Para peneliti keamanan siber baru saja membongkar ekosistem intrusi berbasis kecerdasan buatan (AI) yang dioperasikan oleh afiliasi dari kelompok ransomware INC serta The Gentlemen.
Pusat dari keseluruhan operasi kejahatan siber ini bertumpu pada apa yang dinamakan "Autonomous Red Team Kill Chain Framework" dengan sebutan Phantom. Pelaku ancaman ini diperkirakan berbahasa Rusia dan menjalankan peran ganda, yakni sebagai operator intrusi dan pemerasan data, sekaligus sebagai penyedia infrastruktur penunjang bagi berbagai mitra di dalam ekosistem ransomware global.
"Para operator mengeksploitasi sistem edge serta akses jarak jauh dalam skala yang sangat masif, termasuk FortiClient EMS, SimpleHelp, cPanel, hingga gerbang VPN," ungkap pihak SOCRadar. "Mereka memanfaatkan basis pengetahuan yang dikelola AI untuk memantau para korban, kredensial yang berhasil dirampas, serta memantau perkembangan kampanye serangan."
Karakteristik paling mencolok yang membedakan kampanye ini adalah penerapan skema "AI-executed, human-approved operating structure". Dalam struktur ini, seorang operator manusia bertugas memberikan instruksi atau prompt khusus untuk setiap korban serta meninjau setiap tahapan aksi, sementara peretasan teknis dijalankan secara langsung lewat OpenCode dengan memanfaatkan model komersial yang di-host di OpenRouter.
Pemeriksaan mendalam terhadap direktori terbuka di alamat IP 45.227.254[.]43 mencatat adanya 8.257 pesan yang terbagi ke dalam 133 sesi kerja. Apabila sistem model menolak menjalankan instruksi berbahaya tersebut, operator terpantau menulis ulang perintah seolah-olah merupakan penilaian tim merah (red team) resmi, alih-alih sekadar berganti ke model lain.
Tahap akses awal diraih pelaku melalui eksploitasi besar-besaran terhadap perangkat edge yang terhubung ke jaringan publik. Setelah berhasil menembus celah tersebut, para penyerang mulai bergerak menyamping, membangun persistensi sistem, mencuri data perusahaan, dan meningkatkan ancaman menuju peluncuran ransomware. Catatan milik operator mengonfirmasi bahwa rentetan serangan ini memanfaatkan eksploitasi kerentanan perangkat lunak.
"Begitu berhasil masuk ke jaringan, para operator menerapkan siklus teratur: mengumpulkan informasi domain, meningkatkan hak akses menjadi admin domain jika memungkinkan, memanen kredensial memakai peranti pencuri, memprioritaskan dokumen keuangan, SDM, hukum, serta berkas eksekutif, lalu mengambilnya melalui terowongan reverse-SOCKS," jelas SOCRadar.
"Penggunaan ulang kredensial menjadi faktor pengganda kekuatan utama; dalam sebuah peristiwa, satu kata sandi yang dipakai berulang kali berhasil membuka akses VPN, peladen, RMM, platform cadangan data, dan manajemen keamanan sekaligus. Berbagai sistem proteksi dilumpuhkan dengan teknik BYOVD killer serta penghindaran di tingkat loader, kendati log milik operator mendokumentasikan hasil yang beragam saat berhadapan dengan solusi EDR korporat."
Guna memuluskan rencana jahat mereka, pelaku kejahatan ini didukung oleh seperangkat perkakas serbaguna yang memadukan kerangka kerja khusus buatan sendiri, peranti sumber terbuka yang dimodifikasi, serta berbagai biner terkompilasi.
Perangkat lunak penunjang lainnya meliputi agen Mythic berkedok Cloudflare bernama QuickLine, program pelumpuh EDR Quick Heal/Seqrite yang menyalahgunakan berkas driver Zemana ("zam64.sys") dalam skema serangan BYOVD, serta program eksfiltrasi data seperti rks3 dan BackupAgent.
Penelusuran terhadap puluhan berkas pemerasan yang disusun menggunakan bantuan kecerdasan buatan memperlihatkan bahwa pelaku mengedepankan pendekatan berbasis data. Langkah ini mencakup penelaahan kondisi finansial yang dijarah untuk menakar besaran tebusan yang sanggup diserahkan korban tanpa perlu melibatkan bank maupun pihak asuransi. Setelah itu, pelaku mengirim sampel bukti yang disamarkan, meningkatkan tekanan lewat panggilan penipuan suara (vishing) terstruktur, serta mengancam akan memberi tahu konsumen, mitra rekanan, hingga lembaga regulator.
Data rampasan tersebut pada akhirnya akan dipublikasikan ke situs pembocor apabila korban mangkir dari tenggat pembayaran antara 24 hingga 72 jam. Kendati demikian, hasil akhir dari tuntutan uang tebusan tersebut belum dapat dipastikan karena tidak ada alamat dompet mata uang kripto ataupun riwayat pembayaran yang berhasil ditemukan.
Secara keseluruhan, sekitar 62 organisasi diperkirakan telah menjadi sasaran operasi siber ini, di mana empat di antaranya berakhir dipajang pada situs kebocoran data milik kelompok ransomware INC dan The Gentlemen. Lebih dari 50% target berlokasi di Amerika Serikat. Pola penyerangan ini terutama menyasar sektor industri manufaktur dan energi, disusul oleh institusi kesehatan dan farmasi.
"Di seluruh infrastruktur yang tersingkap ini, para aktor terlibat dalam eksploitasi besar-besaran terhadap layanan internet terbuka, menyasar secara spesifik pada gerbang FortiClient EMS, gerbang Ivanti/Citrix/SonicWall/OpenVPN, peladen kendali jarak jauh SimpleHelp, serta panel hosting cPanel," papar SOCRadar.
"Secara bersamaan, mereka mengorkestrasi penyerangan lewat kerangka Phantom, menyiapkan proxy reverse-SOCKS RevSocks untuk manuver pergerakan jaringan, menyebarkan varian Ghost C2, serta memberdayakan pangkalan pengetahuan berbasis AI untuk mencatat telemetri korban secara terperinci, daftar kredensial yang dibobol, dan status kampanye yang berjalan."
