Un groupe de ransomware piloté par l'IA cible les périphériques edge des PME et les serveurs cPanel

Des chercheurs en cybersécurité ont découvert une opération sophistiquée de ransomware exploitant l'intelligence artificielle pour automatiser les intrusions dans les réseaux des petites et moyennes entreprises. Les affiliés des groupes de ransomware INC et The Gentlemen ont utilisé un cadre personnalisé appelé Phantom pour exploiter des périphériques edge courants, notamment les passerelles Fortinet et les panneaux de contrôle d'hébergement cPanel, tout au long de la fin de l'année 2026.

Ce qui s'est passé

La campagne a été orchestrée par un acteur de menace russophone agissant à la fois comme opérateur d'intrusion et fournisseur d'infrastructure pour d'autres partenaires ransomware. Le succès de cette opération reposait sur le cadre Phantom, un « Autonomous Red Team Kill Chain Framework » qui exécute des attaques à l'aide de modèles d'IA commerciaux hébergés sur OpenRouter via OpenCode. Alors que l'IA gère l'exécution technique des commandes et la reconnaissance, un opérateur humain reste impliqué, fournissant des instructions spécifiques et examinant chaque étape pour garantir que l'attaque se déroule comme prévu. Si un modèle d'IA refuse une instruction malveillante, l'opérateur reformule simplement la demande pour la présenter comme une évaluation autorisée de red team, contournant ainsi les filtres de sécurité sans changer de modèle.

Les chercheurs de SOCRadar ont découvert cet écosystème après avoir analysé un répertoire exposé à l'adresse IP 45.227.254[.]43. Les journaux ont révélé 8 257 messages répartis sur 133 sessions, détaillant comment les attaquants géraient la télémétrie des victimes, les identifiants volés et la progression de la campagne via des bases de connaissances gérées par l'IA. L'opération visait 62 organisations, principalement aux États-Unis, avec un accent mis sur les secteurs industriel, manufacturier, énergétique, de la santé et pharmaceutique. Quatre de ces victimes ont finalement été listées sur les sites de fuite de données associés aux groupes de ransomware INC et The Gentlemen.

Détails clés

• Les attaquants ont activement exploité CVE-2024-57727 dans SimpleHelp, CVE-2026-35616 dans Fortinet FortiClient et CVE-2026-41940 dans cPanel/WHM pour obtenir un accès initial.
• Phantom prend en charge 18 modules de compétences, incluant la reconnaissance, l'ingénierie inverse binaire et l'empreinte EDR, connectés via 32 serveurs Model Context Protocol connus sous le nom de WormGPT-MCP.
• La réutilisation des identifiants était un multiplicateur de force majeur, avec un cas montrant qu'un seul mot de passe donnait simultanément accès aux VPN, aux serveurs, aux outils RMM et aux plateformes de sauvegarde.
• Le groupe a utilisé des tunnels RevSocks reverse-SOCKS5 pour le mouvement latéral et l'exfiltration de données, priorisant les fichiers financiers, RH, juridiques et exécutifs.
• Les tactiques d'extorsion étaient centrées sur les données, utilisant l'IA pour analyser les dossiers financiers volés et déterminer des montants de rançon que les victimes pouvaient payer sans faire appel aux banques ou aux assureurs.
• D'autres exploits développés ou référencés incluaient des vulnérabilités dans SonicWall SMA 1000, WordPress wp2shell, LiteLLM et Drupal.

Contexte

Pour comprendre la gravité de cette campagne, il est utile de reconnaître le rôle des périphériques edge dans l'infrastructure informatique moderne. Les périphériques edge tels que les pare-feu, les passerelles VPN et les panneaux de contrôle d'hébergement se situent à la frontière entre le réseau interne d'une entreprise et Internet public. Ils sont des cibles fréquentes car ils sont toujours en ligne et gèrent souvent des points d'accès critiques. Lorsque ces appareils présentent des vulnérabilités non corrigées, telles que les contournements d'authentification trouvés dans les produits Fortinet et cPanel, les attaquants peuvent s'introduire sans avoir besoin de piéger les employés par des e-mails de phishing.

L'utilisation de l'IA dans ce contexte représente un passage du piratage manuel à l'intrusion automatisée et évolutive. Les attaques de ransomware traditionnelles nécessitent un effort humain considérable pour cartographier un réseau et trouver des faiblesses. En utilisant un agent IA comme Phantom, les attaquants peuvent traiter rapidement les informations, s'adapter à différents environnements réseau et exécuter des séquences complexes de commandes avec une intervention humaine minimale. La structure « approuvée par l'humain » garantit que, bien que l'IA fasse le gros du travail, les décisions stratégiques restent sous contrôle humain, rendant l'opération à la fois rapide et précise.

Pourquoi cela compte

Pour les équipes qui gèrent leurs propres logiciels et leur propre infrastructure, cet incident met en évidence le risque critique lié aux services edge non corrigés. Les petites et moyennes entreprises comptent souvent sur des solutions comme cPanel pour l'hébergement web ou Fortinet pour l'accès distant sécurisé. Ces outils sont pratiques mais deviennent des points uniques de défaillance s'ils ne sont pas méticuleusement maintenus. Le fait que les attaquants aient spécifiquement ciblé ces plateformes largement utilisées signifie que tout retard dans l'application des mises à jour de sécurité peut laisser votre réseau entier exposé à des tentatives d'intrusion automatisées.

De plus, la dépendance à la réutilisation des identifiants démontre que la sécurité périmétrique seule est insuffisante. Une fois les périphériques edge compromis, les attaquants ont utilisé des mots de passe volés pour se déplacer latéralement à travers le réseau, accédant aux systèmes de sauvegarde et aux plateformes de gestion de la sécurité. Cela suggère que même si vous corrigez vos services exposés à l'extérieur, une hygiène faible des mots de passe internes peut permettre aux attaquants de maintenir une persistance et d'exfiltrer des données sensibles. L'utilisation de tunnels reverse-SOCKS indique également que la surveillance réseau traditionnelle pourrait manquer ce trafic si elle ne recherche pas spécifiquement des connexions proxy inhabituelles.

Ce que vous pouvez faire

• Corrigez immédiatement les installations Fortinet FortiClient, cPanel/WHM et SimpleHelp pour adresser les vulnérabilités activement exploitées CVE-2026-35616, CVE-2026-41940 et CVE-2024-57727.
• Appliquez des mots de passe uniques et forts pour tous les comptes administratifs, en particulier ceux ayant accès aux VPN, aux outils RMM et aux systèmes de sauvegarde, afin de prévenir les attaques par réutilisation d'identifiants.
• Surveillez les schémas de trafic sortant inhabituels, tels que les connexions reverse-SOCKS, qui peuvent indiquer un mouvement latéral ou une exfiltration de données au sein de votre réseau.
• Restreignez l'accès administratif aux périphériques edge en limitant les tentatives de connexion à des adresses IP spécifiques et en exigeant une authentification multifacteur partout où c'est possible.
• Passez en revue et renforcez vos configurations de sauvegarde pour vous assurer qu'elles ne sont pas accessibles avec les mêmes identifiants que vos systèmes de production principaux.
• Mettez en œuvre une surveillance automatique par heartbeat (battement de cœur) pour les tâches de maintenance critiques et les sauvegardes afin de détecter si les outils de sécurité ou les processus de protection des données ont été silencieusement désactivés.