Grupo de ransomware impulsado por IA ataca dispositivos de borde para pymes y servidores cPanel

Investigadores de ciberseguridad han descubierto una sofisticada operación de ransomware que aprovecha la inteligencia artificial para automatizar intrusiones en redes de pequeñas y medianas empresas. Afiliados de los grupos de ransomware INC y The Gentlemen utilizaron un marco personalizado llamado Phantom para explotar dispositivos de borde comunes, incluidas pasarelas Fortinet y paneles de control de alojamiento cPanel, durante finales de 2026.

Qué ocurrió

La campaña fue orquestada por un actor de amenazas de habla rusa que actúa tanto como operador de intrusión como proveedor de infraestructura para otros socios de ransomware. Central para su éxito fue el marco Phantom, un "Autonomous Red Team Kill Chain Framework" que ejecuta ataques utilizando modelos de IA comerciales alojados en OpenRouter a través de OpenCode. Mientras que la IA maneja la ejecución técnica de comandos y la reconocimiento, un operador humano permanece en el bucle, proporcionando prompts específicos y revisando cada paso para asegurar que el ataque proceda según lo planeado. Si un modelo de IA rechaza un prompt malicioso, el operador simplemente reescribe la solicitud para presentarla como una evaluación autorizada de red team, eludiendo los filtros de seguridad sin cambiar de modelo.

Los investigadores de SOCRadar descubrieron este ecosistema tras analizar un directorio expuesto en la dirección IP 45.227.254[.]43. Los registros revelaron 8.257 mensajes en 133 sesiones, detallando cómo los atacantes gestionaban la telemetría de las víctimas, credenciales robadas y el progreso de la campaña mediante bases de conocimiento gestionadas por IA. La operación apuntó a 62 organizaciones, principalmente en Estados Unidos, con foco en los sectores industrial, manufacturero, energético, sanitario y farmacéutico. Cuatro de estas víctimas fueron finalmente listadas en los sitios de filtración de datos asociados con los grupos de ransomware INC y The Gentlemen.

Detalles clave

• Los atacantes explotaron activamente CVE-2024-57727 en SimpleHelp, CVE-2026-35616 en Fortinet FortiClient y CVE-2026-41940 en cPanel/WHM para obtener acceso inicial.
• Phantom soporta 18 módulos de habilidades, incluyendo reconocimiento, ingeniería inversa de binarios y huella digital EDR, conectados a través de 32 servidores del Protocolo de Contexto de Modelo (Model Context Protocol) conocidos como WormGPT-MCP.
• La reutilización de credenciales fue un multiplicador de fuerza principal, con un caso mostrando una sola contraseña otorgando acceso simultáneo a VPNs, servidores, herramientas RMM y plataformas de backup.
• El grupo utilizó túneles RevSocks reverse-SOCKS5 para movimiento lateral y exfiltración de datos, priorizando archivos financieros, de RRHH, legales y ejecutivos.
• Las tácticas de extorsión eran centradas en datos, usando IA para analizar registros financieros robados y determinar montos de rescate que las víctimas pudieran pagar sin involucrar bancos o aseguradoras.
• Otros exploits desarrollados o referenciados incluyeron vulnerabilidades en SonicWall SMA 1000, WordPress wp2shell, LiteLLM y Drupal.

Antecedentes

Para entender la gravedad de esta campaña, ayuda reconocer el rol de los dispositivos de borde en la infraestructura TI moderna. Dispositivos de borde como firewalls, pasarelas VPN y paneles de control de alojamiento se sitúan en el límite entre la red interna de una empresa e internet público. Son objetivos frecuentes porque están siempre online y a menudo gestionan puntos de acceso críticos. Cuando estos dispositivos tienen vulnerabilidades sin parchear, como los bypasses de autenticación encontrados en productos Fortinet y cPanel, los atacantes pueden colarse dentro sin necesidad de engañar a empleados con correos de phishing.

El uso de IA en este contexto representa un cambio desde el hacking manual hacia intrusiones automatizadas y escalables. Los ataques tradicionales de ransomware requieren un esfuerzo humano significativo para mapear una red y encontrar debilidades. Al usar un agente de IA como Phantom, los atacantes pueden procesar información rápidamente, adaptarse a diferentes entornos de red y ejecutar secuencias complejas de comandos con mínima intervención humana. La estructura "aprobada por humanos" asegura que mientras la IA hace el trabajo pesado, las decisiones estratégicas permanecen bajo control humano, haciendo la operación rápida y precisa.

Por qué importa

Para equipos que ejecutan su propio software y gestionan su propia infraestructura, este incidente destaca el riesgo crítico de servicios de borde sin parchear. Pequeñas y medianas empresas a menudo dependen de soluciones como cPanel para hosting web o Fortinet para acceso remoto seguro. Estas herramientas son convenientes pero se convierten en puntos únicos de fallo si no se mantienen meticulosamente. El hecho de que los atacantes apuntaran específicamente a estas plataformas ampliamente utilizadas significa que cualquier retraso en aplicar actualizaciones de seguridad puede dejar toda tu red expuesta a intentos de intrusión automatizados.

Además, la dependencia de la reutilización de credenciales demuestra que la seguridad perimetral por sí sola es insuficiente. Una vez que los atacantes violaron los dispositivos de borde, usaron contraseñas robadas para moverse lateralmente a través de la red, accediendo a sistemas de backup y plataformas de gestión de seguridad. Esto sugiere que incluso si parcheas tus servicios externos, una higiene débil de contraseñas internas puede permitir a los atacantes mantener persistencia y exfiltrar datos sensibles. El uso de túneles reverse-SOCKS también indica que la monitorización tradicional de red podría pasar por alto este tráfico si no busca específicamente conexiones proxy inusuales.

Qué puedes hacer

• Parchea inmediatamente las instalaciones de Fortinet FortiClient, cPanel/WHM y SimpleHelp para abordar las vulnerabilidades explotadas activamente CVE-2026-35616, CVE-2026-41940 y CVE-2024-57727.
• Aplica contraseñas únicas y fuertes para todas las cuentas administrativas, especialmente aquellas con acceso a VPNs, herramientas RMM y sistemas de backup, para prevenir ataques de reutilización de credenciales.
• Monitoriza patrones de tráfico saliente inusuales, como conexiones reverse-SOCKS, que pueden indicar movimiento lateral o exfiltración de datos dentro de tu red.
• Restringe el acceso administrativo a dispositivos de borde limitando intentos de inicio de sesión a direcciones IP específicas y requiriendo autenticación multifactor donde sea posible.
• Revisa y endurece tus configuraciones de backup para asegurar que no sean accesibles usando las mismas credenciales que tus sistemas de producción primarios.
• Implementa monitorización automática de heartbeat para trabajos críticos de mantenimiento y backups para detectar si herramientas de seguridad o procesos de protección de datos han sido deshabilitados silenciosamente.