INC y el ransomware The Gentlemen exponen la infraestructura de ataque impulsada por IA

Resumen

Afiliados vinculados a los grupos de ransomware INC y The Gentlemen están utilizando un ecosistema de intrusión impulsado por IA para automatizar el reconocimiento, la generación de comandos y el triaje de datos. Los operadores dependen de un marco personalizado llamado Phantom junto con LLMs comerciales para respaldar las intrusiones a gran escala. El ecosistema fue descubierto después de fallas importantes en OPSEC que expusieron la infraestructura de mando y control y los registros de sesión de IA almacenados.

Investigación

La investigación comenzó después de que los investigadores descubrieron un servidor de mando y control expuesto en 45.227.254.43 que contenía directorios abiertos con el código fuente de Phantom y bases de datos de sesiones de IA. El análisis de los archivos de configuración y las credenciales expuestas llevó posteriormente a seis servidores adicionales controlados por adversarios. Los investigadores descubrieron un flujo de trabajo altamente automatizado en el que la IA maneja gran parte de la ejecución técnica mientras que los operadores humanos mantienen la supervisión general.

Mitigación

Las organizaciones deben priorizar la corrección de dispositivos de borde, particularmente FortiClient EMS, SimpleHelp y cPanel, para eliminar vectores de acceso inicial comunes. La aplicación de la autenticación multifactor (MFA) en todas las plataformas RMM, VPN y de acceso remoto es crítica para reducir el riesgo de reutilización de credenciales. Los defensores también deben habilitar la protección contra manipulaciones EDR y monitorear la terminación no autorizada de servicios de seguridad o la carga de controladores vulnerables conocidos.

Respuesta

Cuando se detecte actividad maliciosa, aísle los dispositivos de borde afectados y revise todas las cuentas administrativas en las plataformas EMS y RMM para detectar adiciones no autorizadas. Inspeccione los scripts de conexión VPN en busca de modificaciones sospechosas y rote inmediatamente las credenciales comprometidas. Realice una revisión exhaustiva de las tareas programadas y los túneles SOCKS inversos activos para identificar y terminar los canales C2 persistentes.

Ejecución de Simulación

• Narrativa y Comandos del Ataque: El adversario ha obtenido acceso inicial y pretende establecer un túnel robusto para el movimiento lateral. Primero, intentan ejecutar una versión renombrada de una herramienta de tunelización; sin embargo, para probar las capacidades de detección del entorno, ejecutaremos el comando usando la cadena literal «Ligolo» para asegurar que la regla se dispare. En segundo lugar, el adversario despliega una baliza basada en Python. Para evitar la detección por dispositivos de seguridad de red que inspeccionan certificados TLS, el adversario configura el script de Python para ignorar la verificación TLS, simulando el tls_verify_disabled patrón de telemetría esperado por la regla.

• Script de Prueba de Regresión:

   # Script de Simulación: Activando la Regla de Detección a través de Coincidencia de Cadenas y Bypass de TLS en Python
  
    Write-Host "[+] Iniciando Simulación..." -ForegroundColor Cyan
  
    # 1. Activación selección1: Línea de Comando contiene 'Ligolo'
    Write-Host "[+] Ejecutando simulación de Herramienta de Tunelización (Ligolo)..." -ForegroundColor Yellow
    Start-Process "cmd.exe" -ArgumentList "/c echo Ejecutando Ligolo Tunneling Engine..." -WindowStyle Hidden
  
    # 2. Activación selección2: Python con metadatos simulados 'tls_verify_disabled'
    # Nota: Dado que 'tls_verify_disabled' es probablemente un campo de metadatos personalizado de un EDR, 
    # simulamos el comportamiento que generaría tal etiqueta.
    Write-Host "[+] Ejecutando simulación de Baliza Python (Verificación TLS Deshabilitada)..." -ForegroundColor Yellow
  
    # Este comando simula un proceso de python realizando una solicitud mientras suprime explícitamente 
    # la verificación SSL, lo cual sería señalado por EDRs avanzados.
    $pythonCode = "import urllib.request, ssl; context = ssl._create_unverified_context(); urllib.request.urlopen('https://expired.badssl.com/', context=context)"
    python -c $pythonCode
  
    Write-Host "[+] Simulación completa. Verifique SIEM para alertas." -ForegroundColor Green

• Comandos de Limpieza:

   # Limpieza: No se crearon archivos en esta simulación, pero nos aseguramos de que no queden procesos sueltos.
    Stop-Process -Name "python" -ErrorAction SilentlyContinue
    Write-Host "[+] Limpieza completa." -ForegroundColor Cyan