I ricercatori hanno scoperto Phantom, un framework di intrusione basato sull'AI utilizzato dagli affiliati delle operazioni ransomware INC e The Gentlemen per scalare le loro violazioni. La scoperta di questo framework ransomware AI Phantom è un indicatore utile di dove sta andando il tooling criminale: meno sforzo manuale per vittima e più vittime per attaccante.

I dettagli pubblici sono limitati, quindi questo post si attiene a quanto è stato riportato ed evita di fare supposizioni sui dettagli tecnici. Ciò che è chiaro è la direzione di marcia, e le difese che contano in risposta sono per lo più quelle familiari.

Cosa hanno trovato i ricercatori in Phantom

Secondo il rapporto, Phantom è un framework di intrusione basato sull'AI. Gli affiliati di due gruppi ransomware, INC e The Gentlemen, lo hanno utilizzato per scalare le loro intrusioni ransomware. Nel mondo del ransomware, gli affiliati sono gli operatori che effettivamente eseguono gli attacchi, spesso utilizzando strumenti e infrastrutture forniti da un gruppo centrale. Un framework condiviso offre a molti affiliati le stesse capacità.

Il rapporto descrive il framework come un modo per automatizzare e scalare le violazioni. Non abbiamo qui dettagli confermati sulle vulnerabilità specifiche che prende di mira, su quante vittime abbia colpito o su quali modelli AI utilizzi, quindi non speculeremo su questi aspetti. Se i ricercatori pubblicheranno altro, quei dettagli saranno importanti per i difensori.

Come l'AI abbassa la barriera al ransomware

Le intrusioni ransomware hanno tradizionalmente coinvolto molti passaggi: trovare un modo per entrare, muoversi all'interno di una rete, individuare dati di valore e distribuire il payload di cifratura. Ogni passaggio richiede tempo e competenza. L'automazione attacca questi colli di bottiglia. Quando un framework gestisce le parti ripetitive o tecniche del processo, gli affiliati meno esperti possono tentare attacchi che un tempo richiedevano operatori esperti, e quelli esperti possono eseguire più tentativi contemporaneamente.

Questa è la preoccupazione centrale con strumenti come Phantom. Non rende necessariamente più intelligente un singolo attacco. Rende gli attacchi più economici da lanciare, il che alza il livello di rischio di base per tutti, inclusi obiettivi che in precedenza erano troppo piccoli per valere lo sforzo manuale di un attaccante.

La tendenza più ampia dell'offesa assistita dall'AI non è limitata al ransomware. OpenAI ha divulgato che il suo modello Astra può trovare zero-day e costruire exploit funzionanti, cosa che abbiamo trattato nella nostra analisi su Astra AI di OpenAI e la sua capacità di trovare zero-day e costruire exploit. Insieme, questi sviluppi mostrano come l'AI stia comprimendo il tempo e l'expertise necessari per passare dall'obiettivo alla compromissione.

Cosa significa per te

Per gli individui: Il ransomware è solitamente associato alle aziende, ma l'automazione rende più facile un targeting ampio e opportunistico. Dispositivi personali, home office e account cloud che contengono foto di famiglia o documenti possono essere coinvolti negli stessi tipi di campagne. L'effetto pratico è che "nessuno si prenderebbe la briga di attaccarmi" è un presupposto più debole di quanto fosse un tempo.

Per le piccole imprese: Le piccole aziende spesso non hanno un team di sicurezza dedicato, il che le rende attraenti quando gli attaccanti possono scalare a basso costo. Se si verifica un'intrusione, devi anche pensare alla risposta, inclusi gli obblighi legali. In Australia, ad esempio, le regole obbligatorie di segnalazione del ransomware stanno cambiando il modo in cui le aziende più piccole gestiscono gli attacchi, come abbiamo spiegato nel nostro articolo su Le regole australiane di segnalazione del ransomware e i rischi per la privacy delle PMI. Conoscere i tuoi obblighi prima di un incidente è molto più facile che apprenderli durante lo stesso.

Nulla nel rapporto su Phantom suggerisce un nuovo metodo di attacco inarrestabile. Il punto è il volume e l'accessibilità, ed è esattamente lì che l'igiene di sicurezza di base ripaga.

Difese pratiche: MFA, patch, backup e consapevolezza del phishing

L'automazione tende a colpire prima gli obiettivi più facili. Alzare il costo di ingresso rimane la risposta più efficace.

  • Attiva l'autenticazione a più fattori (MFA). Dai priorità a email, archiviazione cloud, accesso remoto e account amministrativi. Dove possibile, usa un'app di autenticazione o una chiave hardware invece dei codici SMS.
  • Applica le patch tempestivamente. Aggiorna sistemi operativi, browser, appliance VPN e firewall e software aziendali. Abilita gli aggiornamenti automatici dove puoi e mantieni un inventario dei sistemi esposti a internet in modo che nulla venga dimenticato.
  • Mantieni backup offline o immutabili. Segui l'approccio 3-2-1: tre copie, due tipi di supporto, una conservata offline o fuori dalla portata della tua rete principale. Verifica regolarmente il ripristino da tali backup.
  • Rimani cauto con il phishing. Sii scettico riguardo ad allegati inaspettati, prompt di login e richieste urgenti di pagamento o password. Verifica tramite un canale separato prima di agire.
  • Limita l'accesso. Usa account amministrativi e quotidiani separati e rimuovi l'accesso per le persone che non ne hanno più bisogno.
  • Prepara un piano di risposta semplice. Sappi chi chiamare, come isolare i dispositivi colpiti e quali regole di segnalazione si applicano a te.

Punti chiave

La scoperta del framework ransomware AI Phantom mostra che gli attaccanti stanno investendo nell'automazione per scalare le intrusioni ransomware, con gli affiliati di INC e The Gentlemen tra coloro che secondo le segnalazioni lo utilizzano. Non puoi controllare come i criminali costruiscono i loro strumenti, ma puoi controllare se i tuoi account, sistemi e backup sono obiettivi facili.

Inizia questa settimana: abilita l'MFA sui tuoi account più importanti, installa gli aggiornamenti in sospeso, verifica di avere un backup offline che effettivamente si ripristina e rinfresca le tue abitudini contro il phishing. Per maggiori contesto sull'offesa assistita dall'AI, leggi la nostra copertura su Astra e la scoperta di zero-day, e se gestisci una piccola impresa, consulta la nostra spiegazione sulle regole australiane di segnalazione del ransomware per le PMI per pianificare la tua risposta agli incidenti.