Pakar keamanan siber baru-baru ini membongkar sebuah ekosistem intrusi berbasis kecerdasan buatan (AI) yang dikendalikan oleh para afiliasi dari kelompok ransomware INC serta The Gentlemen.
Inti dari seluruh operasi kejahatan siber ini berpusat pada sebuah kerangka kerja yang diberi nama Phantom, yang didefinisikan sebagai "Autonomous Red Team Kill Chain Framework". Pelaku ancaman ini diperkirakan berbahasa Rusia dan berperan ganda sebagai operator intrusi dan pemerasan data, sekaligus menjadi penyedia infrastruktur yang menyokong berbagai rekanan di dalam jaringan ekosistem ransomware global.
"Para operator mengeksploitasi sistem akses jarak jauh dan perangkat edge dalam skala masif, termasuk FortiClient EMS, SimpleHelp, cPanel, serta gateway VPN," ungkap pihak SOCRadar. "Mereka memanfaatkan basis pengetahuan yang dikelola AI guna melacak para korban, data kredensial yang dicuri, serta perkembangan kampanye."
Aspek paling menonjol yang membentuk kampanye berbahaya ini adalah skema operasional "AI-executed, human-approved". Dalam struktur ini, seorang operator manusia bertugas menyusun perintah (prompt) khusus untuk tiap sasaran dan memverifikasi setiap tahapan serangan, sementara eksekusi intrusi riil ditangani via platform OpenCode yang memanfaatkan model-model komersial berfasilitas OpenRouter.
Penelusuran mendalam terhadap direktori terbuka di alamat IP 45.227.254[.]43 mendapati rekam aktivitas sebanyak 8.257 pesan yang tersebar di 133 sesi kerja. Ketika sistem model AI menolak perintah berbahaya yang diajukan, operator manusia tercatat merekayasa ulang permintaan tersebut seolah-olah pengujian red team yang legal, alih-alih sekadar berganti model AI lain.
Penyusupan mula-mula diwujudkan melalui eksploitasi massal pada perangkat edge yang terhubung langsung ke internet terbuka. Setelah itu, para peretas bergerak menyamping (lateral movement), membangun ketahanan akses, membobol dan menyedot data berharga keluar, hingga berujung pada penyebaran ransomware secara terencana. Catatan milik operator memperlihatkan bahwa rentetan gempuran siber tersebut melibatkan eksploitasi kerentanan keamanan –
"Begitu berhasil merangsek ke dalam sistem, para operator menjalankan siklus berulang: memetakan domain, menaikkan hak istimewa ke domain admin bilamana memungkinkan, menguras kredensial memakai perangkat lunak stealer, mengutamakan berkas milik divisi finansial, HRD, legal, serta eksekutif, lalu mengumpulkannya lewat terowongan reverse-SOCKS," beber SOCRadar.
"Praktik penggunaan ulang kredensial menjadi faktor pengganda kekuatan utama; dalam satu insiden, satu kata sandi yang dipakai berulang kali berhasil membuka akses ke VPN, peladen utama, sistem RMM, platform manajemen keamanan, dan cadangan sekaligus. Produk pertahanan siber dilumpuhkan memakai mekanisme pembunuh BYOVD dan teknik penghindaran tingkat pemuat, kendati log milik operator mendokumentasikan hasil yang tidak konsisten saat menghadapi sistem EDR tingkat enterprise."
Demi mencapai tujuan jahatnya, komplotan ini didukung oleh gudang persenjataan perangkat lunak yang variatif, meliputi kerangka kerja pesanan khusus, alat sumber terbuka yang dimodifikasi, dan berkas biner terkompilasi –
Perlengkapan lain yang dipakai mencakup agen Mythic bernama QuickLine yang berlindung di balik Cloudflare, pembunuh EDR Quick Heal/Seqrite yang menyalahgunakan driver sah Zemana ("zam64.sys") dalam serangan BYOVD, hingga program penyedot data macam rks3 dan BackupAgent.
Evaluasi terhadap puluhan catatan pemerasan yang dibuat oleh AI membuktikan bahwa peretas menerapkan pendekatan berpusat pada data finansial. Mereka menganalisis kondisi keuangan rampasan untuk menetapkan nominal tebusan realistis tanpa perlu menyeret bank maupun asuransi, lalu melayangkan bukti sampel data bertopeng, serta melipatgandakan tekanan lewat panggilan telepon vishing terencana dan ancaman pembocoran kepada konsumen, mitra, serta regulator.
Data korban pada akhirnya dipublikasikan di portal kebocoran apabila target mangkir bayar dalam kurun tenggat 24 sampai 72 jam. Walakin, ujung akhir dari pemerasan ini tidak diketahui persis karena belum ditemukan adanya catatan transaksi dompet kripto terkait.
Secara total, sekitar 62 entitas perusahaan diperkirakan telah menjadi sasaran operasi, dengan empat di antaranya berakhir diumumkan di situs bocoran INC dan The Gentlemen. Wilayah Amerika Serikat mendominasi lebih dari 50% target. Serangan ini paling banyak membidik sektor industri manufaktur dan energi, disusul organisasi farmasi dan kesehatan.
"Di seluruh infrastruktur terbuka ini, pelaku melancarkan eksploitasi besar-besaran terhadap layanan internet terbuka, menyasar gateway FortiClient EMS, gateway Ivanti/Citrix/SonicWall/OpenVPN, kontrol SimpleHelp, serta cPanel," papar SOCRadar.
"Bersamaan dengan itu, mereka mengatur serangan lewat kerangka kerja Phantom, membangun proxy RevSocks untuk pergerakan jaringan, menyebarkan varian Ghost C2, serta memanfaatkan pangkalan data AI untuk merekam telemetri korban, data curian, dan status aktif kampanye secara cermat."
