INC et The Gentlemen Ransomware dévoilent une infrastructure d’attaque alimentée par l’IA

Résumé

Des affiliés liés aux groupes de rançongiciels INC et The Gentlemen utilisent un écosystème d’intrusion piloté par l’IA pour automatiser la reconnaissance, la génération de commandes et le tri des données. Les opérateurs s’appuient sur un cadre personnalisé appelé Phantom, associé à des LLM commerciaux pour soutenir des intrusions à grande échelle. L’écosystème a été découvert après que des erreurs majeures dans l’OPSEC ont exposé l’infrastructure de commande et de contrôle et les journaux de session IA stockés.

Enquête

L’enquête a commencé après que des chercheurs ont découvert un serveur de commande et de contrôle exposé à l’adresse 45.227.254.43 contenant des répertoires ouverts avec le code source Phantom et des bases de données de sessions IA. L’analyse des fichiers de configuration et des identifiants exposés a ensuite conduit à six autres serveurs contrôlés par des adversaires. Les chercheurs ont découvert un flux de travail hautement automatisé dans lequel l’IA gère une grande partie de l’exécution technique tandis que les opérateurs humains conservent la supervision globale.

Atténuation

Les organisations devraient donner la priorité à la correction des dispositifs périphériques, notamment FortiClient EMS, SimpleHelp et cPanel, pour éliminer les vecteurs d’accès initial courants. L’application de l’authentification multi-facteurs (MFA) sur toutes les plates-formes RMM, VPN et d’accès à distance est essentielle pour réduire le risque de réutilisation des identifiants. Les défenseurs doivent également activer la protection contre la falsification de l’EDR et surveiller les résiliations non autorisées des services de sécurité ou le chargement de pilotes vulnérables connus.

Réponse

Lorsqu’une activité malveillante est détectée, isolez les dispositifs périphériques affectés et examinez tous les comptes administratifs dans les plates-formes EMS et RMM pour des ajouts non autorisés. Inspectez les scripts de connexion VPN pour des modifications suspectes et faites immédiatement tourner les identifiants compromis. Effectuez un examen complet des tâches planifiées et des tunnels SOCKS inverses actifs pour identifier et terminer les canaux C2 persistants.

Exécution de simulation

• Récit & commandes d’attaque : L’adversaire a obtenu un accès initial et entend établir un tunnel robuste pour les mouvements latéraux. D’abord, ils tentent d’exécuter une version renommée d’un outil de tunneling ; cependant, pour tester les capacités de détection de l’environnement, nous exécuterons la commande en utilisant la chaîne littérale « Ligolo » pour garantir le déclenchement de la règle. Ensuite, l’adversaire déploie une balise basée sur Python. Pour éviter la détection par les appareils de sécurité réseau qui inspectent les certificats TLS, l’adversaire configure le script Python pour ignorer la vérification TLS, simulant le tls_verify_disabled modèle de télémétrie attendu par la règle.

• Script de test de régression :

   # Script de simulation : Déclencher la règle de détection via correspondance de chaîne et contournement TLS en Python
  
    Write-Host "[+] Démarrage de la simulation..." -ForegroundColor Cyan
  
    # 1. Déclenchement de la sélection1 : La ligne de commande contient 'Ligolo'
    Write-Host "[+] Exécution de la simulation de l'outil de tunneling (Ligolo)..." -ForegroundColor Yellow
    Start-Process "cmd.exe" -ArgumentList "/c echo Exécution de Ligolo Tunneling Engine..." -WindowStyle Hidden
  
    # 2. Déclenchement de la sélection2 : Python avec métadonnées simulées 'tls_verify_disabled'
    # Remarque : Étant donné que 'tls_verify_disabled' est probablement un champ de métadonnées personnalisé d'un EDR, 
    # nous simulons le comportement qui générerait un tel tag.
    Write-Host "[+] Exécution de la simulation de la balise Python (TLS Verification Disabled)..." -ForegroundColor Yellow
  
    # Cette commande simule un processus python exécutant une requête tout en supprimant expressément 
    # la vérification SSL, qui serait signalée par des EDR avancés.
    $pythonCode = "import urllib.request, ssl; context = ssl._create_unverified_context(); urllib.request.urlopen('https://expired.badssl.com/', context=context)"
    python -c $pythonCode
  
    Write-Host "[+] Simulation terminée. Vérifiez SIEM pour les alertes." -ForegroundColor Green

• Commandes de nettoyage :

   # Nettoyage : Aucun fichier n'a été créé dans cette simulation, mais nous nous assurons qu'aucun processus errant ne subsiste.
    Stop-Process -Name "python" -ErrorAction SilentlyContinue
    Write-Host "[+] Nettoyage terminé." -ForegroundColor Cyan