🛡 MALWARE 🛡

Infraestructura expuesta revela cómo los afiliados al ransomware utilizaron agentes de IA para ejecutar intrusiones.

⏰24 de octubre de 2026🛡CyberObservatorio

Idioma

◢ MALWARE ◣

Infraestructura expuesta revela cómo los afiliados al ransomware utilizaron agentes de IA para ejecutar intrusiones.

⟫ 23/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Fuente: The Hacker News

**Intrusión impulsada por IA: Un ecosistema de ciberamenaza revela la evolución del ransomware**

En un contexto donde la ciberseguridad se encuentra en un estado de alerta constante, investigadores han desentrañado un sofisticado ecosistema de intrusión impulsado por inteligencia artificial (IA), operado por afiliados de los grupos de ransomware conocidos como INC y The Gentlemen. Este hallazgo no solo pone en evidencia la creciente complejidad de las amenazas cibernéticas modernas, sino que también destaca la capacidad de los atacantes para integrar tecnologías avanzadas en sus operaciones, lo que representa un desafío significativo para organizaciones de todos los sectores.

La importancia de este descubrimiento radica en su potencial para afectar a una amplia gama de empresas, especialmente aquellas en sectores críticos como la industria, la manufactura, la energía y la salud. La creciente adopción de soluciones remotas y la interconexión de sistemas han ampliado la superficie de ataque, permitiendo que actores maliciosos aprovechen vulnerabilidades en dispositivos expuestos a Internet. Las implicaciones de estas intrusiones son profundas y, si no se abordan adecuadamente, podrían resultar en pérdidas financieras significativas, compromisos de datos y daños irreparables a la reputación de las organizaciones afectadas.

**Detalles técnicos de la operación Phantom**

El núcleo de esta operación es un marco denominado "Autonomous Red Team Kill Chain Framework", conocido como Phantom. Este marco permite a los operadores llevar a cabo intrusiones y extorsiones de datos, además de proporcionar infraestructura a diversos socios dentro del ecosistema del ransomware. Según SOCRadar, los atacantes han explotado sistemas de acceso remoto y dispositivos de borde a gran escala, incluyendo FortiClient EMS, SimpleHelp, cPanel y puertas de enlace VPN. Utilizan bases de conocimiento gestionadas por IA para rastrear a las víctimas, credenciales robadas y el progreso de las campañas.

Una de las características más notables de esta campaña es su estructura operativa "ejecutada por IA y aprobada por humanos", donde un operador humano proporciona un aviso específico para cada víctima y revisa cada paso del proceso mientras las intrusiones se ejecutan a través de OpenCode con modelos comerciales alojados en OpenRouter. Esto indica un nivel de sofisticación en la que la automatización se complementa con la supervisión humana, lo que permite a los atacantes mantener un control riguroso sobre sus operaciones.

El análisis de un directorio expuesto en la dirección IP 45.227.254[.]43 ha revelado que la actividad registrada abarcó 8,257 mensajes a lo largo de 133 sesiones. En caso de que los modelos se nieguen a actuar sobre los avisos proporcionados, se ha encontrado que el operador reescribe las solicitudes como si fueran una evaluación autorizada de un equipo rojo, en lugar de simplemente cambiar de modelo.

El acceso inicial a las redes se logra mediante la explotación de dispositivos de borde expuestos al público. Una vez dentro, los atacantes se mueven lateralmente, establecen persistencia, exfiltran datos y escalan hacia la implementación de ransomware. Los registros de los operadores indican que los ataques implican la explotación de varias vulnerabilidades críticas, que incluyen:

- **CVE-2024-57727**: Vulnerabilidad de recorrido de ruta en SimpleHelp (explotada activamente). - **CVE-2026-35616**: Bypass de autenticación en Fortinet FortiClient (explotada activamente). - **CVE-2026-41940**: Bypass de autenticación en cPanel/WHM (explotada activamente). - **CVE-2026-15409**: SSRF en SonicWall SMA 1000 (preparada para su explotación, sin compromisos confirmados). - **CVE-2026-63030**: Vulnerabilidad wp2shell en WordPress (desarrollada). - **CVE-2026-42208**: Inyección SQL en LiteLLM (desarrollada o referenciada). - **CVE-2026-9082**: Inyección SQL en Drupal (desarrollada o referenciada).

Los operadores siguen un ciclo de vida recurrente: enumeran el dominio, escalan a administrador de dominio cuando es posible, obtienen credenciales con herramientas de robo, priorizan archivos financieros, de recursos humanos, legales y ejecutivos, y los recopilan a través de túneles reversos SOCKS.

