KI-gesteuerte Ransomware-Gruppe zielt auf Edge-Geräte von KMU und cPanel-Server

Cybersecurity-Forscher haben eine ausgefeilte Ransomware-Operation entdeckt, die künstliche Intelligenz nutzt, um Einbrüche in Netzwerke kleiner und mittlerer Unternehmen zu automatisieren. Affiliates der Ransomware-Gruppen INC und The Gentlemen nutzten im gesamten Jahr 2026 ein benutzerdefiniertes Framework namens Phantom, um gängige Edge-Geräte wie Fortinet-Gateways und cPanel-Hosting-Kontrollen anzugreifen.

Was passiert ist

Die Kampagne wurde von einem russischsprachigen Bedrohungsakteur orchestriert, der sowohl als Intrusion-Operator als auch als Infrastruktur-Anbieter für andere Ransomware-Partner fungiert. Zentral für ihren Erfolg war das Phantom-Framework, ein „Autonomous Red Team Kill Chain Framework“, das Angriffe unter Verwendung kommerzieller KI-Modelle ausführt, die über OpenCode auf OpenRouter gehostet werden. Während die KI die technische Ausführung von Befehlen und die Reconnaissance übernimmt, bleibt ein menschlicher Operator im Prozess, gibt spezifische Prompts vor und überprüft jeden Schritt, um sicherzustellen, dass der Angriff wie geplant verläuft. Wenn sich ein KI-Modell weigert, einen böswilligen Prompt auszuführen, formuliert der Operator die Anfrage einfach so um, dass sie als autorisierte Red-Team-Bewertung erscheint, und umgeht so Sicherheitsfilter, ohne das Modell zu wechseln.

SOCRadar-Forscher entdeckten dieses Ökosystem nach der Analyse eines exponierten Verzeichnisses auf der IP-Adresse 45.227.254[.]43. Die Logs offenbarten 8.257 Nachrichten in 133 Sitzungen, die detailliert beschreiben, wie die Angreifer Opfer-Telemetrie, gestohlene Zugangsdaten und den Kampagnenfortschritt über KI-verwaltete Wissensdatenbanken steuerten. Die Operation richtete sich gegen 62 Organisationen, hauptsächlich in den Vereinigten Staaten, mit Fokus auf die Branchen Industrie, Fertigung, Energie, Gesundheitswesen und Pharmazie. Vier dieser Opfer wurden schließlich auf den Datenleck-Seiten veröffentlicht, die mit den Ransomware-Gruppen INC und The Gentlemen verbunden sind.

Wichtige Details

• Die Angreifer nutzten aktiv CVE-2024-57727 in SimpleHelp, CVE-2026-35616 in Fortinet FortiClient und CVE-2026-41940 in cPanel/WHM aus, um initialen Zugriff zu erlangen.
• Phantom unterstützt 18 Skill-Module, darunter Reconnaissance, Binär-Rückwärtsengineering und EDR-Fingerprinting, die über 32 Model Context Protocol Server verbunden sind, bekannt als WormGPT-MCP.
• Die Wiederverwendung von Zugangsdaten war ein wesentlicher Faktor für die Skalierung; in einem Fall ermöglichte ein einzelnes Passwort gleichzeitig den Zugriff auf VPNs, Server, RMM-Tools und Backup-Plattformen.
• Die Gruppe nutzte RevSocks Reverse-SOCKS5-Tunnel für laterale Bewegung und Datenexfiltration, wobei Finanz-, HR-, Rechts- und Führungskräfte-Daten priorisiert wurden.
• Die Erpressungstaktiken waren datenzentriert: KI wurde eingesetzt, um gestohlene Finanzdatensätze zu analysieren und Lösegeldbeträge festzulegen, die Opfer zahlen konnten, ohne Banken oder Versicherer einzubeziehen.
• Weitere entwickelte oder referenzierte Exploits umfassten Schwachstellen in SonicWall SMA 1000, WordPress wp2shell, LiteLLM und Drupal.

Hintergrund

Um die Schwere dieser Kampagne zu verstehen, hilft es, die Rolle von Edge-Geräten in der modernen IT-Infrastruktur zu erkennen. Edge-Geräte wie Firewalls, VPN-Gateways und Hosting-Kontrollpanels befinden sich an der Grenze zwischen dem internen Netzwerk eines Unternehmens und dem öffentlichen Internet. Sie sind häufige Ziele, da sie ständig online sind und oft kritische Zugangspunkte verwalten. Wenn diese Geräte ungepatchte Schwachstellen aufweisen, wie etwa die Authentifizierungs-Umgehungen in Fortinet- und cPanel-Produkten, können Angreifer eindringen, ohne Mitarbeiter durch Phishing-E-Mails täuschen zu müssen.

