INC 和 The Gentlemen 勒索软件揭示了人工智能驱动的攻击基础设施

摘要

与INC和The Gentlemen勒索软件团伙有关的附属公司，正在使用一个由AI驱动的入侵生态系统来自动化侦察、命令生成和数据分类。操作人员依靠一个名为Phantom的自定义框架，与商用LLMs一起支持大规模入侵。该生态系统是在主要的OPSEC失败后曝光的，这次失败暴露了指挥和控制基础设施以及存储的AI会话日志。

调查

调查从研究人员发现一个暴露的指挥和控制服务器45.227.254.43开始，该服务器包含开放目录，内有Phantom源代码和AI会话数据库。对配置文件和暴露的凭据的分析后来引导到六个其它对手控制的服务器。研究人员发现了一个高度自动化的工作流程，其中AI处理大部分技术执行，而人工操作人员保留总体监督。

缓解措施

组织应该优先修补边缘设备，特别是FortiClient EMS、SimpleHelp和cPanel，以消除常见的初始访问途径。强制在所有RMM、VPN和远程访问平台上使用多因素身份验证（MFA）对于减少凭证重用风险至关重要。防御者还应启用EDR防篡改保护，并监控未经授权的安全服务终止或已知漏洞驱动程序的加载。

响应

当检测到恶意活动时，隔离受影响的边缘设备，并检查EMS和RMM平台中所有的管理账户，是否有未经授权的添加。检查VPN连接脚本中是否有可疑修改，并立即更换已泄露的凭证。全面检查计划任务和活动的反向SOCKS隧道，识别并终止持续的C2通道。

模拟执行

• 攻击叙述和命令： 对手已经获得初始访问权限，并计划建立一个稳健的隧道，以实现横向移动。他们首先尝试运行一个重命名的隧道工具版本；然而，为了测试环境的检测能力，我们将使用字符串“Ligolo”来执行此命令以确保规则触发。其次，对手部署了一个基于Python的信标。为了避免被检测到网络安全设备检查的TLS证书，对手配置Python脚本以忽略TLS验证，模拟 tls_verify_disabled 规则期望的遥测模式。

• 回归测试脚本：

   # 模拟脚本：通过字符串匹配和Python TLS旁路触发检测规则
  
    Write-Host "[+] 开始模拟..." -ForegroundColor Cyan
  
    # 1. 触发选择1：命令行包含'Ligolo'
    Write-Host "[+] 执行隧道工具模拟（Ligolo）..." -ForegroundColor Yellow
    Start-Process "cmd.exe" -ArgumentList "/c echo Running Ligolo Tunneling Engine..." -WindowStyle Hidden
  
    # 2. 触发选择2：具有模拟'tls_verify_disabled'元数据的Python
    # 注意：由于'tls_verify_disabled'可能是EDR的自定义元数据字段，
    # 我们模拟会生成这种标签的行为。
    Write-Host "[+] 执行Python信标模拟（TLS验证已禁用）..." -ForegroundColor Yellow
  
    # 此命令模拟一个python进程执行请求同时明确抑制SSL验证，
    # 这将被高级EDR标记。
    $pythonCode = "import urllib.request, ssl; context = ssl._create_unverified_context(); urllib.request.urlopen('https://expired.badssl.com/', context=context)"
    python -c $pythonCode
  
    Write-Host "[+] 模拟完成。检查SIEM警报。" -ForegroundColor Green

• 清理命令：

   # 清理：此次模拟没有创建文件，但我们确保没有遗留进程。
    Stop-Process -Name "python" -ErrorAction SilentlyContinue
    Write-Host "[+] 清理完成。" -ForegroundColor Cyan