Secondo Red Hot Cyber, i criminali informatici stanno passando a un nuovo modello di attacco in cui l’intelligenza artificiale diventa non solo un assistente dell’aggressore, ma uno strumento per gestire quasi l’intera catena di penetrazione nell’infrastruttura aziendale. È quanto emerge dall’analisi dei ricercatori di SOCRadar, che hanno scoperto un intero ecosistema di attacchi ransomware automatizzati tramite AI.
Secondo quanto riportato, i gruppi INC e The Gentlemen utilizzano il framework Phantom su OpenCode insieme a modelli linguistici commerciali. Gli agenti AI eseguono le fasi di invasione secondo un piano automatizzato, mentre l’operatore umano stabilisce gli obiettivi, intervenendo solo in caso di malfunzionamenti.
Gli agenti AI eseguono le fasi di invasione secondo un piano automatizzato, mentre l’operatore umano stabilisce gli obiettivi, intervenendo solo in caso di malfunzionamenti. I registri analizzati contengono 8257 messaggi in 133 sessioni. Gli aggressori ottengono l’accesso iniziale tramite servizi Internet e dispositivi vulnerabili come FortiClient EMS, SimpleHelp, cPanel e gateway VPN, sfruttando vulnerabilità come CVE-2024-57727, CVE-2026-35616 e CVE-2026-41940. Altre vulnerabilità studiate includono SonicWall, WordPress, LiteLLM e Drupal.
Gli obiettivi principali sono documenti finanziari, dati sulle risorse umane, materiale legale e informazioni gestionali, con dati critici trasferiti tramite tunnel SOCKS inversi. Gli strumenti aggiuntivi comprendono WormGPT-MCP (32 server Model Context Protocol), Ghost C2 (malware polimorfico) e RevSocks (spostamento attraverso reti compromesse), con tecniche BYOVD utilizzate per neutralizzare le misure di protezione. Se il modello si rifiutava di soddisfare la richiesta, l’operatore lo riformulava come un’attività di penetration testing autorizzata.