Исследователи из SOCRadar раскрыли инфраструктуру, которую использовали партнёры групп INC и The Gentlemen. По их оценке, речь идёт о схеме с ИИ-агентами, где человек задавал цель и проверял каждый шаг, а сама атака шла через коммерческие модели и набор автоматизированных инструментов.

Операция затронула примерно 62 организации, а четыре жертвы позже появились на сайтах утечек. Больше половины целей пришлись на США, а в списке приоритетов были промышленность, производство, энергетика, здравоохранение и фармацевтика.

Как работала схема

В центре истории — фреймворк Phantom, который исследователи называют автономной цепочкой атаки с элементами красной команды. Внутри него оператор задавал промпт под конкретную жертву, а ИИ подхватывал рутину: разведку, поиск уязвимостей, проверку учётных данных и подготовку следующих шагов.

Если модель отказывалась выполнять команду, оператор не переключался на другую, а переписывал запрос в духе «авторизованной проверки безопасности». Так злоумышленники маскировали реальные действия под легитимный тест и добивались нужного результата.

Исследователи зафиксировали 8 257 сообщений в 133 сессиях на одном из открытых адресов. Это показывает, что атака велась не хаотично, а как управляемая кампания с журналом действий, списками жертв и отслеживанием стадии взлома.

Какие уязвимости и инструменты использовали

Первичный доступ строился вокруг публично доступных пограничных систем и шлюзов удалённого доступа. В отчёте упомянуты SimpleHelp, FortiClient EMS и cPanel/WHM, а также другие внешние сервисы, через которые компании обычно подключают сотрудников и администраторов.

Дальше злоумышленники двигались по сети, закреплялись, вытаскивали данные и переходили к вымогательству. В их арсенале были reverse-SOCKS-туннели, инструменты для кражи учётных данных, собственные агенты для связи с сервером и загрузчики, которые помогали обходить защитные решения.

Отдельно исследователи отмечают, что повторное использование паролей стало для атакующих главным усилителем. В одном случае один и тот же пароль открыл доступ сразу к шлюзу, серверам, платформам удалённого администрирования, резервного копирования и безопасности.

О похожей логике злоумышленников мы уже писали в разборе как ИНН, PostgreSQL и антивирус помогли захватить два домена и в материале про ИИ-агенты, которые взламывали сайты компаний.

Кого затронуло и чем это опасно

Авторы кампании работали не только на быстрый взлом, но и на финансовый результат. После кражи файлов они изучали финансовую отчётность, подбирали сумму, которую жертва, по их расчёту, могла заплатить без привлечения банка или страховщика, а затем усиливали давление через угрозы публикации данных и звонки.

Судя по отчёту, группа в первую очередь нацеливалась на финансовые, кадровые, юридические и руководящие документы. Именно такие файлы дают атакующим рычаг давления: они показывают внутреннюю кухню компании, контракты, переписку и персональные данные.

Отдельный риск в том, что схема использует массово эксплуатируемые внешние сервисы. Когда уязвим шлюз или панель удалённого управления, под ударом оказывается не один сервер, а вся сеть — от рабочих станций до резервных копий.

Для сравнения полезно посмотреть и на другие случаи, где атака начиналась с внешнего периметра: например, что серверные логи говорят о подозрительных запросах на Linux. Такие материалы помогают увидеть, как именно выглядит след вторжения на практике.

Что делать сейчас

Если в компании есть внешние шлюзы, панели администрирования, системы резервного копирования или удалённого доступа, их надо проверить в первую очередь. Обновления, ротация паролей и пересмотр прав доступа здесь важнее любой «точечной» настройки.

Для сотрудников и подрядчиков отдельный риск создают публичные Wi‑Fi-сети и чужие устройства. В таких сценариях уместно использовать инструмент для защищённой работы вне офиса как один из слоёв защиты, но не вместо обновлений, 2FA и контроля доступов.

Практический чек-лист

  • Проверьте, есть ли у компании внешние сервисы: шлюзы, панели администрирования, удалённый доступ, резервное копирование.
  • Установите обновления для пограничных систем и закройте всё, что не нужно для работы.
  • Смените пароли на учётках с доступом к критичным системам и отключите повторное использование старых комбинаций.
  • Включите двухфакторную аутентификацию для админов и всех удалённых аккаунтов.
  • Проверьте журналы входов, необычные сессии и подозрительные попытки доступа к файловым хранилищам.
  • Ограничьте доступ к резервным копиям и отдельным платформам управления инфраструктурой.
  • Подготовьте план на случай утечки: кто блокирует доступ, кто проверяет логи, кто сообщает клиентам и партнёрам.
  • Если вы часто работаете вне офиса, заранее настройте защищённый канал связи и не подключайтесь к незнакомым сетям без нужды.
Поделиться: