INC e The Gentlemen Ransomware Expõem Infraestrutura de Ataque com IA

Resumo

Afiliados vinculados aos grupos de ransomware INC e The Gentlemen estão usando um ecossistema de intrusão impulsionado por IA para automatizar o reconhecimento, geração de comandos e triagem de dados. Os operadores confiam em um framework personalizado chamado Phantom junto com LLMs comerciais para suportar intrusões em larga escala. O ecossistema foi descoberto após grandes falhas de OPSEC exporem infraestrutura de comando e controle e logs de sessões de IA armazenados.

Investigação

A investigação começou depois que os pesquisadores descobriram um servidor de comando e controle exposto em 45.227.254.43 contendo diretórios abertos com o código-fonte do Phantom e bancos de dados de sessões de IA. A análise dos arquivos de configuração e credenciais expostas levou posteriormente a seis servidores adicionais controlados por adversários. Os pesquisadores descobriram um fluxo de trabalho altamente automatizado em que a IA lida com grande parte da execução técnica, enquanto operadores humanos mantêm a supervisão geral.

Mitigação

As organizações devem priorizar o patching de dispositivos de borda, particularmente FortiClient EMS, SimpleHelp e cPanel, para eliminar vetores de acesso inicial comuns. A aplicação da autenticação multifatorial (MFA) em todas as plataformas RMM, VPN e de acesso remoto é crítica para reduzir o risco de reutilização de credenciais. Os defensores também devem habilitar a proteção contra adulteração em EDRs e monitorar a terminação não autorizada de serviços de segurança ou carregamento de drivers vulneráveis conhecidos.

Resposta

Quando atividade maliciosa é detectada, isolar os dispositivos de borda afetados e revisar todas as contas administrativas nas plataformas EMS e RMM para adições não autorizadas. Inspecione scripts de conexão VPN para modificações suspeitas e imediatamente troque credenciais comprometidas. Conduza uma revisão abrangente das tarefas agendadas e túneis SOCKS reversos ativos para identificar e terminar canais C2 persistentes.

Execução de Simulação

• Narrativa do Ataque & Comandos: O adversário obteve acesso inicial e pretende estabelecer um túnel robusto para movimento lateral. Primeiro, tentam executar uma versão renomeada de uma ferramenta de tunelamento; no entanto, para testar as capacidades de detecção do ambiente, executaremos o comando usando a string literal “Ligolo” para garantir que a regra seja acionada. Segundo, o adversário implanta um beacon baseado em Python. Para evitar detecção por dispositivos de segurança de rede que inspecionam certificados TLS, o adversário configura o script Python para ignorar a verificação TLS, simulando o tls_verify_disabled padrão de telemetria esperado pela regra.

• Script de Teste de Regressão:

   # Script de Simulação: Acionando Regra de Detecção via Correspondência de String e Bypass TLS do Python
  
    Write-Host "[+] Iniciando Simulação..." -ForegroundColor Cyan
  
    # 1. Acionando seleção1: Linha de Comando contém 'Ligolo'
    Write-Host "[+] Executando simulação de Ferramenta de Tunelamento (Ligolo)..." -ForegroundColor Yellow
    Start-Process "cmd.exe" -ArgumentList "/c echo Running Ligolo Tunneling Engine..." -WindowStyle Hidden
  
    # 2. Acionando seleção2: Python com 'tls_verify_disabled' simulada
    # Nota: Como 'tls_verify_disabled' é provavelmente um campo de metadados personalizado de um EDR, 
    # simulamos o comportamento que geraria tal tag.
    Write-Host "[+] Executando simulação de Beacon Python (Verificação TLS Desativada)..." -ForegroundColor Yellow
  
    # Este comando simula um processo python realizando uma requisição enquanto suprime explicitamente
    # a verificação SSL, que seria sinalizada por EDRs avançados.
    $pythonCode = "import urllib.request, ssl; context = ssl._create_unverified_context(); urllib.request.urlopen('https://expired.badssl.com/', context=context)"
    python -c $pythonCode
  
    Write-Host "[+] Simulação completa. Verifique o SIEM para alertas." -ForegroundColor Green

• Comandos de Limpeza:

   # Limpeza: Nenhum arquivo foi criado nesta simulação, mas garantimos que não restem processos sem fechamento.
    Stop-Process -Name "python" -ErrorAction SilentlyContinue
    Write-Host "[+] Limpeza completa." -ForegroundColor Cyan