L'errore OPSEC dei criminali AI: la memoria che rende scalabile l'attacco diventa prova incriminante

Gli affiliati dei gruppi ransomware INC e The Gentlemen hanno operato per mesi con un framework AI autonomo chiamato Phantom, rivelato il 20 ottobre 2026 da SOCRadar Threat Research Unit dopo un fallimento OPSEC catastrofico. Il medesimo meccanismo che rendeva scalabili le intrusioni — una knowledge base persistente di vittime, credenziali e progresso campagna — ha lasciato tracce forensi complete su server esposti. La scoperta dimostra che l'adozione di modelli commerciali LLM nel cybercrime introduce vulnerabilità operative inedite, dove la persistenza della memoria AI si traduce in esposizione totale dell'intera catena criminale.

Phantom: la factory AI con licenza umana

Il framework centrale dell'operazione è Phantom, autodefinito "Autonomous Red Team Kill Chain Framework". Secondo il codice sorgente recuperato da SOCRadar, il sistema gestisce 18 moduli specializzati che coprono l'intero spettro dell'intrusione: ricognizione iniziale, reverse engineering, ricerca exploit, steganografia, valutazione telemetria e fingerprinting di soluzioni EDR. La comunicazione con i modelli avviene tramite OpenCode, un protocollo che consente agli agenti AI di eseguire comandi sul sistema target ricevendo istruzioni da server remoti.

I modelli utilizzati sono servizi commerciali standard accessibili su OpenRouter: anthropic/claude-opus-4.6 e moonshotai/kimi-k3. Quando i modelli rifiutavano richieste manifestamente dannose, gli operatori riscrivano i prompt come "Authorized Red Team Assessment Request" — una tecnica di jailbreaking basata su riformulazione del contesto. Questo pattern, documentato nei log delle 133 sessioni analizzate, indica familiarità operativa con i meccanismi di allineamento dei LLM commerciali.

La supervisione umana rimaneva costante: ogni campagna iniziava con un master prompt specifico per vittima, e l'AI attendeva approvazione prima di ogni azione. La direttiva ricorrente "coordinate every action with me" conferma che il ruolo dei modelli era di acceleratore tecnico, non di agente autonomo. La scalabilità derivava dalla capacità di Phantom di mantenere stato operativo tra le sessioni, non dall'eliminazione del controllo umano.

Dal bordo alla rete: il vettore edge e le CVE in campo

L'accesso iniziale sfruttava sistematicamente dispositivi edge e sistemi di remote access esposti. Le tecnologie target includevano FortiClient EMS, SimpleHelp, cPanel/WHM, e gateway VPN di Ivanti, Citrix, SonicWall e OpenVPN. Tre vulnerabilità specifiche erano al centro del playbook: CVE-2024-57727 (SimpleHelp, path traversal), CVE-2026-41940 (cPanel/WHM, authentication bypass) e CVE-2026-35616 (FortiClient EMS, authentication bypass, CVSS 9.8).

Quest'ultima, presente nel catalogo CISA Known Exploited Vulnerabilities con data di inserimento del 6 aprile 2026 e due date al 9 aprile 2026, è quella con il maggiore impatto operativo documentato. Secondo i record degli operatori — esplicitamente qualificati da SOCRadar come "operator-reported, not independently verified" — l'exploitation di FortiClient EMS avrebbe interessato 2.236 target, con creazione di 108 account amministrativi e gestione di 4.140 endpoint. Per SimpleHelp, gli operatori riportavano 242 IP unici impattati da uno scan di 4.922 server. Per cPanel, il conteggio interno segnalava 49 o più breach di piccoli hosting provider.

Il toolkit post-exploitation include Ghost C2 con tre generazioni di implant polimorfici, RevSocks per tunneling reverse SOCKS5, QuickLine per agent Mythic via Cloudflare, e un BYOVD per neutralizzare Quick Heal e Seqrite EDR attraverso il driver zam64.sys. Per l'esfiltrazione erano disponibili rks3 e BackupAgent.

