Исследователи SOCRadar изучили открытую директорию на сервере злоумышленника и получили редкую возможность увидеть, как AI-агенты используются в реальных атаках вымогателей.
Кто и как
Оператор — предположительно русскоязычный, работает и как взломщик/вымогатель, и как поставщик инфраструктуры для партнёров групп INC и The Gentlemen.
Ядро — Phantom, «Autonomous Red Team Kill Chain Framework». Он работает через OpenCode: агент получает задачи с внешнего сервера, выполняет команды и возвращает вывод. Модели — коммерческие, через OpenRouter. Есть 18 модулей навыков: разведка, реверс бинарников, поиск эксплойтов, стеганография, фингерпринтинг EDR. Режим — «выполняет AI, одобряет человек»: оператор пишет промпт под жертву и проверяет каждый шаг. Когда модель отказывалась, оператор переформулировал задачу как «авторизованный red team», а не менял модель.
Масштаб
- 8257 сообщений в 133 сессиях.
- Около 62 организаций-целей, больше половины — в США; в основном промышленность, производство и энергетика, затем здравоохранение и фарма. Четыре жертвы появились на сайтах утечек.
- Рядом нашлись WormGPT-MCP (32 MCP-сервера), Ghost C2, BYOVD-убийца EDR на драйвере Zemana и инструменты эксфильтрации.
- Для начального доступа эксплуатировались, в частности, SimpleHelp (CVE-2024-57727), FortiClient (CVE-2026-35616) и cPanel/WHM (CVE-2026-41940).
Почему важно
Агентные инструменты для разработчиков стали штатной частью арсенала вымогателей, а «отказ» модели обходится простой переформулировкой. Защитникам стоит отслеживать аномальное использование LLM-API и агентных CLI в своей инфраструктуре.
SOCRadar researchers examined an exposed directory on an attacker’s server and got a rare look at how AI agents are used in real ransomware intrusions.
Who and how
The operator is assessed to be Russian-speaking and acts both as an intruder/extortionist and as an infrastructure provider for affiliates of the INC and The Gentlemen groups.
The core is Phantom, an “Autonomous Red Team Kill Chain Framework.” It runs through OpenCode: an agent pulls tasks from an external server, runs commands and returns output. The models are commercial ones via OpenRouter. It has 18 skill modules: reconnaissance, binary reverse engineering, exploit research, steganography, EDR fingerprinting. The mode is “AI-executed, human-approved”: the operator writes a victim-specific prompt and reviews each step. When a model refused, the operator reframed the task as an “authorized red team assessment” rather than switching models.
Scale
- 8,257 messages across 133 sessions.
- About 62 targeted organizations, more than half in the US; mostly industrial, manufacturing and energy, then healthcare and pharma. Four victims appeared on leak sites.
- Alongside it: WormGPT-MCP (32 MCP servers), Ghost C2, a BYOVD EDR killer using the Zemana driver, and exfiltration tools.
- Initial access exploited, among others, SimpleHelp (CVE-2024-57727), FortiClient (CVE-2026-35616) and cPanel/WHM (CVE-2026-41940).
Why it matters
Agentic developer tools have become a standard part of the ransomware toolkit, and a model’s refusal is bypassed with simple rephrasing. Defenders should watch for anomalous use of LLM APIs and agentic CLIs inside their infrastructure.