Peneliti keamanan siber telah membongkar ekosistem intrusi berbasis kecerdasan buatan (AI) yang dioperasikan oleh afiliasi dari kelompok ransomware INC serta The Gentlemen.
Inti utama dari seluruh operasi ini bertumpu pada apa yang disebut sebagai "Autonomous Red Team Kill Chain Framework" dengan nama sandi Phantom. Pelaku ancaman tersebut diyakini berbahasa Rusia dan berperan ganda sebagai operator intrusi dan pemerasan data, sekaligus menjadi penyedia infrastruktur yang menyokong berbagai mitra berbeda dalam ekosistem ransomware.
"Para operator mengeksploitasi sistem tepi dan akses jarak jauh secara massal, mencakup FortiClient EMS, SimpleHelp, cPanel, serta gerbang VPN," ungkap SOCRadar. "Mereka memanfaatkan basis pengetahuan yang dikelola AI untuk memantau korban, kredensial curian, dan perkembangan kampanye."
Karakteristik penting yang membedakan kampanye ini adalah "struktur operasi yang dieksekusi AI dengan persetujuan manusia". Dalam mekanisme ini, operator manusia memberikan perintah perintah (prompt) khusus untuk target tertentu dan meninjau setiap tindakan, sementara eksekusi intrusi riil ditangani oleh OpenCode melalui model komersial yang di-host di OpenRouter.
Pemeriksaan menyeluruh pada direktori terbuka di alamat 45.227.254[.]43 memperlihatkan bahwa aktivitas tersebut mencatat 8.257 pesan dalam 133 sesi kerja. Jika model AI menolak memproses instruksi berbahaya, pelaku terdeteksi menulis ulang instruksi tersebut seolah-olah sebagai penilaian uji penetrasi resmi tim merah ketimbang berpindah ke model lain.
Akses masuk pertama diperoleh melalui peretasan perangkat perimeter yang terhubung ke internet secara besar-besaran. Setelah itu, penyerang segera bergerak menyamping, membangun persistensi jangka panjang, mengekstraksi data internal, hingga akhirnya bersiap meluncurkan enkripsi ransomware. Catatan milik operator memperlihatkan bahwa rentetan penyerangan mengandalkan eksploitasi sederet celah keamanan sistem.
"Begitu berhasil menyusup ke dalam, operator mengikuti siklus berulang: memetakan domain jaringan, meningkatkan hak akses menjadi admin domain jika memungkinkan, mencuri kredensial memakai peranti pengumpul akun, memprioritaskan arsip keuangan, personalia, legal, serta berkas eksekutif, lalu mengumpulkannya lewat terowongan reverse-SOCKS," jelas SOCRadar.
"Penggunaan ulang kredensial menjadi faktor pengganda kekuatan yang utama; dalam suatu insiden, satu kata sandi yang digunakan berulang kali mampu membuka akses VPN, peladen, RMM, cadangan data, hingga platform manajemen proteksi sekaligus. Berbagai produk keamanan dilumpuhkan menggunakan pembunuh berbasis BYOVD dan teknik pengelabuan tingkat loader, kendati catatan log operator sendiri menunjukkan hasil yang bervariasi saat menghadapi EDR enterprise."
Dalam memuluskan misinya, pelaku kejahatan ini didukung oleh perangkat serbaguna yang terdiri dari kerangka kerja kustom, modifikasi perkakas sumber terbuka, dan binari terkompilasi.
Peralatan tambahan lain mencakup agen Mythic berkedok Cloudflare bernama QuickLine, program pemati EDR Quick Heal/Seqrite yang menyalahgunakan berkas driver Zemana ("zam64.sys") dalam skema BYOVD, serta aplikasi eksfiltrasi khusus layaknya rks3 dan BackupAgent.
Telaah terhadap puluhan catatan pemerasan yang dirancang oleh AI menunjukkan bahwa penyerang mengutamakan pendekatan berbasis data. Langkah ini mencakup evaluasi laporan keuangan korban untuk menentukan nominal tebusan maksimal tanpa memicu keterlibatan pihak asuransi maupun perbankan, mengirimkan sampel bukti yang disamarkan, melancarkan tekanan psikologis via panggilan vishing terencana, serta mengancam melapor ke konsumen, relasi bisnis, dan regulator.
Data sensitif yang dicuri pada akhirnya akan diunggah ke portal kebocoran informasi publik apabila target mengabaikan pembayaran dalam tenggat 24 sampai 72 jam. Walau demikian, kepastian hasil tebusan belum terungkap karena dompet kripto atau bukti transaksi finansial belum ditemukan.
Secara total, sekitar 62 entitas ditengarai menjadi target operasi siber ini, dengan empat korban telah dipublikasikan di situs kebocoran data milik kelompok ransomware INC dan The Gentlemen. Kawasan Amerika Serikat mendominasi lebih dari 50% target keseluruhan. Serangan ini memprioritaskan sektor industri, manufaktur, dan energi, yang kemudian disusul oleh institusi kesehatan dan farmasi.
"Melalui infrastruktur terbuka ini, para aktor melancarkan eksploitasi luas atas layanan internet terbuka, menyasar gerbang FortiClient EMS, gerbang Ivanti/Citrix/SonicWall/OpenVPN, peladen manajemen jarak jauh SimpleHelp, dan kontrol hosting cPanel," papar SOCRadar.
"Secara bersamaan, mereka mengatur serangan lewat kerangka Phantom, membuat proksi RevSocks untuk pergerakan lateral, memasang varian Ghost C2, serta menggunakan repositori terkelola AI guna merekam telemetri korban, kredensial curian, dan status kampanye aktif secara teliti."
About the Author