Un aspecto destacado es el uso de la reutilización de credenciales como un multiplicador de fuerza: en un caso, una única contraseña reutilizada abrió el acceso a la VPN, servidores, plataformas de gestión de seguridad y respaldo simultáneamente. Los productos de seguridad se vieron comprometidos por un "killer" y técnicas de evasión a nivel de cargadores, aunque los propios registros de los operadores indican resultados mixtos contra EDRs empresariales.

**Las herramientas detrás de la amenaza**

El arsenal del actor de la amenaza es diverso e incluye marcos personalizados, herramientas de código abierto modificadas y binarios compilados. Entre ellos se encuentra Phantom, un marco de seguridad ofensiva y pruebas de penetración impulsado por IA, que se despliega en operaciones en vivo a través de OpenCode y utiliza un agente que se comunica con un servidor externo para recuperar tareas, ejecutar comandos y devolver resultados. Este marco soporta 18 módulos de habilidad que facilitan la exploración, ingeniería inversa de binarios, investigación de exploits, esteganografía, evaluación de telemetría y huellas de EDR, entre otros.

Otro componente significativo es WormGPT-MCP, un conjunto de 32 servidores de Protocolo de Contexto de Modelo (MCP) que conectan el sistema de IA a 32 módulos diferentes, abarcando funciones que van desde la exploración hasta la extorsión. Ghost C2, por su parte, es una colección de tres generaciones de implantes polimórficos que se comunican con un servidor remoto a través de Cloudflare, Telegram o DNS, y ejecutan tareas mientras mantienen balizas persistentes en los puntos finales comprometidos.

RevSocks es un marco de SOCKS5 reverso utilizado para pivotar dentro de las redes de las víctimas y preparar datos para la exfiltración. Otras herramientas incluyen un agente Mythic respaldado por Cloudflare denominado QuickLine, un "killer" de EDR de Quick Heal/Seqrite que abusa del controlador de Zemana ("zam64.sys") como parte de un ataque BYOVD, y programas de exfiltración como rks3 y BackupAgent.

El análisis de docenas de registros de extorsión generados por IA muestra que los actores de la amenaza adoptan un enfoque centrado en los datos. Este enfoque implica examinar los datos financieros robados para determinar la cantidad que una víctima puede pagar sin involucrar a un banco o aseguradora, y luego enviar muestras de prueba enmascaradas, incrementando la presión a través de llamadas de vishing guionadas y amenazando con notificar a clientes, socios y reguladores.

Si la víctima no paga dentro de un plazo de 24 a 72 horas, los datos robados son finalmente publicados en un sitio de filtración de datos. Sin embargo, los resultados finales de estas demandas de rescate son inciertos, ya que no se ha recuperado ninguna dirección de billetera de criptomonedas o registro de pago.

Se estima que un total de 62 organizaciones han sido objetivo de esta operación, de las cuales cuatro acabaron siendo listadas en los sitios de filtración de datos de INC y The Gentlemen. Más del 50% de los objetivos se encuentran en Estados Unidos, y los ataques han estado dirigidos principalmente a los sectores industrial, manufacturero y energético, seguidos por organizaciones de salud y farmacéuticas.

**Conclusiones y recomendaciones**

En resumen, este incidente pone de relieve la capacidad de los actores de amenazas para explotar sistemas vulnerables utilizando un enfoque altamente automatizado y basado en IA. La explotación generalizada de servicios de Internet expuestos, específicamente mediante el uso de puertas de enlace como FortiClient EMS, Ivanti/Citrix/SonicWall/OpenVPN, y servidores de gestión remota de SimpleHelp, plantea la necesidad urgente de reforzar las medidas de seguridad cibernética.

Además, es fundamental que las organizaciones implementen prácticas de gestión de credenciales robustas, incluidas la rotación regular de contraseñas y la autenticación multifactor, para mitigar el riesgo de reutilización de credenciales. La vigilancia continua y el monitoreo de la red son esenciales para detectar actividad sospechosa y responder de manera proactiva a posibles incidentes de seguridad. En un mundo cada vez más interconectado, la colaboración entre las empresas y las entidades de seguridad cibernética será crucial para enfrentar estos desafíos emergentes.

