkat lunak sumber terbuka, hingga berkas biner terkompilasi khusus.
Alat-alat lain mencakup agen Mythic berkedok Cloudflare bernama QuickLine, program pelumpuh Quick Heal/Seqrite EDR yang menyalahgunakan driver sah Zemana ("zam64.sys") dalam skema BYOVD, serta program eksfiltrasi dokumen seperti rks3 dan BackupAgent.
Hasil telaah pada puluhan arsip pemerasan yang dirancang AI memperlihatkan pendekatan berfokus pada data korban. Pelaku mempelajari data finansial yang dirampas guna menentukan nominal tebusan maksimal yang sanggup dilunasi korban tanpa harus melibatkan pihak bank atau asuransi. Mereka kemudian mengirimkan sampel bukti yang disamarkan, melipatgandakan tekanan psikologis lewat panggilan vishing terencana, serta mengancam melapor ke pelanggan, mitra bisnis, hingga badan regulator resmi.
Seluruh data curian bakal diunggah ke portal kebocoran publik jika korban menolak membayar dalam kurun waktu tenggat 24 sampai 72 jam. Walau demikian, status akhir transaksi tebusan belum dapat dipastikan karena tidak ada dompet kripto maupun riwayat pembayaran yang berhasil ditemukan peneliti.
Sebanyak 62 organisasi diperkirakan menjadi sasaran operasi siber ini, di mana empat di antaranya telah dipajang pada portal kebocoran milik ransomware INC dan The Gentlemen. Lebih dari 50% target berada di Amerika Serikat, dengan fokus utama sektor industri, manufaktur, dan energi, disusul bidang kesehatan serta farmasi.
"Melalui infrastruktur terbuka ini, pelaku melancarkan eksploitasi luas terhadap layanan internet publik, menyasar gateway FortiClient EMS, gateway Ivanti/Citrix/SonicWall/OpenVPN, server SimpleHelp, dan kontrol cPanel," sebut SOCRadar.
"Bersamaan dengan itu, mereka mengatur orkestrasi via Phantom, memakai proksi RevSocks untuk pergerakan internal, menyebar varian Ghost C2, serta menggunakan basis pengetahuan AI guna mencatat telemetri korban, kredensial, dan status kampanye aktif."
