INC і Gentlemen Ransomware розкривають архітектуру атак на базі штучного інтелекту

Резюме

Афіліати, пов’язані з групами зловмисного програмного забезпечення INC і The Gentlemen, використовують екосистему вторгнення, що керується штучним інтелектом, для автоматизації розвідки, генерації команд і сортування даних. Оператори покладаються на спеціальну структуру під назвою Phantom разом з комерційними LLM для підтримки масштабних вторгнень. Екосистема була виявлена після значних помилок в OPSEC, які викрили інфраструктуру командування і контролю та збережені журнали сесій штучного інтелекту.

Розслідування

Розслідування почалося після того, як дослідники виявили відкритий сервер командування і контролю за адресою 45.227.254.43, що містив відкриті каталоги з вихідним кодом Phantom та базами даних сесій ШІ. Аналіз конфігураційних файлів та відкритих облікових даних згодом привів до шести додаткових серверів, контрольованих противником. Дослідники виявили високоавтоматизований робочий процес, в якому ШІ виконує більшу частину технічної роботи, тоді як людські оператори залишають за собою загальний нагляд.

Пом’якшення

Організації повинні пріоритизувати виправлення периферійних пристроїв, зокрема FortiClient EMS, SimpleHelp та cPanel, щоб усунути поширені початкові вектори доступу. Забезпечення багатофакторної автентифікації (MFA) на всіх платформах RMM, VPN і віддаленого доступу критично важливе для зменшення ризиків повторного використання облікових даних. Захисники також повинні увімкнути захист від зміни EDR та стежити за несанкціонованим припиненням служб безпеки або завантаженням відомих вразливих драйверів.

Відповідь

Коли виявлено зловмисну активність, ізолюйте уражені периферійні пристрої та перегляньте всі адміністративні облікові записи на платформах EMS та RMM на предмет несанкціонованих додатків. Перевірте скрипти з’єднання VPN на підозрілі зміни та негайно змініть скомпрометовані облікові дані. Проведіть всебічний перегляд запланованих завдань і активних зворотних SOCKS тунелів, щоб ідентифікувати та припинити постійні C2 канали.

Виконання моделювання

• Наратив атаки та команди: Противник отримав початковий доступ і має намір створити надійний тунель для бокового переміщення. Спочатку вони намагаються запустити перейменовану версію інструмента тунелювання; однак, щоб перевірити можливості виявлення середовища, ми виконаємо команду з використанням літерального рядка “Ligolo”, щоб переконатися, що правило спрацює. По-друге, супротивник розгортає Python-бейкон. Щоб уникнути виявлення мережевими безпековими пристроями, які перевіряють сертифікати TLS, супротивник налаштовує Python-скрипт для ігнорування перевірки TLS, моделюючи tls_verify_disabled патерн телеметрії, який очікується правилом.

• Сценарій регресійного тесту:

   # Сценарій моделювання: активація правила виявлення за допомогою співставлення рядків і обхід TLS через Python
  
    Write-Host "[+] Розпочинається моделювання..." -ForegroundColor Cyan
  
    # 1. Активування вибору1: Командний рядок містить 'Ligolo'
    Write-Host "[+] Виконується моделювання інструмента для тунелювання (Ligolo)..." -ForegroundColor Yellow
    Start-Process "cmd.exe" -ArgumentList "/c echo Запуск двигуна тунелювання Ligolo..." -WindowStyle Hidden
  
    # 2. Активування вибору2: Python з моделюванням метаданих 'tls_verify_disabled'
    # Примітка: Оскільки 'tls_verify_disabled' ймовірно є спеціальним полем метаданих з EDR, 
    # ми моделюємо поведінку, яка б згенерувала такий тег.
    Write-Host "[+] Виконується моделювання Python-бейкона (TLS верифікація відключена)..." -ForegroundColor Yellow
  
    # Ця команда моделює процес python, що здійснює запит, явно 
    # пригніtaючи перевірку SSL, що буде помітно вдосконаленими EDR.
    $pythonCode = "import urllib.request, ssl; context = ssl._create_unverified_context(); urllib.request.urlopen('https://expired.badssl.com/', context=context)"
    python -c $pythonCode
  
    Write-Host "[+] Моделювання завершено. Перевірте SIEM на наявність тривог." -ForegroundColor Green

• Команди очищення:

   # Очистка: у цьому моделюванні не було створено файлів, але ми впевнюємося, що не залишилися жодні зайві процеси.
    Stop-Process -Name "python" -ErrorAction SilentlyContinue
    Write-Host "[+] Очищення завершено." -ForegroundColor Cyan