INC e The Gentlemen Ransomware espongono l’infrastruttura di attacco potenziata dall’intelligenza artificiale

Sommario

Gli affiliati legati ai gruppi ransomware INC e The Gentlemen stanno utilizzando un ecosistema di intrusione basato su AI per automatizzare il riconoscimento, la generazione di comandi e la triage dei dati. Gli operatori si affidano a un framework personalizzato chiamato Phantom insieme a LLM commerciali per supportare intrusioni su larga scala. L’ecosistema è stato scoperto dopo che importanti fallimenti nell’OPSEC hanno esposto l’infrastruttura di comando e controllo e i registri delle sessioni AI memorizzati.

Indagine

L’indagine è iniziata dopo che i ricercatori hanno scoperto un server di comando e controllo esposto a 45.227.254.43 contenente directory aperte con il codice sorgente di Phantom e database delle sessioni AI. L’analisi dei file di configurazione e delle credenziali esposte ha portato successivamente a sei ulteriori server controllati dagli avversari. I ricercatori hanno scoperto un flusso di lavoro altamente automatizzato in cui l’AI gestisce gran parte dell’esecuzione tecnica mentre gli operatori umani mantengono la supervisione generale.

Mitigazione

Le organizzazioni dovrebbero dare priorità alla patch dei dispositivi edge, in particolare FortiClient EMS, SimpleHelp e cPanel, per eliminare i vettori di accesso iniziale comuni. L’applicazione dell’autenticazione a più fattori (MFA) su tutte le piattaforme RMM, VPN e di accesso remoto è fondamentale per ridurre il rischio di riuso delle credenziali. I difensori dovrebbero anche abilitare la protezione dalle manomissioni EDR e monitorare la terminazione non autorizzata dei servizi di sicurezza o il caricamento di driver vulnerabili noti.

Risposta

Quando si rileva un’attività malevola, isolare i dispositivi edge interessati e rivedere tutti gli account amministrativi nelle piattaforme EMS e RMM per aggiunte non autorizzate. Ispezionare gli script di connessione VPN per modifiche sospette e ruotare immediatamente le credenziali compromesse. Condurre una revisione completa delle attività pianificate e dei tunnel reverse SOCKS attivi per identificare e terminare i canali C2 persistenti.

Esecuzione di Simulazione

• Narrativa & Comandi di Attacco: L’avversario ha ottenuto l’accesso iniziale e intende stabilire un robusto tunnel per il movimento laterale. Innanzitutto, tentano di eseguire una versione rinominata di uno strumento di tunneling; tuttavia, per testare le capacità di rilevamento dell’ambiente, eseguiremo il comando utilizzando la stringa letterale “Ligolo” per garantire l’attivazione della regola. In secondo luogo, l’avversario distribuisce un beacon basato su Python. Per evitare il rilevamento da parte degli apparecchi di sicurezza di rete che ispezionano i certificati TLS, l’avversario configura lo script Python per ignorare la verifica TLS, simulando il tls_verify_disabled pattern di telemetria previsto dalla regola.

• Script di Test di Regressione:

   # Script di Simulazione: Attivazione della Regola di Rilevamento tramite Corrispondenza Stringa e Bypass TLS in Python
  
    Write-Host "[+] Avvio Simulazione..." -ForegroundColor Cyan
  
    # 1. Attivazione selezione1: La riga di comando contiene 'Ligolo'
    Write-Host "[+] Esecuzione della simulazione dello strumento di tunneling (Ligolo)..." -ForegroundColor Yellow
    Start-Process "cmd.exe" -ArgumentList "/c echo Esecuzione del Motore di Tunneling Ligolo..." -WindowStyle Hidden
  
    # 2. Attivazione selezione2: Python con metadati simulati 'tls_verify_disabled'
    # Nota: Poiché 'tls_verify_disabled' è probabilmente un campo di metadati personalizzato da un EDR, 
    # simuliamo il comportamento che genererebbe tale tag.
    Write-Host "[+] Esecuzione della simulazione del beacon Python (Verifica TLS Disabilitata)..." -ForegroundColor Yellow
  
    # Questo comando simula un processo python che esegue una richiesta sopprimendo esplicitamente 
    # la verifica SSL, che verrebbe segnalata da EDR avanzati.
    $pythonCode = "import urllib.request, ssl; context = ssl._create_unverified_context(); urllib.request.urlopen('https://expired.badssl.com/', context=context)"
    python -c $pythonCode
  
    Write-Host "[+] Simulazione completata. Controllare SIEM per gli avvisi." -ForegroundColor Green

• Comandi di Pulizia:

   # Pulizia: Non sono stati creati file in questa simulazione, ma ci assicuriamo che non rimangano processi vaganti.
    Stop-Process -Name "python" -ErrorAction SilentlyContinue
    Write-Host "[+] Pulizia completata." -ForegroundColor Cyan