INC und The Gentlemen Ransomware entlarven KI-gestützte Angriffs-Infrastruktur

Zusammenfassung

Mitglieder, die mit den INC- und The Gentlemen-Ransomware-Gruppen verbunden sind, nutzen ein KI-gesteuertes Eindringungsökosystem, um Aufklärung, Befehlsgenerierung und Datensortierung zu automatisieren. Die Betreiber verlassen sich auf ein benutzerdefiniertes Framework namens Phantom zusammen mit kommerziellen LLMs, um groß angelegte Angriffe zu unterstützen. Das Ökosystem wurde aufgedeckt, nachdem erhebliche OPSEC-Fehler die Befehl-und-Kontroll-Infrastruktur und gespeicherte KI-Sitzungsprotokolle enthüllt hatten.

Ermittlung

Die Untersuchung begann, nachdem Forscher einen exponierten Befehl-und-Kontroll-Server unter 45.227.254.43 gefunden hatten, der offene Verzeichnisse mit Phantom-Quellcode und KI-Sitzungsdatenbanken enthielt. Die Analyse von Konfigurationsdateien und offengelegten Anmeldedaten führte anschließend zu sechs zusätzlichen von Gegnern kontrollierten Servern. Forscher deckten einen hoch automatisierten Workflow auf, bei dem die KI einen Großteil der technischen Ausführung übernimmt, während menschliche Betreiber die Gesamtaufsicht behalten.

Minderung

Organisationen sollten die Priorität auf das Patchen von Randgeräten legen, insbesondere FortiClient EMS, SimpleHelp und cPanel, um gängige anfängliche Zugangspunkte zu beseitigen. Die Durchsetzung der Multi-Faktor-Authentifizierung (MFA) auf allen RMM-, VPN- und Fernzugriffsplattformen ist entscheidend, um das Risiko der Wiederverwendung von Anmeldeinformationen zu verringern. Verteidiger sollten auch EDR-Sabotageschutz aktivieren und auf die unbefugte Beendigung von Sicherheitsdiensten oder das Laden von bekannten verwundbaren Treibern überwachen.

Reaktion

Wenn bösartige Aktivitäten erkannt werden, isolieren Sie betroffene Randgeräte und überprüfen Sie alle Administratorkonten in EMS- und RMM-Plattformen auf unbefugte Hinzufügungen. Untersuchen Sie VPN-Verbindungsskripte auf verdächtige Änderungen und wechseln Sie sofort kompromittierte Anmeldedaten. Führen Sie eine umfassende Überprüfung geplanter Aufgaben und aktiver Reverse-SOCKS-Tunnel durch, um persistente C2-Kanäle zu identifizieren und zu beenden.

Simulation Ausführung

• Angriffsnarrativ & Befehle: Der Gegner hat ersten Zugang erhalten und beabsichtigt, einen stabilen Tunnel für laterale Bewegungen zu etablieren. Zuerst versuchen sie, eine umbenannte Version eines Tunneling-Tools auszuführen; um jedoch die Erkennungsfähigkeiten der Umgebung zu testen, werden wir den Befehl mit dem Literal „Ligolo“ ausführen, um sicherzustellen, dass die Regel ausgelöst wird. Zweitens setzt der Gegner ein Python-basiertes Beacon ein. Um von Netzwerksicherheitsgeräten, die TLS-Zertifikate überprüfen, nicht erkannt zu werden, konfiguriert der Gegner das Python-Skript, um die TLS-Verifizierung zu ignorieren, was die tls_verify_disabled telemetrie Muster, das von der Regel erwartet wird.

• Regressionstestskript:

   # Simulationsskript: Erkennung der Regel durch String-Match und Python-TLS-Umgehung auslösen
  
    Write-Host "[+] Simulation wird gestartet..." -ForegroundColor Cyan
  
    # 1. Auslösung Auswahl1: Befehlszeile enthält 'Ligolo'
    Write-Host "[+] Tunneling-Tool-Simulation wird ausgeführt (Ligolo)..." -ForegroundColor Yellow
    Start-Process "cmd.exe" -ArgumentList "/c echo Running Ligolo Tunneling Engine..." -WindowStyle Hidden
  
    # 2. Auslösung Auswahl2: Python mit simulierten 'tls_verify_disabled' Metadaten
    # Hinweis: Da 'tls_verify_disabled' wahrscheinlich ein benutzerdefiniertes Metadatenfeld eines EDR ist,
    # simulieren wir das Verhalten, das solch ein Tag erzeugen würde.
    Write-Host "[+] Python-Beacon-Simulation wird ausgeführt (TLS-Verifizierung deaktiviert)..." -ForegroundColor Yellow
  
    # Dieser Befehl simuliert einen Python-Prozess, der eine Anfrage durchführt, während 
    # die SSL-Verifizierung explizit unterdrückt wird, was von fortschrittlichen EDRs markiert werden würde.
    $pythonCode = "import urllib.request, ssl; context = ssl._create_unverified_context(); urllib.request.urlopen('https://expired.badssl.com/', context=context)"
    python -c $pythonCode
  
    Write-Host "[+] Simulation abgeschlossen. Überprüfen Sie SIEM auf Warnungen." -ForegroundColor Green

• Aufräumbefehle:

   # Aufräumen: Es wurden in dieser Simulation keine Dateien erstellt, aber wir stellen sicher, dass keine schwirrenden Prozesse verbleiben.
    Stop-Process -Name "python" -ErrorAction SilentlyContinue
    Write-Host "[+] Aufräumen abgeschlossen." -ForegroundColor Cyan