SOCRadar揭發與勒索軟件附屬團伙有關的AI入侵生態

OpenCode堆棧規劃偵察並生成指令

SOCRadar表示，人類行動者負責指示及批准，而OpenCode、在OpenRouter託管的模型、Phantom技能庫及持久知識庫則負責規劃偵察、選擇技術、生成指令、分流竊取的資料及草擬報告。

SOCRadar形容Phantom為模組化的「Autonomous Red Team Kill Chain Framework」，具有18個技能模組、自動駕駛功能及其自身的代理程式。

SOCRadar表示，2026年10月5日的即時檢查發現兩個活躍的付費OpenRouter帳戶，其中一個在花費23,920美元後幾乎耗盡。

FortiClient EMS活動觸及4,140個受管理端點

FortiClient EMS記錄包含2,236個報告目標、108個已建立的管理員帳戶及4,140個受管理端點。SOCRadar亦表示，對4,922部SimpleHelp伺服器進行掃描後，取得427個管理員密碼，涉及242個獨有IP地址。

行動者聲稱，曾入侵超過49間小型託管供應商的cPanel。SOCRadar表示，在暴露的基礎設施中，他們亦以Ivanti、Citrix、SonicWall及OpenVPN閘道，以及SimpleHelp遠程管理伺服器及cPanel託管控制項為目標。

工業及能源機構佔可分類目標16.1%

工業、製造及能源機構佔可分類目標的16.1%，其次是醫療及製藥業，佔14.5%。

The Hacker News表示，估計該行動以62間機構為目標，其中4間列於INC或The Gentlemen的資料外洩網站。該網站表示，估計目標中超過一半位於美國。

The Hacker News表示，反覆出現的入侵周期包括橫向移動、持久化、資料外洩，以及向部署勒索軟件升級。該網站亦表示，當受害者未能在24至72小時期限內付款，資料便會在資料外洩網站公布，但最終贖金結果未明。

SOCRadar表示，防禦者應修補FortiClient EMS、Fortinet及SonicWall閘道，移除管理介面的互聯網存取權，並檢查EMS是否存在未獲授權的管理員或遭修改的VPN連線程式碼。

研究人員評估INC與The Gentlemen之間存在正式聯盟的信心度偏低，但對兩個組織的行動者共用運作環境的信心度則屬中等至偏高。