Phantom: gli affiliati ransomware hanno guidato agenti AI nella kill chain

Un server mal configurato ha fatto quello che un report di un vendor di solito non può: ha permesso ai difensori di leggere dall'interno gli strumenti AI di una banda ransomware attiva. I ricercatori della Threat Research Unit di SOCRadar hanno recuperato la knowledge base, i log delle sessioni e il codice sorgente di un framework che gli operatori chiamano Phantom — un "Autonomous Red Team Kill Chain Framework" usato dagli affiliati che lavorano con INC Ransomware e The Gentlemen per pianificare e condurre intrusioni. È la prima volta che il pubblico vede non lo slogan sugli "attacchi con AI", ma i log veri: 8.257 messaggi, su 133 sessioni, con tanto di conto API.

Notizia in evoluzione — pubblicata alle 23:36 (21:36 UTC) del 23 ottobre 2026. Aggiornata man mano che SOCRadar e i vendor coinvolti pubblicano altro.

Cosa ha trovato SOCRadar dietro il framework Phantom

Il punto d'ingresso è stato un host command-and-control esposto, 45.227.254[.]43. Conteneva la knowledge base centrale degli operatori, i database delle sessioni AI e il sorgente stesso di Phantom. Credenziali e file di configurazione su quella macchina portavano ad altri sei server dell'avversario — sette in totale, quasi tutti su AS267784 (Flyservers S.A.), con attività C2 che risaliva a metà luglio 2026. SOCRadar valuta "con alta confidenza che gli host fungessero da banco di lavoro operativo e di sviluppo delle intrusioni", secondo il report della sua Threat Research Unit.

Phantom non è un wrapper attorno a un chatbot. Il report descrive 18 moduli di skill, un motore di routing, un orchestratore in autopilot e agenti scritti dagli operatori in Python e Go. Quegli agenti si camuffano da componenti di Windows Update e richiamano api.iquickline[.]com. Una flotta di 32 server "WormGPT-MCP" collega il modello agli strumenti veri, così l'AI arriva dalla ricognizione fino all'estorsione senza che l'operatore lasci la finestra di chat.

Gli operatori sono valutati come di lingua russa, più attivi tra le 06:00 e le 14:00 UTC. SOCRadar assegna bassa confidenza a un'alleanza formale tra i due marchi INC (tracciato da MITRE come G1032) e The Gentlemen, ma confidenza medio-alta sul fatto che entrambi operassero nello stesso ambiente condiviso.

Lo stack AI era volutamente banale

Il risultato più utile è il meno spettacolare. Non c'era nessun modello malvagio su misura. "WormGPT" era un prompt di persona, non un prodotto. Gli operatori guidavano tutto tramite OpenCode come interfaccia, chiamando modelli commerciali standard via OpenRouter — i log citano anthropic/claude-opus-4.6 e moonshotai/kimi-k3. Quando un modello rifiutava una richiesta, gli operatori non passavano a un'alternativa senza censura: riformulavano il compito come valutazione red team autorizzata e il rifiuto spariva.

Due dettagli dai log meritano attenzione:

• Ogni passo richiedeva l'approvazione dell'operatore. Ogni campagna si apriva con un master prompt specifico per la vittima, e all'AI veniva ordinato di coordinare ogni azione con un umano. Non era autonomia "lancia e dimentica". Era un operatore con un moltiplicatore di forza AI che approvava le mosse.
• L'AI faceva il lavoro di pianificazione, non la magia. Secondo SOCRadar, il modello pianificava la ricognizione, selezionava le tecniche, generava i comandi, classificava i dati rubati e scriveva i report di estorsione. La spesa registrata ha superato i 23.920 dollari di costi API su quegli 8.257 messaggi.

"Abbiamo bloccato il modello pericoloso" è il modello mentale sbagliato. Non c'era nessun modello pericoloso. C'era un modello generalista, economico e collaborativo, puntato sul tuo perimetro da qualcuno che sapeva come chiamarlo "pentest".

Questo ridefinisce il problema del difensore. Non hai di fronte una superarma jailbroken. Hai di fronte intelligenza di massa applicata con pazienza agli stessi apparati di bordo che già sai essere esposti.

La kill chain correva su apparati di bordo che puoi aggiornare

Gli agenti di Phantom non hanno inventato zero-day inediti. Hanno industrializzato lo sfruttamento di vulnerabilità di bordo note e già catalogate — gli stessi prodotti di accesso remoto e hosting che compaiono nei dati sugli incidenti di ogni trimestre. I log degli operatori, letti da SOCRadar, registrano il lavoro in volume:

Prodotto	Vulnerabilità	Attività registrata nei log
FortiClient EMS	CVE-2026-35616 (CVSS 9.8, KEV)	2.236 bersagli; 108 account admin backdoor creati; 4.140 endpoint gestiti raggiunti
SimpleHelp	CVE-2024-57727 (path traversal, KEV)	4.922 server scansionati; 427 password admin ottenute; 242 IP unici colpiti
cPanel / WHM	CVE-2026-41940 (bypass autenticazione, CVSS 9.8, KEV)	49+ violazioni rivendicate di piccoli hosting provider
Gateway VPN	Ivanti, Citrix, SonicWall, OpenVPN valutati	3 compromissioni registrate; tentati ZeroLogon, PrintNightmare, noPac

Ognuno dei tre CVE citati è nel catalogo Known Exploited Vulnerabilities della CISA, con una correzione disponibile. Il contributo dell'AI non era la scoperta. Era la scala e la pazienza: scansionare migliaia di host, filtrare ciò che risponde, scrivere il comando successivo, ripetere e consegnare all'operatore una lista di appoggi vivi. Entro il 30 settembre 2026 la banda aveva assemblato 46 build dell'encryptor INC per sei vittime, pronte per il deployment del 1° ottobre; uno screenshot di SimpleHelp di quel giorno mostra l'encryptor già in esecuzione sulla workstation di una vittima. Il ramo The Gentlemen preparava un pacchetto di estorsione contro Leo Schachter Diamonds. SOCRadar conta 62 organizzazioni bersaglio nominate, 36 negli Stati Uniti, con in testa industria, manifatturiero ed energia al 16,1%.

È lo stesso marchio di cui Security Affairs ha documentato a giugno l'economia: gli affiliati esterni trattengono il 90% di ogni riscatto, gli accessi si comprano dagli infostealer di massa e il core team mantiene il pannello. Phantom è ciò che ottieni quando quel modello di affiliazione monta un pianificatore AI davanti.

Chiudi subito queste porte

Il framework è il titolo; l'esposizione su cui ha viaggiato è ciò su cui puoi agire oggi.

• Fai l'inventario delle quattro famiglie di prodotti qui sopra. Se usi FortiClient EMS, SimpleHelp, cPanel/WHM o un gateway VPN esposto su Internet, trattali come i bersagli di prima classe che sono. Verifica di essere oltre le versioni corrette per ogni CVE elencato in KEV — non sono patch opzionali, sono sfruttate attivamente.
• Cerca gli indicatori noti. Controlla connessioni in uscita verso api.iquickline[.]com, processi che si spacciano per Windows Update senza una lineage di aggiornamento legittima, e nuovi account admin su FortiClient EMS e SimpleHelp che nessuno nel tuo team riconosce. I 108 admin backdoor e le 427 password SimpleHelp raccolte nei log sono lo schema, non un caso isolato.
• Ruota ciò che l'apparato di bordo poteva raggiungere. Un bypass di autenticazione o un path traversal su un apparato di gestione rende sospetta ogni credenziale memorizzata su di esso o da esso raggiungibile. Aggiornare un host compromesso non annulla il leak dei suoi segreti.
• Dai per scontato che l'operatore fosse paziente. Il C2 fantasma girava da metà luglio. Gli accessi comprati dagli infostealer possono restare inutilizzati per mesi. Controlla il riuso dei token di sessione e gli account admin dormienti, non solo i log della settimana scorsa.

