रैंसमवेयर सहयोगियों ने 'फैंटम' फ्रेमवर्क में AI एजेंट्स तैनात किए घुसपैठ स्वचालित करने के लिए, शोधकर्ताओं ने पाया

साइबर सुरक्षा शोधकर्ताओं SOCRadar ने एक कृत्रिम बुद्धिमत्ता-संचालित घुसपैठ पारिस्थितिकी तंत्र का खुलासा किया है जिसे INC और The Gentlemen रैंसमवेयर समूहों के सहयोगियों द्वारा संचालित किया जाता है। यह ऑपरेशन "ऑटोनॉमस रेड टीम किल चेन फ्रेमवर्क" नामक फैंटम पर केंद्रित है, जो मानव ऑपरेटर को अनुमोदन के लिए लूप में रखते हुए पूर्ण घुसपैठ जीवनचक्र को स्वचालित करता है।

AI-संचालित ऑपरेशन कैसे काम करता है

खतरे के अभिनेता को रूसी-भाषी माना जाता है, जो घुसपैठ और डेटा जबरन वसूली ऑपरेटर दोनों के रूप में कार्य करता है और रैंसमवेयर पारिस्थितिकी तंत्र में भागीदारों के लिए बुनियादी ढांचा प्रदाता के रूप में भी। SOCRadar के अनुसार, ऑपरेटरों ने बड़े पैमाने पर एज और रिमोट-एक्सेस सिस्टम का शोषण किया, जिसमें FortiClient EMS, SimpleHelp, cPanel, और VPN गेटवे शामिल हैं। उन्होंने पीड़ितों, चुराए गए क्रेडेंशियल्स और अभियान की प्रगति को ट्रैक करने के लिए AI-प्रबंधित नॉलेज बेस का उपयोग किया।

एक परिभाषित विशेषता "AI-निष्पादित, मानव-अनुमोदित ऑपरेटिंग संरचना" है: एक मानव ऑपरेटर पीड़ित-विशिष्ट प्रॉम्प्ट प्रदान करता है और हर चरण की समीक्षा करता है, जबकि घुसपैठ स्वयं OpenCode के माध्यम से OpenRouter-होस्टेड वाणिज्यिक मॉडलों के साथ निष्पादित की जाती हैं। 45.227.254[.]43 पर एक उजागर डायरेक्टरी के विश्लेषण से 133 सत्रों में 8,257 संदेश लॉग किए गए। जब मॉडलों ने प्रॉम्प्ट पर कार्य करने से इनकार किया, तो ऑपरेटर ने अनुरोधों को अधिकृत रेड टीम मूल्यांकन के रूप में फिर से लिखा, मॉडल बदलने के बजाय।

शोषित कमजोरियाँ और प्रारंभिक पहुंच

प्रारंभिक पहुंच सार्वजनिक-सामना करने वाले एज डिवाइस का बड़े पैमाने पर शोषण करके प्राप्त की जाती है। फिर हमलावर लेटरल मूवमेंट करते हैं, दृढ़ता स्थापित करते हैं, डेटा निकालते हैं, और रैंसमवेयर तैनाती की ओर बढ़ते हैं। ऑपरेटर रिकॉर्ड निम्नलिखित खामियों के शोषण का संकेत देते हैं:

• CVE-2024-57727 – SimpleHelp पथ ट्रैवर्सल (सक्रिय रूप से शोषित)
• CVE-2026-35616 – Fortinet FortiClient प्रमाणीकरण बाईपास (सक्रिय रूप से शोषित)
• CVE-2026-41940 – cPanel/WHM प्रमाणीकरण बाईपास (सक्रिय रूप से शोषित)
• CVE-2026-15409 – SonicWall SMA 1000 SSRF (लक्ष्यीकरण के लिए चरणबद्ध, कोई पुष्ट समझौता नहीं)
• CVE-2026-63030 – WordPress wp2shell (विकसित)
• CVE-2026-42208 – LiteLLM SQL इंजेक्शन (विकसित या संदर्भित)
• CVE-2026-9082 – Drupal SQL इंजेक्शन (विकसित या संदर्भित)

अंदर जाने के बाद, ऑपरेटरों ने एक आवर्ती जीवनचक्र का पालन किया: डोमेन की गणना करें, जहां संभव हो डोमेन एडमिन तक वृद्धि करें, स्टीलर टूलिंग के साथ क्रेडेंशियल्स प्राप्त करें, वित्त, HR, कानूनी और कार्यकारी फाइलों को प्राथमिकता दें, और उन्हें रिवर्स-SOCKS टनल के माध्यम से एकत्र करें। क्रेडेंशियल पुनर्उपयोग मुख्य बल गुणक था; एक मामले में, एक पुनर्उपयोग किए गए पासवर्ड ने VPN, सर्वर, RMM, बैकअप और सुरक्षा प्रबंधन प्लेटफॉर्म को एक साथ अनलॉक कर दिया। सुरक्षा उत्पादों को BYOVD किलर और लोडर-स्तरीय इवेजन के साथ बाधित किया गया, हालांकि ऑपरेटरों के अपने लॉग एंटरप्राइज EDR के खिलाफ मिश्रित परिणाम दर्ज करते हैं।

टूलकिट: फैंटम, घोस्ट C2, और कस्टम मैलवेयर

खतरे के अभिनेता का समर्थन करने वाला एक विविध टूलकिट है जिसमें बीस्पोक फ्रेमवर्क, संशोधित ओपन-सोर्स टूल और संकलित बाइनरी शामिल हैं:

• फैंटम – एक AI-संचालित आक्रामक सुरक्षा और पेनेट्रेशन टेस्टिंग फ्रेमवर्क जिसे OpenCode के माध्यम से लाइव ऑपरेशन में तैनात किया जाता है। यह एक एजेंट को नियोजित करता है जो कार्यों को पुनः प्राप्त करने, कमांड निष्पादित करने और आउटपुट वापस करने के लिए बाहरी सर्वर के साथ संचार करता है। यह टोही, बाइनरी रिवर्स इंजीनियरिंग, शोषण अनुसंधान, स्टेग्नोग्राफी, टेलीमेट्री मूल्यांकन, और EDR फिंगरप्रिंटिंग के लिए 18 कौशल मॉड्यूल का समर्थन करता है।
• WormGPT-MCP – 32 मॉडल कॉन्टेक्स्ट प्रोटोकॉल (MCP) सर्वरों का एक सेट जो AI सिस्टम को टोही से जबरन वसूली तक के कार्यों तक फैले 32 विभिन्न मॉड्यूल से जोड़ता है।
• घोस्ट C2 – पॉलीमॉर्फिक इम्प्लांट की तीन पीढ़ियाँ जो Cloudflare, Telegram, या DNS पर रिमोट सर्वर के साथ संचार करती हैं, टास्किंग निष्पादित करती हैं और समझौता किए गए एंडपॉइंट पर लगातार बीकन बनाए रखती हैं।
• RevSocks – एक रिवर्स SOCKS5 फ्रेमवर्क जिसका उपयोग पीड़ित नेटवर्क के अंदर पिवट करने और एक्सफिल्ट्रेशन के लिए डेटा स्टेज करने के लिए किया जाता है।
• अन्य टूल – एक Cloudflare-फ्रंटेड मिथिक एजेंट जिसे QuickLine कहा जाता है, एक Quick Heal/Seqrite EDR किलर जो BYOVD हमले के हिस्से के रूप में Zemana ड्राइवर ("zam64.sys") का दुरुपयोग करता है, और rks3 और BackupAgent जैसे एक्सफिल्ट्रेशन प्रोग्राम।

जबरन वसूली रणनीति और पीड़ित प्रोफाइल

दर्जनों AI-लिखित जबरन वसूली रिकॉर्ड के विश्लेषण से डेटा-केंद्रित दृष्टिकोण पता चलता है। खतरे के अभिनेता चुराए गए वित्तीय डेटा की जांच करते हैं ताकि यह निर्धारित किया जा सके कि पीड़ित बैंक या बीमाकर्ता को शामिल किए बिना कितना भुगतान कर सकता है, फिर मास्क्ड प्रूफ सैंपल भेजते हैं और स्क्रिप्टेड विशिंग कॉल और ग्राहकों, भागीदारों और नियामकों को सूचित करने की धमकियों के माध्यम से दबाव बढ़ाते हैं। यदि पीड़ित 24-72 घंटे की समय सीमा के भीतर भुगतान करने में विफल रहता है तो चुराया गया डेटा डेटा लीक साइट पर प्रकाशित किया जाता है। इन फिरौती मांगों के अंतिम परिणाम अज्ञात हैं; कोई क्रिप्टोकरेंसी वॉलेट या भुगतान रिकॉर्ड बरामद नहीं हुआ है।

कुल 62 संगठनों के लक्षित होने का अनुमान है, जिनमें से चार INC और The Gentlemen रैंसमवेयर के डेटा लीक साइटों पर सूचीबद्ध हैं। संयुक्त राज्य अमेरिका 50% से अधिक लक्ष्यों का हिस्सा है। हमलों ने मुख्य रूप से औद्योगिक, विनिर्माण और ऊर्जा क्षेत्रों को लक्षित किया, इसके बाद स्वास्थ्य देखभाल और फार्मास्युटिकल संगठन।

रक्षकों के लिए व्यावहारिक निहितार्थ

संगठनों को ऊपर सूचीबद्ध सक्रिय रूप से शोषित कमजोरियों को पैच करने को प्राथमिकता देनी चाहिए, विशेष रूप से इंटरनेट-सामना करने वाले एज डिवाइस पर। क्रेडेंशियल स्वच्छता महत्वपूर्ण बनी हुई है: सभी प्रणालियों में अद्वितीय, जटिल पासवर्ड लागू करें और फ़िशिंग-प्रतिरोधी बहु-कारक प्रमाणीकरण लागू करें। रिवर्स-SOCKS टनल और Cloudflare, Telegram, या DNS चैनलों से जुड़े असामान्य आउटबाउंड कनेक्शन की निगरानी करें जो घोस्ट C2 से जुड़े हैं। BYOVD हमलों और ड्राइवर दुरुपयोग (जैसे, zam64.sys) की पहचान करने में सक्षम व्यवहारिक पहचान के साथ EDR समाधान तैनात करें।

सत्यापन और प्रतिक्रिया कैसे करें

SOCRadar की पूर्ण तकनीकी रिपोर्ट में समझौता संकेतक, YARA नियम, और MITRE ATT&CK मैपिंग शामिल हैं। सुरक्षा टीमों को स्रोत URL पर सीधे रिपोर्ट की समीक्षा करनी चाहिए, IOC को आंतरिक टेलीमेट्री के साथ सहसंबंधित करना चाहिए, और यदि समझौता संदिग्ध है तो घटना प्रतिक्रिया प्रदाताओं से जुड़ना चाहिए। 45.227.254[.]43 पर उजागर बुनियादी ढांचे का दस्तावेजीकरण किया गया है; रक्षक इस IP को ब्लॉक कर सकते हैं और संबंधित ट्रैफिक की निगरानी कर सकते हैं।