SOCRadar揭露与勒索团伙有关的AI入侵生态

OpenCode技术栈规划侦察并生成命令

SOCRadar表示，人工运营者负责指导和批准，而OpenCode、托管在OpenRouter上的模型、Phantom技能库和持久化知识库则负责规划侦察、选择技术、生成命令、分类窃取的数据以及起草报告。

SOCRadar将Phantom描述为模块化的“Autonomous Red Team Kill Chain Framework”，具有18个技能模块、自动驾驶功能和自己的代理。

SOCRadar表示，2026年10月5日的实时检查发现两个活跃的付费OpenRouter账户，其中一个在花费23920美元后几乎耗尽。

FortiClient EMS活动波及4140个受管端点

FortiClient EMS记录包含2236个报告目标、108个创建的管理员账户和4140个受管端点。SOCRadar还表示，对4922台SimpleHelp服务器的扫描获得了427个管理员密码，涉及242个唯一IP地址。

运营者声称已对小型托管服务提供商实施了超过49次cPanel入侵。SOCRadar表示，在暴露的基础设施中，他们还攻击了Ivanti、Citrix、SonicWall和OpenVPN网关，以及SimpleHelp远程管理服务器和cPanel托管控制台。

工业和能源组织占可分类目标的16.1%

工业、制造业和能源组织占可分类目标的16.1%，其次是医疗保健和制药行业，占14.5%。

The Hacker News表示，据估计，此次行动的目标为62个组织，其中4个被列在INC或The Gentlemen的数据泄露网站上。该媒体表示，估计目标中超过一半位于美国。

The Hacker News表示，反复出现的入侵生命周期包括横向移动、持久化、数据窃取以及向部署勒索软件升级。该媒体还表示，当受害者未能在24至72小时期限内付款时，数据会被发布到数据泄露网站，但最终赎金结果尚不清楚。

SOCRadar表示，防御方应修补FortiClient EMS、Fortinet和SonicWall网关，移除管理界面的互联网访问权限，并检查EMS是否存在未授权管理员或被修改的VPN连接脚本。

研究人员认为INC与The Gentlemen之间存在正式联盟的可信度较低，但认为两团伙运营者使用共享运营环境的可信度为中等至较高。