La trappola della memoria: come la persistenza AI ha distrutto l'OPSEC

La scoperta è avvenuta a fine settembre 2026 non per analisi attiva dei difensori, ma per directory aperte sui server C&C. Dal server 45.227.254[.]43 su AS267784 (Flyservers S.A.) i ricercatori hanno recuperato l'intero corpus operativo. La knowledge base AI, progettata per tracciare vittime, credenziali rubate e progresso delle campagne, si è trasformata in registro forense completo.

L'espansione ha portato all'identificazione di ulteriori sei server, per un totale di sette nodi. Tra i materiali recuperati: 46 build custom di encryptor INC per sei vittime, in staging per il 1 ottobre 2026; screenshot del 30 settembre 2026 con cifratura live via SimpleHelp; e l'intero sorgente di Phantom.

"This reliance on AI memory became the operation's weakness: the knowledge bases and session logs form a complete evidence trail of the campaign."

— SOCRadar Threat Research Unit

Il paradosso è strutturale. L'efficienza scalabile del modello "AI-executed, human-approved" dipende dalla memoria persistente che consente di riprendere campagne senza ricostruire contesto. Ma quella stessa memoria, quando esposta, documenta intenzioni, pianificazione, evoluzione tattica e identificazione delle vittime con precisione che i log tradizionali difficilmente raggiungerebbero.

Il calcolo costo-beneficio: l'AI come commodity criminale

I numeri quantificano il ribaltamento del modello RaaS verso una variante "AI-as-a-service" per affiliate. La spesa API di oltre 23.920 dollari, rilevata il 5 ottobre 2026 su due account OpenRouter, è un investimento modesto rispetto ai ricavi potenziali di 62 organizzazioni. La geografia — 36 negli Stati Uniti, oltre il 50% — con settori industriali al 16,1%, healthcare al 14,5% ed energia, riflette targeting su infrastrutture critiche con bassa tolleranza al downtime.

L'approccio estorsivo è data-centric: analisi delle finanze rubate per calibrare il ransom, proof sample mascherati, script per vishing, minacce a clienti, partner e regolatori, finestre di 24-72 ore. La forza moltiplicativa principale è stata il riutilizzo di credenziali: in un caso, una password ripetuta ha sbloccato VPN, server, RMM, backup e piattaforme di security management.

I risultati contro difese enterprise sono stati misti. Nonostante BYOVD e evasione a livello loader, i log mostrano blocchi da EDR di fascia alta — i vantaggi dell'automazione AI non sono assoluti contro difese mature.

Cosa fare adesso

Le indicazioni per i difensori derivano direttamente dai pattern osservati nell'infrastruttura esposta. Perimetralmente, la priorità è il patching di CVE-2026-35616 su FortiClient EMS, CVE-2024-57727 su SimpleHelp e CVE-2026-41940 su cPanel/WHM, con monitoraggio specifico dei log di creazione account amministrativi non autorizzati. La rilevazione di sessioni OpenCode richiede analisi del traffico verso endpoint AI commerciali: i log mostrano pattern ripetibili di prompt rewriting con la formula "Authorized Red Team Assessment Request" che possono essere indicatori di compromesso.

Per i team di threat intelligence, la struttura delle knowledge base AI esposte suggerisce di cercare archivi di sessioni LLM con tracciamento vittima-specifico, file di stato operativo e cataloghi di credenziali rubate. La presenza di 32 MCP servers nel toolkit WormGPT-MCP indica che la ricognizione pre-intrusione è altamente automatizzata: i log di accesso a servizi edge devono essere correlati con scan di massa piuttosto che attività manuale.

Per i vendor AI, il caso documenta l'impossibilità pratica di distinguere programmaticamente tra red team autorizzato e attività criminale quando gli operatori adottano tecniche di context rewriting. I controlli di uso non autorizzato devono integrare analisi di pattern operativi — frequenza di richieste, struttura dei prompt, relazione con indirizzi IP noti — oltre al contenuto semantico isolato.

Domande frequenti

Fonti

• thehackernews.com
• infrastructure-now.co.uk
• infosectoday.io
• socradar.io
• news.lavx.hu
• nvd.nist.gov