Le framework Phantom, utilisé par des affiliés d'INC et The Gentlemen, automatise les intrusions grâce à des agents IA.

Des chercheurs en cybersécurité ont mis au jour un écosystème d’intrusion piloté par l’intelligence artificielle. Cet écosystème est exploité par des affiliés des groupes de rançongiciel INC et The Gentlemen. Au cœur du dispositif se trouve le framework Phantom, un outil d’attaque autonome. Ainsi, cette découverte montre que l’IA entre désormais dans la boîte à outils des cybercriminels.

Un écosystème d’intrusion piloté par l’IA

Les chercheurs ont observé une infrastructure exposée. Grâce à elle, ils ont compris comment ces affiliés conduisent leurs attaques. Selon leurs conclusions, des agents d’IA exécutent une partie des opérations d’intrusion.

Les affiliés jouent un rôle clé dans l’économie du rançongiciel. En effet, les groupes comme INC et The Gentlemen fournissent le code malveillant et l’infrastructure d’extorsion. Les affiliés, eux, mènent les intrusions chez les victimes. Ensuite, ils se partagent les gains avec les opérateurs.

Or, ce modèle dépend beaucoup du temps et des compétences humaines. L’automatisation par l’IA vise justement à réduire ces deux contraintes. Un affilié peut ainsi viser davantage de cibles avec moins d’efforts.

Le framework Phantom au centre du dispositif

L’outil est présenté comme un « Autonomous Red Team Kill Chain Framework ». Autrement dit, il s’inspire des méthodes des équipes de test d’intrusion. Il cherche à enchaîner les étapes d’une attaque de façon autonome. En effet, le terme « kill chain » désigne cette succession d’étapes, de la reconnaissance jusqu’à l’objectif final.

Les chercheurs évaluent que l’acteur à l’origine de Phantom est russophone. Il agit à la fois comme opérateur d’intrusion et comme opérateur d’extorsion de données. Ce double rôle est notable. En effet, la même personne ou le même groupe gère l’accès initial et la pression exercée sur la victime.

Les informations publiques sur le fonctionnement interne de l’outil restent limitées à ce stade. Par conséquent, il faut éviter les conclusions hâtives sur ses capacités exactes. Toutefois, l’existence même d’un framework dédié à cette tâche constitue déjà un signal fort.

Un lien avec deux groupes distincts

Le fait que deux groupes soient concernés mérite l’attention. En effet, INC et The Gentlemen sont des marques de rançongiciel différentes. Pourtant, des affiliés liés à ces deux opérations semblent avoir recours à un même écosystème. Cela confirme que les affiliés changent facilement d’outils et de partenaires. Ils ne se limitent donc pas à une seule marque.

Ce que le framework Phantom change pour les défenseurs

D’abord, l’usage d’agents d’IA modifie la vitesse des attaques. Un agent autonome peut enchaîner des actions sans pause. Il peut aussi tester plusieurs pistes en parallèle. Les équipes de sécurité disposent donc de moins de temps pour détecter et contenir une intrusion.

Ensuite, cette approche abaisse le niveau de compétence nécessaire. Un opérateur moins expérimenté peut obtenir des résultats que seuls des profils avancés atteignaient auparavant. Par ailleurs, l’automatisation facilite la répétition des attaques à grande échelle. Les organisations de taille moyenne, souvent moins bien protégées, deviennent ainsi des cibles plus rentables.

Enfin, l’exposition de cette infrastructure offre une opportunité aux défenseurs. Elle révèle des habitudes opérationnelles. Les équipes de renseignement sur les menaces peuvent donc s’en servir pour affiner leurs détections. Néanmoins, les acteurs malveillants corrigent généralement ce type d’erreur rapidement.

Une tendance à surveiller

Cette affaire s’inscrit dans un mouvement plus large. En effet, les criminels adoptent les mêmes technologies que les entreprises. Ils cherchent des gains de productivité, comme n’importe quelle organisation. Il faut donc s’attendre à voir d’autres outils de ce type apparaître.

Ce qu’il faut retenir

• Des affiliés d’INC et de The Gentlemen utilisent un écosystème d’intrusion fondé sur l’IA.
• L’outil central s’appelle Phantom. En effet, il est décrit comme un « Autonomous Red Team Kill Chain Framework ».
• L’acteur concerné est jugé russophone. Par ailleurs, il mène à la fois des intrusions et des extorsions de données.
• Les détails techniques publics sont encore partiels. La prudence reste donc de mise.

Face à ces attaques accélérées, plusieurs mesures s’imposent :

1. D’abord, réduire la surface d’attaque exposée sur Internet, notamment les services d’accès distant.
2. Appliquer rapidement les correctifs de sécurité sur les systèmes critiques.
3. Ensuite, activer l’authentification multifacteur sur tous les accès sensibles.
4. Surveiller les mouvements latéraux et les transferts de données inhabituels.
5. Tester également, et régulièrement, des sauvegardes isolées et hors ligne.
6. Enfin, préparer un plan de réponse à incident et l’exercer avec les équipes concernées.

En somme, l’IA n’invente pas de nouvelles menaces à elle seule. En revanche, elle accélère les attaques existantes. Les bonnes pratiques de base restent donc la meilleure défense. Il faut toutefois les appliquer sans retard.

Source : Exposed Infrastructure Reveals How Ransomware Affiliates Used AI Agents to Execute Intrusions