Una infraestructura al descubierto revela cómo los afiliados de ransomware utilizaron agentes de IA para llevar a cabo intrusiones

Un grupo de ci­ber­de­lin­cuen­tes que habla ruso y opera para los pro­gra­mas de ran­som­wa­re INC y The Gentle­men ha pues­to en mar­cha un eco­sis­te­ma de in­tru­sión im­pul­sa­do por in­te­li­gen­cia ar­ti­fi­cial. Este sis­te­ma se basa en un marco au­to­ma­ti­za­do co­no­ci­do como Phan­tom, el cual uti­li­za mo­de­los co­mer­cia­les in­te­gra­dos me­dian­te Open­Co­de y Open­Rou­ter. Las ope­ra­cio­nes si­guen una es­truc­tu­ra donde una per­so­na apor­ta las ins­truc­cio­nes ini­cia­les y aprue­ba cada fase del pro­ce­so, em­plean­do bases de co­no­ci­mien­tos ma­ne­ja­das por IA para se­guir el pro­gre­so de los ata­ques y las cre­den­cia­les ob­te­ni­das.

Las ac­cio­nes ini­cian me­dian­te la ex­plo­ta­ción ma­si­va de sis­te­mas pe­ri­me­tra­les y de ac­ce­so re­mo­to, tales como pa­sa­re­las VPN, Sim­pleHelp, cPa­nel y For­ti­Client EMS. Una vez que lo­gran in­fil­trar­se, los ata­can­tes rea­li­zan ta­reas de re­co­no­ci­mien­to, mo­vi­mien­to la­te­ral, ob­ten­ción de cre­den­cia­les y es­ca­la­ción de pri­vi­le­gios para bus­car do­cu­men­tos fi­nan­cie­ros, de re­cur­sos hu­ma­nos y le­ga­les, los cua­les son ex­traí­dos uti­li­zan­do tú­ne­les in­ver­sos. Para lo­grar sus co­me­ti­dos, los ope­ra­do­res se apo­yan en una va­rie­dad de he­rra­mien­tas que in­clu­yen el marco Phan­tom, ser­vi­do­res Model Con­text Pro­to­col lla­ma­dos WormGPT-MCP, im­plan­tes po­li­mór­fi­cos de co­man­do y con­trol de­no­mi­na­dos Ghost C2, y pro­gra­mas para la ex­fil­tra­ción de in­for­ma­ción.

La fase final de la cam­pa­ña con­sis­te en un en­fo­que cen­tra­do en la ex­tor­sión me­dian­te el aná­li­sis de los datos ro­ba­dos para cal­cu­lar el monto del res­ca­te, com­ple­men­ta­do con lla­ma­das te­le­fó­ni­cas ame­na­zan­tes y mues­tras de prue­ba. Si las or­ga­ni­za­cio­nes afec­ta­das no pagan en un plazo de­ter­mi­na­do, la in­for­ma­ción es pu­bli­ca­da en los si­tios de fil­tra­ción de los gru­pos in­vo­lu­cra­dos. Se cal­cu­la que el nú­me­ro de ob­je­ti­vos afec­ta­dos su­pera las se­sen­ta or­ga­ni­za­cio­nes, ubi­ca­das ma­yo­ri­ta­ria­men­te en los Es­ta­dos Uni­dos y per­te­ne­cien­tes sobre todo a los sec­to­res in­dus­trial, ener­gé­ti­co, ma­nu­fac­tu­re­ro, de salud y far­ma­céu­ti­co.