Sulla domanda più ampia che tutto questo solleva — come trovi questi appoggi prima dell'agente di un attaccante — la risposta onesta è fare lo stesso tipo di test su te stesso, in continuo, non una volta l'anno. La nostra guida al penetration testing automatizzato spiega che cadenza serve. E non è la prima volta che osserviamo un attaccante puntare un agente autonomo su bersagli vivi: vedi gli agenti di Cairn che hanno violato oltre 100 aziende per ~5.000 dollari e gli agenti AI che hanno raccolto migliaia di credenziali in meno di sei ore.

Cosa non si sa ancora

• Il totale reale delle vittime. SOCRadar nomina 62 organizzazioni e riporta 427 password admin SimpleHelp e 108 admin backdoor FortiClient, ma non dà un conteggio unico di credenziali o di violazioni confermate. I numeri sui bersagli sono rivendicazioni dai cruscotti della banda, non compromissioni verificate in modo indipendente.
• Se INC e The Gentlemen siano formalmente alleati. Le prove indicano un banco di lavoro condiviso, non un programma fuso. La confidenza sull'alleanza tra i due marchi è esplicitamente bassa.
• Come reagiranno i provider di AI. Una verifica dal vivo il 5 ottobre 2026 ha trovato due account OpenRouter a pagamento ancora attivi. Se verranno chiusi — e se gli operatori semplicemente li riattiveranno altrove — resta aperto.
• Cos'altro sa fare Phantom. Da un solo host esposto sono stati recuperati 18 moduli di skill e un autopilot. I moduli non ancora dettagliati nel report pubblico sono l'incognita.

Dove lascia i difensori

La conclusione scomoda è che l'architettura dell'attaccante e quella del difensore ormai dovrebbero somigliarsi. Phantom è un red team autonomo con un umano che approva ogni mossa contro una lista di apparati di bordo. L'unica risposta duratura a un avversario che fa questo è far girare una versione governata della stessa cosa sul tuo perimetro, per primo — e arrivarci prima dell'agente dell'attaccante.

È la forma di Zero Hunt: un red team AI autonomo che gira on-premise sui propri modelli privati, con un umano nel ciclo per ogni azione che conta — la stessa disciplina di approvazione che mostravano i log di Phantom, solo che i risultati sono tuoi. Uno swarm di 10 agenti identifica la versione esatta di ogni FortiClient EMS, SimpleHelp o cPanel esposto e scrive una catena di exploit generativa, per singolo bersaglio — non una ricerca in un catalogo — backtestata nell'AI Gym prima di toccare la produzione, con ogni risultato firmato al momento della scrittura (Ed25519, hash-chained) per la traccia d'audit. Poiché i modelli sono locali, non c'è nessun conto OpenRouter da prosciugare, nessun terzo che possa rifiutare, limitare o spegnere la capacità, e nessun dato del cliente che esce dall'apparato. Risponde alla domanda dell'attaccante dal punto di vista dell'attaccante: un agente può raggiungere un appoggio vivo sul mio bordo prima che me ne accorga?

E poiché tutto il valore di Phantom stava nella pazienza sul filo — migliaia di scansioni, staging lento, build dell'encryptor pronte con giorni di anticipo — la superficie complementare è la rete stessa. L'analisi del traffico di Zero Hunt fa girare un modello di deep learning con quattro teste di inferenza parallele sulla GPU dell'apparato, addestrato su miliardi di sequenze PCAP, che osserva la scansione anomala, il callback mai visto e il burst di staging mentre accadono — non nel digest SIEM del mattino dopo, che per la vittima del 30 settembre sarebbe arrivato il giorno in cui i file erano già in cifratura.