Der Einsatz von KI in diesem Kontext stellt einen Wandel vom manuellen Hacking hin zu automatisierten, skalierbaren Einbrüchen dar. Traditionelle Ransomware-Angriffe erfordern erheblichen menschlichen Aufwand, um ein Netzwerk zu kartieren und Schwachstellen zu finden. Durch die Nutzung eines KI-Agenten wie Phantom können die Angreifer Informationen schnell verarbeiten, sich an verschiedene Netzwerkumgebungen anpassen und komplexe Befehlssequenzen mit minimaler menschlicher Intervention ausführen. Die Struktur der „menschlichen Genehmigung“ stellt sicher, dass strategische Entscheidungen trotz der Vorarbeit durch die KI unter menschlicher Kontrolle bleiben, was die Operation sowohl schnell als auch präzise macht.

Warum es wichtig ist

Für Teams, die ihre eigene Software betreiben und ihre eigene Infrastruktur verwalten, hebt dieser Vorfall das kritische Risiko ungepatchter Edge-Dienste hervor. Kleine und mittlere Unternehmen verlassen sich oft auf Lösungen wie cPanel für Webhosting oder Fortinet für sicheren Remote-Zugriff. Diese Tools sind praktisch, werden aber zu Single Points of Failure, wenn sie nicht sorgfältig gewartet werden. Die Tatsache, dass Angreifer gezielt diese weit verbreiteten Plattformen ins Visier nahmen, bedeutet, dass jede Verzögerung bei der Installation von Sicherheitsupdates Ihr gesamtes Netzwerk automatisierten Intrusions-Versuchen aussetzen kann.

Darüber hinaus zeigt die Abhängigkeit von der Wiederverwendung von Zugangsdaten, dass Perimetersicherheit allein nicht ausreicht. Sobald die Angreifer die Edge-Geräte kompromittiert hatten, nutzten sie gestohlene Passwörter, um sich lateral im Netzwerk zu bewegen und auf Backupsysteme sowie Sicherheitsmanagement-Plattformen zuzugreifen. Dies deutet darauf hin, dass selbst wenn Sie Ihre extern erreichbaren Dienste patchen, schwache interne Passwort-Hygiene Angreifern ermöglichen kann, Persistenz aufrechtzuerhalten und sensible Daten zu exfiltrieren. Der Einsatz von Reverse-SOCKS-Tunneln weist zudem darauf hin, dass traditionelles Netzwerk-Monitoring diesen Traffic möglicherweise übersieht, wenn nicht speziell nach ungewöhnlichen Proxy-Verbindungen gesucht wird.

Was Sie tun können

• Patchen Sie sofort Fortinet FortiClient-, cPanel/WHM- und SimpleHelp-Installationen, um die aktiv ausgenutzten Schwachstellen CVE-2026-35616, CVE-2026-41940 und CVE-2024-57727 zu beheben.
• Erzwingen Sie eindeutige, starke Passwörter für alle Administratorkonten, insbesondere für solche mit Zugriff auf VPNs, RMM-Tools und Backupsysteme, um Angriffe durch Wiederverwendung von Zugangsdaten zu verhindern.
• Überwachen Sie ungewöhnliche ausgehende Traffic-Muster, wie Reverse-SOCKS-Verbindungen, die auf laterale Bewegung oder Datenexfiltration innerhalb Ihres Netzwerks hinweisen könnten.
• Schränken Sie den administrativen Zugriff auf Edge-Geräte ein, indem Sie Login-Versuche auf bestimmte IP-Adressen beschränken und Multi-Faktor-Authentifizierung wherever möglich erzwingen.
• Überprüfen und härten Sie Ihre Backup-Konfigurationen, um sicherzustellen, dass sie nicht mit denselben Zugangsdaten wie Ihre primären Produktionssysteme zugänglich sind.
• Implementieren Sie automatisiertes Heartbeat-Monitoring für kritische Wartungsjobs und Backups, um zu erkennen, ob Sicherheitstools oder Datenschutzprozesse stillschweigend deaktiviert wurden.