Afilianci INC i The Gentlemen włamywali się do firm za pomocą agentów AI

Badacze SOCRadar opisali infrastrukturę afiliantów grup ransomware INC i The Gentlemen, którzy włamywali się do firm za pomocą agentów AI. Sercem operacji jest framework Phantom, a włamania wykonywały komercyjne modele uruchamiane przez OpenCode i OpenRouter. Operator podawał polecenie dla konkretnej ofiary i zatwierdzał każdy krok. W odsłoniętym katalogu na serwerze 45.227.254[.]43 zapisano 8257 wiadomości w 133 sesjach. Gdy model odmawiał, operator przepisywał prośbę jako autoryzowany test red team, zamiast zmienić model. Po wejściu do sieci napastnicy próbowali przejąć konto administratora domeny, zbierali hasła narzędziami typu stealer i w pierwszej kolejności kopiowali pliki działów finansów, kadr, prawnego i zarządu.

Kogo dotyczy

Według SOCRadar dostęp do sieci zdobywano przez masowe wykorzystywanie urządzeń brzegowych i systemów zdalnego dostępu: FortiClient EMS, SimpleHelp, cPanel i bramek VPN. Operatora oceniono jako rosyjskojęzycznego; udostępnia on infrastrukturę także innym partnerom w środowisku ransomware.