INC i The Gentlemen Ransomware ujawniają infrastrukturę ataków wspieraną przez AI

Podsumowanie

Afiliacje związane z grupami ransomware INC i The Gentlemen korzystają z ekosystemu włamań napędzanego przez AI do automatyzacji rozpoznawania, generowania poleceń i selekcji danych. Operatorzy opierają się na niestandardowym frameworku o nazwie Phantom wraz z komercyjnymi LLM do wspierania dużych skalą włamań. Ekosystem został odkryty po licznych błędach OPSEC, które ujawniły infrastrukturę dowodzenia i kontroli oraz zapisane dzienniki sesji AI.

Śledztwo

Śledztwo rozpoczęło się po tym, jak naukowcy odkryli otwarty serwer dowodzenia i kontroli pod adresem 45.227.254.43 zawierający otwarte katalogi z kodem źródłowym Phantom i bazami danych sesji AI. Analiza plików konfiguracyjnych i ujawnionych danych uwierzytelniających doprowadziła następnie do sześciu dodatkowych serwerów kontrolowanych przez przeciwnika. Badacze odkryli wysoce zautomatyzowany przepływ pracy, w którym AI przejmuje większość technicznego wykonania, podczas gdy operatorzy ludzcy utrzymują ogólne nadzorowanie.

Łagodzenie

Organizacje powinny priorytetowo traktować łatki urządzeń brzegowych, szczególnie FortiClient EMS, SimpleHelp i cPanel, w celu wyeliminowania powszechnych wektorów dostępu początkowego. Egzekwowanie uwierzytelniania wieloskładnikowego (MFA) na wszystkich platformach RMM, VPN i zdalnego dostępu jest kluczowe, aby zmniejszyć ryzyko ponownego wykorzystania danych uwierzytelniających. Obrońcy powinni również włączyć ochronę przed manipulacją EDR i monitorować nieautoryzowane zakończenie usługi bezpieczeństwa lub ładowanie znanych podatnych sterowników.

Reakcja

Gdy wykryta zostanie złośliwa aktywność, odizoluj dotknięte urządzenia brzegowe i przejrzyj wszystkie konta administracyjne w platformach EMS i RMM pod kątem nieautoryzowanych dodatków. Sprawdź skrypty połączenia VPN pod kątem podejrzanych modyfikacji i natychmiast zmień skompromitowane dane uwierzytelniające. Przeprowadź kompleksowy przegląd zaplanowanych zadań i aktywnych odwróconych tuneli SOCKS, aby zidentyfikować i zakończyć trwałe kanały C2.

Wykonanie symulacji

• Narracja ataku i polecenia: Przeciwnik uzyskał początkowy dostęp i zamierza utworzyć solidny tunel dla ruchu bocznego. Najpierw próbują uruchomić zmienioną nazwę narzędzia tunelowania; jednak w celu przetestowania możliwości wykrywania środowiska, wykonamy polecenie za pomocą dosłownego ciągu „Ligolo”, aby upewnić się, że zasada zadziała. Następnie przeciwnik wdraża sygnał oparty na Pythonie. Aby uniknąć wykrycia przez urządzenia zabezpieczające sieć, które analizują certyfikaty TLS, przeciwnik konfiguruje skrypt Pythona do ignorowania weryfikacji TLS, symulując tls_verify_disabled wzorzec telemetryczny oczekiwany przez zasadę.

• Skrypt testu regresji:

   # Skrypt symulacji: Wywoływanie zasady wykrywania przez dopasowanie ciągu i obejście TLS w Python
  
    Write-Host "[+] Rozpoczynanie symulacji..." -ForegroundColor Cyan
  
    # 1. Wywoływanie wyboru1: Wiersz poleceń zawiera 'Ligolo'
    Write-Host "[+] Wykonywanie symulacji narzędzia tunelowania (Ligolo)..." -ForegroundColor Yellow
    Start-Process "cmd.exe" -ArgumentList "/c echo Uruchamianie silnika tunelowania Ligolo..." -WindowStyle Hidden
  
    # 2. Wywoływanie wyboru2: Python z symulowanymi metadanymi 'tls_verify_disabled'
    # Nota: Ponieważ 'tls_verify_disabled' to prawdopodobnie niestandardowe pole metadanych z EDR,
    # symulujemy zachowanie, które wygenerowałoby taki tag.
    Write-Host "[+] Wykonywanie symulacji sygnału Python (wyłączona weryfikacja TLS)..." -ForegroundColor Yellow
  
    # To polecenie symuluje proces Pythona wykonujący żądanie przy jednoczesnym celowym
    # pomijaniu weryfikacji SSL, które byłoby oznaczone przez zaawansowane EDR.
    $pythonCode = "import urllib.request, ssl; context = ssl._create_unverified_context(); urllib.request.urlopen('https://expired.badssl.com/', context=context)"
    python -c $pythonCode
  
    Write-Host "[+] Symulacja zakończona. Sprawdź alerty SIEM." -ForegroundColor Green

• Polecenia czyszczenia:

   # Czyszczenie: W tej symulacji nie utworzono żadnych plików, ale upewniamy się, że nie ma pozostałych procesów.
    Stop-Process -Name "python" -ErrorAction SilentlyContinue
    Write-Host "[+] Czyszczenie zakończone." -ForegroundColor Cyan