Eksperci ds. cyberbezpieczeństwa zidentyfikowali zaawansowany ekosystem infiltracyjny oparty na AI, obsługiwany przez rosyjskojęzycznych operatorów powiązanych z grupami ransomware INC oraz The Gentlemen. Kluczowym elementem operacji jest framework Phantom, który działa w modelu „AI-wykonuje, człowiek zatwierdza”. Atakujący wykorzystują komercyjne modele językowe przez OpenRouter, a w razie odmowy wykonania złośliwego polecenia, przekształcają zapytania w symulacje legalnych testów penetracyjnych.
Ataki koncentrują się na masowym wykorzystywaniu podatności w urządzeniach brzegowych i systemach zdalnego dostępu, takich jak FortiClient EMS, SimpleHelp czy cPanel. Po uzyskaniu dostępu napastnicy stosują techniki lateral movement, eskalację uprawnień oraz eksfiltrację danych przy użyciu tuneli reverse-SOCKS. Wykorzystują przy tym zróżnicowany zestaw narzędzi, w tym polimorficzne implanty Ghost C2 oraz framework WormGPT-MCP, który łączy AI z modułami od rozpoznania po wymuszenia.
Analiza wykazała, że napastnicy celują głównie w sektory przemysłowy, energetyczny oraz medyczny, przy czym ponad połowa ofiar znajduje się w USA. W procesie wymuszania okupu stosują podejście oparte na danych – analizują kondycję finansową ofiary, aby precyzyjnie określić kwotę okupu, a następnie wywierają presję poprzez zautomatyzowane połączenia vishingowe i groźby publikacji danych.