◢ MALWARE ◣

Exposed Infrastructure Reveals How Ransomware Affiliates Used AI Agents to Execute Intrusions

⟫ 23/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Source: The Hacker News

Cybersecurity researchers have discovered an artificial intelligence (AI)-driven intrusion ecosystem run by affiliates of theINCandThe Gentlemenransomware groups. Central to the operation is an "Autonomous Red Team Kill Chain Framework" referred to as Phantom. The threat actor is assessed to be Russian-speaking and functions both as an intrusion and data-extortion operator, as well as an infrastructure provider supporting different partners across the ransomware ecosystem. "The operators exploited edge and remote-access systems at scale, including FortiClient EMS, SimpleHelp, cPanel, and VPN gateways," SOCRadarsaid. "They used AI-managed knowledge bases to track victims, stolen credentials, and campaign progress." A notable aspect that defines the campaign is its "AI-executed, human-approved operating structure" in which a human operator provides a victim-specific prompt and reviews every step, while the intrusions themselves are executed through OpenCode with OpenRouter-hosted commercial models. An examination of the exposed directory at 45.227.254[.]43 has revealed the activity logged 8,257 messages across 133 sessions. Should the models refuse to act on the prompts, the operator has been found torewrite requestsas an authorized red team assessment instead of simply switching models. Initial access is achieved by exploiting public-facing edge devices at scale, following which the attackers move laterally, establish persistence, exfiltrate data, and escalate toward ransomware deployment. Operator records indicate that the attacks involve the exploitation of the following flaws - CVE-2024-57727(SimpleHelp path traversal) (Actively exploited) CVE-2026-35616(Fortinet FortiClient authentication bypass) (Actively exploited) CVE-2026-41940(cPanel/WHM authentication bypass) (Actively exploited) CVE-2026-15409(SonicWall SMA 1000 SSRF) (Staged for targeting, no confirmed compromise) CVE-2026-63030(WordPresswp2shell) (Developed) CVE-2026-42208(LiteLLM SQL injection) (Developed or referenced) CVE-2026-9082(Drupal SQL injection) (Developed or referenced) "Once inside, the operators followed a recurring lifecycle: enumerate the domain, escalate to domain admin where possible, harvest credentials with stealer tooling, prioritize finance, HR, legal and executive files, and collect them over reverse-SOCKS tunnels," SOCRadar said. "Credential reuse was the main force multiplier; in one case, a single reused password unlocked the VPN, servers, RMM, backup and security management platforms at once. Security products were impaired with aBYOVD killerand loader-level evasion, although the operators' own logs record mixed results against enterprise EDRs." Supporting the threat actor in their goals is a diverse toolkit comprising bespoke frameworks, modified open-source tools, and compiled binaries - Phantom, an AI-powered offensive security and penetration testing framework that's deployed in live operations via OpenCode and employs an agent that communicates with an external server to retrieve tasks, execute commands, and return outputs. It supports 18 skill modules to facilitate reconnaissance, binary reverse engineering, exploit research, steganography, telemetry assessment, and EDR fingerprinting, among others. WormGPT-MCP, a set of 32 Model Context Protocol (MCP) servers connecting the AI system to 32 different modules that span functions ranging from reconnaissance to extortion. Ghost C2, a collection of three generations of polymorphic implants that communicate with a remote server over Cloudflare, Telegram, or DNS, and execute tasking and maintain persistent beacons on compromised endpoints. RevSocks, a reverse SOCKS5 framework used to pivot inside victim networks and stage data for exfiltration. Other tools include a Cloudflare-frontedMythic agentdubbed QuickLine, a Quick Heal/Seqrite EDR killer that abuses the Zemana driver ("zam64.sys") as part of a BYOVD attack, and exfiltration programs such as rks3 and BackupAgent. Analysis of dozens of AI-authored extortion records shows that the threat actors adopt a data-centric approach. It involves examining the stolen financials to determine the amount a victim can pay without having to involve a bank or an insurer, and then sending masked proof samples and ramping up pressure through scripted vishing calls and threatening to notify customers, partners, and regulators. The stolen data is eventually published on the data leak site if the victim fails to pay within a 24-72 hour deadline. That said, the final outcomes of these ransom demands are unknown as no cryptocurrency wallet or payment record has been recovered. A total of 62 organizations are estimated to have been targeted by the operation, out of which four of them ended up being listed on the data leak sites for INC and The Gentlemen ransomware. The U.S. accounts for more than 50% of the targets. The attacks also primarily targeted industrial, manufacturing, and energy sectors, followed by healthcare and pharmaceutical organizations. "Across this exposed infrastructure, the actors engaged in widespread exploitation of exposed internet services, specifically targeting FortiClient EMS gateways, Ivanti/Citrix/SonicWall/OpenVPN gateways, SimpleHelp remote management servers, and cPanel hosting controls," SOCRadar said. "Concurrently, they orchestrated operations via the Phantom framework, established RevSocks reverse-SOCKS proxies for network pivoting, deployed Ghost C2 variants, and utilized AI-managed knowledge bases to meticulously log victim telemetry, compromised credentials, and active campaign statuses."

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD