AI Scripts, Targets, Prices: Ginagamit ng Phantom ang pangingikil bilang linya ng tubig, ngunit kailangan itong ilagay sa bawat hakbang. Ulo

Una sa lahat, ito ay tinatawag na: Kaguluhan May umiiral, at ito ay nagpapatakbo ng real-life invasions, ngunit...Hindi ito "AI." Ito'y pawang awtomatiko.Hindi ko alam.

Ang tunay na anyo nito ay:Ang AI ang nangangasiwa sa panukala at ang tao ang nangangasiwa sa puwit.Ang bawat kilos ay humihiling ng pagsang - ayon ng opereytor na bumaba — ang salita ay “ o “ sa bawat kilos sa pamamagitan ng meisensiya.

Sa kabaligtaran, ito ang pinakakapaki - pakinabang na dako para sa artikulong ito. Dahil sa ang Full Auto ay nakatatakot ngunit malayo, ang bawat hakbang ay waring ligtas ngunit malapit.Ang isang taong may isang kumpol ng AI ay matatapos ang gawain ng isang dating koponan.

Tatlong bilang na dapat tandaan:8,257 mensahe / 133 sesyon / AI ang nagbabayad ng $23,920Hindi ko alam. Dalawampu't apat na libong dolyar, 62 organisasyon.

Phantom: AI death, und-up pangingikil. Linya

Una, ang kredibilidad ng pinagmulan ay malinaw na binibigyang - katuturan.

Iisa lamang ang pinagmumulan ng impormasyon para sa artikulong ito:SOCradar Bantay Research Team (STRU)Inilathala noong 20 Oktubre 2026, ika - 23 siglo. Noong ika - 24 ng Oktubre, si Claude Security Gumawa ng pagsusuri ang Alliance, subalit maliwanag na isinulat nito:Halos lahat ng mga detalye ng publiko ay bumabalik sa SOC Radar, isang analisis na sa kasalukuyan ay hindi independiyenteng pinatutunayan ng isang pangalawang pangkat ng mananaliksik, modelong mga tagagawa o mga ahensiya ng pamahalaan.

Mahalaga ito sapagkat tinitiyak nito kung paano mo ginagamit ang lahat ng numerong nasa likuran.

Natatangi ang mabuting balita:Hindi mula sa labas, kundi mula sa sariling makina ng sumasalakay.Sa katapusan ng Setyembre, 2026, isang C2 server na nalantad sa pampublikong network. 45.227.254[.]43 Ang talaan ng mga direktoryo ay bukas, na naglalaman ng base ng kaalaman, OpenCode sesyon database, Phantom source code at biktima-by-victim workspace. Kasunod ng pagsasaayos, ang mga troso, proofs, STRU ay humawak ng anim pa, pito pa, na karamihan ay nakasabit AS267784(Flysers S.A.)

Kaya ang mga numero ay nasa dalawang kategorya, at ilalagay ko ang mga ito sa teksto:

Maaaring baguhin: bilang ng mga session bar, bilang ng mga mensahe, pagkonsumo ng account, bilang ng mga encryption file, source istruktura - ito ay direktang mula sa file at may pinakamataas na kredibilidad.
Iniulat ito ng sumalakay.Ilang target, ilang password, ilang bahay ang sinalakay - Ito ang resulta ng sarili nilang kaalaman.Walang sinumang tumingin.Ito lang ang iniisip nila.

Ii. Sino ang gang na ito? Anong opisyal?

Ang karakterisasyon ni Socradar ay napigil nang husto at ang tatlong antas ng pagtitiwala ay nahiwalay, na sulit pag-aralan:

Magtiwala ka.Ang mga punong - abala ay aktibong gumagawa ng panghihimasok at mga istasyon ng labanan.
Malaking bagay ito.Mga miyembro ng INC at ng The GentlemenKasama sa operating environmentHindi ko alam.
Hindi ako naniniwala.Mayroong pormal na alyansa sa pagitan ng dalawang tatak.

Ang malamang na mga anyo ay:Isang tagatustos na nagdadalubhasa sa mga kagamitan at imprastraktura samantalang nagsisilbi ng maraming tatak ng pananakot.

Kung ang hatol na ito ay totoo, ito ay nangangahulugan ng higit pa sa "ang isang gang ay lumalakas" --Ang kakayahan ni Phantom ay ginagamit bilang isang serbisyo upang makapasok sa isang kapaligiran ng pananakot.At hindi ang personal na mga bagay ng isang pamilya. Ang bilang ng mga taong makagagawa nito ay darami.

Larawan ng operator:Ruso, pangunahing oras ng kaganapan 06:00–14:00 UTCHindi ko alam. Ang bintanang ito ay katumbas ng oras sa Moscow mula 9pm hanggang 17pm, isang normal na taong nagtatrabaho.

Tatlo, anim na linya ng tubig, bawat isa'y may batik ng tao. Ulo

Inilarawan ni Phantom ang kanyang sarili bilang "Autonomous Red Team Kill Chain Framework", 18 bihasang modules na may autopilot at self-pag-aaral anent (disguited as Windows Update partment). Tumakbo sa open source terminal OpenCode Pumunta kayo. OpenRouter Tawagan mo. anthropic/claude-opus-4.6 at moonshotai/kimi-k3Hindi ko alam.

Subalit ang tunay na paraan ng pagtakbo ay anim na bahagi, bawat isa ay nagtatapos sa isang tao:

#	Bilis	AI, ano?	Anong ginagawa mo?
01	Pagpili ng mga target	Hinango EMS/ Simpleng Tulong/ Mail/ VPN Listahan ng mga asset sa FOFA	Tiyakin kung alin ang labanan, alin ang pagkakasunud - sunod.
02	Tawagin ang pasukan.	Generate at mga utos ng debug bug-use	Paglaya, magpasiya kung aling landas ang kukunin.
03	Gawin mo ito.	Domain count, warrant, priyoridad ng mga dokumento	Pagtaya sa panganib, pasiyang magpatuloy
04	Ibalot ang labas.	Sumulat ng RevSocks Tunnel and Restic/rcline Transfer Command	Hindi ito napatunayan.
05	Pagpipinta	Ang ninakaw na salapi ay tinatayang "kung magkano ang maaaring ibayad nang walang bangko" at bilang isang regulatory leverage.	Gaano karami ito?
06	Pagbuo/Pagtatalaga	Tulad - Generate custom encryption configence, mga liham sa pananakot, mga sulat ng voice fishing	Ipinasiya kong huwag nang umalis.

Ang opisyal na "autonomous" ay isang termino sa pagbebenta. Ang eksaktong mga salita ni SocRadar ay: Ito ang kauna - unahang pagkakataon na nakausap kita.-AI pagpatay, manu-manong pagsang-ayon.

Binigyan ako ng CSA ng isang pagbasa na sa palagay ko'y naroroon: "Ang artipisyal na tarangkahan ay may tatlong bentaha para sa operator:

Magtipid.Ang mga modelo ay lumilikha ng ebidensiya, labis na pagtuklas (Ang antropiko ay nagsindi ng isyu sa GTG-1002), at ang isa ay maaaring mag-iisa at maiwasan ang pagsunog sa isang pasukan.
Supilin ang OPSEC.Ang tunay na grupo ng biktima, kailan at gaano kahirap hatulan.
Ilipat ang mga bottleneck mula sa mga modelo tungo sa mga tao.Ang isa ay maaaring tumingin sa ilang linya nang sabay - sabay, mas mabilis kaysa sa pagsusulat.

Ang "Human-dored" ay hindi binabasa bilang "mabagal".133 sesyon, 62 target, at ang output na ito ay maaaring tustusan ng isang pangkat.

Apat, pareho pa rin ang pasukan. Matagal na itong tapos.

Ito ang pinakamaliit na bahagi ng "AI" sa kabuuan at ang pinaka-maaksiyong bahagi.

Pinabilis ng AI ang proseso, ngunitHindi nito binuksan ang pinto.Hindi ko alam. Inirekord ng mga sumalakay ang lahat ng mga pasukan sa gilid ng Internet (ang sumusunod na mga bilang ay sariling-ulat):

CVE	Mga Produkto	Mga resulta ng mga rekord ng sumalakay
CVE-2026-3516	Nilampasan ang fortinet FortiClitEMS realityation	2,236 targets . 108 administrador accounts . 4,140 Tenet terminal
CVE-2024-57727	Simpleng Tulong sa Pagtawid ng RMM Path	Hinango noong 4,922 . Got 427 administrador password 242 IP ang apektado
CVE-2026-41940	CPanel/WHM realityation bypass	Itinuturing na paglusob sa 49+ maliliit na bahay na Nag - iingat ng Negosyo
CVE-2026-15409	SMicwall SMA1000	Mayroon kaming listahan ng mga target, hindi kompirmado.

Wala sa mga unang butas na ito ang bago.Iniulat ni Fortinet noong Abril 2026 na ang CVE-2026-35616 ay ginamit na sa larangan, idinagdag ito ng CISA sa KEV noong 6 Abril; Simple Help, ang butas kung saan ang CISA ay naglabas ng patalastas noong Hunyo 2025 na dinadala ito ng isang pangkat na nangingikil para sa isang kliyenteng pababa.

Salin:Ang mga pintong ito ay bukas sapagkat walang sinuman ang nagsasara nito.

Ang kilusan pagkatapos pumasok ay rutina rin: ang domain count ay tumutukoy sa domain tube, sinusunggaban ang ebidensiya, binibigyang-diin ang finance/HR/legal/executive file, hinihila ito palabas sa SOCKS tunnel sa baligtad.

Ang muling paggamit ang pinakamalakas na amplifier.May kaso sa ulat:Binuksan ang isang ginagamit muli na password na may VPN, server, RMM, backup at security control platform.

Ang Pagsugpo sa Depensa ay sa pamamagitan ng BEVD: isang Mabilis na Pagpagaling/Seqrite killer na nang-aabuso sa Zemana. zam64.sysHindi ko alam. Ang sariling logo ng sumasalakay ay nagpapakita na may mabuti o masamang epekto sa isang kompanya-level EDR -- ito ay tunay, na nangangahulugang ang EDR ay hindi papel, ngunit hindi ito ang lahat.

Lima, magkanong salapi ang ginugugol, magkano ang magiging halaga nito?

Ang bahaging ito ang pinakahalatang bahagi ng "Pagsangkot ng AI sa paghatol sa negosyo."

Halagang dulo:Dalawang bayad na OpenRouter account, ang isa ay nagkakahalaga ng $23,920 at halos nakita ito pagkatapos. Ibaba(Hinango sa tunay na oras noong 5 Oktubre 2026). Partikular ang pitong VPS. Iyon ang sagot.

Magandang dulo, Ang AI ay gumagawa ng mas masahol pa sa pagsulat ng kodigo:Kunin ang nakaw na pinansiyal na impormasyon at tantiyahin kung magkano ang maaaring ibayad ng kompanya kung hindi ito makagitla sa mga bangko at seguro., pagkatapos ay tingnan ang regulatory leverage (pangunahin, pagsunod sa mga obligasyon) bilang isang pingga.

Ang ilang kaso ay dokumentado:

Aidon.: €15 milyon kung saan ang operator ay bumaba sa €4 milyon / €2.5 milyon nang matuklasan niya ang masamang kompanya ng magulang.
Mga Brilyante ng Leo Schachter: Four-part pressure mail, ay lumagda sa The Gentlemen, na may voice fishing script.
Trulit na Salamin & Aluminum: Gumawa ng huwad na istasyon trulitesupport[.]comAng "Security Incident Notification" ay tuwirang ipinadadala sa kliyente ng biktima, na nauugnay sa butas na pahina.
Isang network ng medisina.24 oras, AUD 3 milyon hanggang 8 milyon.

Nakapirme ang ritmo ng diin: tanging text mail lamang sa amo o ehekutibo,Walang sinipi.; pagkatapos ay ipahayag ang pangingisda; pagkatapos ay ang mga kliyente at mga kapareha; pagkatapos ay ang pangangasiwa; sa wakas ay ang pagsisiwalat. Sa loob ng 24-72 oras. Ang mga plano sa pagbabayad ay nasa Menrocoin, subalitWalang pitaka, walang mga rekord ng pagbabayad., ang pangwakas na resulta ay hindi alam.

Ang ibig sabihin ng bahaging ito para sa pananggalang:Ang iyong pananalapi, ang talaan ng iyong kliyente, ang iyong mga obligasyon sa pagsunod ay bahagi ng pagsalakay.Sila ang nagpapasiya kung magkano ang kanilang iaalok at kung ikaw ba ang magbabayad.

VI. 62 VICTIMS, HINDI TUANTIFIC

Hinati ng STRU ang 62 pinanganlang mga organisasyon sa limang grupo sa pamamagitan ng di - mapigil na lalim:

Salot	Lalim	Numero
L1	Tanging muling pagsisiyasat.	12
L2	Lumayo ka.	28
L3	Nawala ang lokal na antas	14
L4	Pagpasok sa encryption o pangingikil	4
L5	Ito ay pampublikong nakabitin sa lugar ng tulo.	4

Mga 36 sambahayan sa Estados Unidos ayon sa heograpiya. Industriya muna.Industriya/manufacture/enerhiya 16.1%Ikalawa,Medikal/parmaceutical 14.5%Hindi ko alam.

Ang pinakamaliwanag ay ang pamamahagi ng mga kita:Mula sa 35 sambahayan na may makuhang target, 27 ang may $250 milyon.

Ito ay isang karaniwang medium-sized business picture.Ang mga kagamitang Marginalized ay hubad sa network ng publiko, ito ay hindi na-exourced sa MSP, ay walang test na kakayahan ng 7x24, ngunit may pera sa mga aklat.At sa pamamagitan ng MSP line, isang maliit na kompanya ang maaaring ipasok.

vii. Kung paano ito nakuha: ang alaala ng AI

Ang bahaging ito ang pinakabalintuna at pinakamahalagang bahagi ng aking pangmalas sa ulat sa kabuuan.

Ang negosyong ito ay gonna maging matagumpay.Mapananatiling saligan sa kaalamanNaaalaala ng mahabang-term memory ng AI ang pagsulong ng bawat biktima, ang ebidensiyang ninakaw, ang plano para sa susunod na hakbang. Silang tatlo ay nasa server.

At iyan ang dahilan kung bakit ito huminto:Kaalaman base + session log = isang kumpletong modus operandi.Ito ay may source code, sumusuportang mga dokumento, screenshots (kabilang ang simple Help screen na kinuha ng operator sa makina ng biktima), panloob na mga chat record (Rocket. Chat) at isang pagtalakay sa "Moscow time 6 n bukas?"), at 46 na biktima-specific encryption devices.

46 na aparatong encryption ang sumaklaw sa anim na biktima, ang Windows at Linux, bawat isa ay may hiwalay na susi at pagkakakilanlan ng biktima. Tatlo sa mga ito ang nakaimpake noong 30 Setyembre at handa nang ilunsad noong 1 Oktubre.

Ang teknikal na mga detalye ng aparatong encryption ay sulit na tandaan: ang backup, ang database, ang proseso ng serbisyo ay itinigil;Tawagin ang delete na kopya na may tuwirang drive, huwag pumunta sa vssadmin; idagdag .INC hula; ihagis ang isa INC-README.txt Ituro sa Tor Chat Portal.

Mayroon ding ebidensiya ng "in-house package". smilefacesec@gmail.comCross-check ito gamit ang account na BlackForums. sm4l1st123Hindi ko alam.Sa iisang tao, cross-platform, parehong pagkakakilanlan.

Sumulat sila sa kanilang mga kasama. README_PARTNER.mdAng ad ad ay "35 MCP servers, 55+ kasangkapan, 9K+CVE PoC".Ito ang paglalarawan ng produkto ng SaaS.

VIII. Mga talaan ng mga pananggalang na maaaring tuwirang gayahin

Ang ulat ay naglalaman ng ilang mga rekomendasyon, at ako ay nag-aayos muli ng mga ito bilang "magagawa natin ito ngayon?"

Ngayon: Suriin kung ang apat na ito ay nakalantad sa publikong web.

MGA FortiCliantEM- Lalo na kung may likod. sysadminHindi ko alam.fct_svc_*Hindi ko alam.ems_monitor_* Ang gayong mga hindi inaasahang mataas-priority account; tingnan kung ang VPN ay nag-uugnay ng mga script at configuration files.
Simpleng Himpilan / MeshCentral / N-central Ang uring ito ng RMM - aspects, mga patse, mga limitasyon na gumagamit nito.
cPanel/WHM- lalo na ang trustee at ang mga kliyente nito.
SMicwall SMA1000–Ang CVE-2026-15409 ay isinama sa talaan ng mga target.

Ang management interface ay maaaring ma-access online.Ang mga Patch ay hindi nangangahulugan ng paglilinis ng bukid.Ang mga sumasalakay na nasa loob na ay hindi mag - iiwan ng mga patse at kailangang gumawa ng hiwalay na pagsusuri.

Ngayong linggo: Hatiin ang "Isang Password"

VPN, RMM, backup, virtualization, security console, hiwalay na account number + MFA, hindi muling gamitin.
Ilagay ang face-to-face IP white list, limitado.
Itaas, LAPS at gMSA bilang administrador layer (Tier 0/1/2).
Gayunding kahilingan ang ginawa para sa MSP na isulat sa kontrata - ang muling paggamit ng parokyano ng MSP ang nangyari.

Pagsubok: Suriin sa pamamagitan ng paggawi at ritmo, hindi lamang sa isang punto. Mga Pulis

Ang sumusunod na mga gawa ay binanggit sa ulat at maaaring tuwirang dalhin sa mga tuntunin:

Office 进程拉起 PowerShell / curl / certutil
非域控主机发起复制请求（DCSync 特征）
卷影副本里的 ntds.dit 被读取
RC4 Kerberos 服务票据异常增多
restic / rclone 向外部对象存储批量传输
非安装器进程出现 Restart Manager 会话
zam64.sys（Zemana 驱动）加载 + Quick Heal/Seqrite 服务被停

May dalawang espesipikong mga misyon ng IOC: ang isinaplanong mga misyon. Unang Pangalan RealtekAudioSvcBumalik ka sa nasasakupan. iquickline[.]comHindi ko alam. IP Parapo 45.227.254.xHindi ko alam.77.110.109.248Hindi ko alam.

Likod: Hindi, hindi, hindi.

Ang hindi mababagong backup o o offline separation, virtualization ng mainframe at ang core document server ay hiwalay sa user segment.Ang unang bagay tungkol sa encryption ay itigil ang mga serbisyong back-up at i-delete ang mga kopya.Ito'y isang design goal, hindi masamang epekto.

Kung ginagawa mo ito, Ahente,

Ang arkitekturang ito...Open Source Agent Harness + MCP Tool Server + Endangking Knowledge Base + Aligning Model- Ito rin ang istraktura ng disenteng Ahente sa inyong kompanya.

Kaya ang sistema ng pamamahala ay isa ring pananggalang:Ang mga sangguniang troso ay itinatago, ang mga kagamitan ay tatawagin upang aprobahan, at ang pagkakakilanlan ng mga intermediary ay dapat matunton.

Mayroon ding isang modelong tagagawa at polymer: kapag ang kahilingan ay naka-impake bilang "Authorized Red Team Society", ang kahilingan ay ginagawa sa modelong tagagawa at sa polymer.Ang kawalan ng isang pahayag ng autorisasyon na patunayan ang konteksto ay dapat na ituring na isang panganib sa halip na isang tanda ng pagtitiwala.Nang tanggihan ang mga sumalakay, hindi ito open-ended model.Pagbigkas- Palitan ang template para patuloy na magtanong.

IX. Huling tatlong pangungusap

Unang pangungusap:Hindi pa dumarating ang ganap na awtomatikong pananakot, ngunit dumating na ang isang "isa-isa" na koponan.Huwag mong gamitin ang "AI hindi ko magagawa ito" bilang isang kaaliwan. Sulit na hindi palitan ang mga tao, ginagawa nito ang mga tao na maging mga bottleneck -- ang mga bottleneck ay maaaring palakihin.

Ikalawang pangungusap:Pinabilis ng AI ang pag - atake, subalit hindi ito naging madali.Itinuturo ng entry ang 62 targets, lahat ng mga lumang butas na iyon sa KEV. Hindi ang modelo ang dapat talagang mabalisa, kundi ang iyong EMS.

Ikatlong pangungusap:Nagbago na ang halaga ng negosyong ito.24,000 bayarin sa API, at 7 VPS, ang susuporta sa 133 sesyon. Kapag ang input ay mababa sa antas na ito, ang pagpapalagay ng "hindi sapat na taba upang walang lumaban" ay bumababa -- 250 million-dollar medium-sized na mga kompanya ay nasa range.

Ipinagbili ang mga ito sa pamamagitan ng sarili nilang AI memory. Ipinaaalaala nito sa lahat ng gumagawa ng Ahente na ang saligan sa kaalaman ay isang bagay na mahalaga at katibayan.

Ang huling pangungusap na natitira para sa mga nagtrabaho para sa seguridad: ang ulat ay may isa lamang pinagmulan at independiyenteng awdisyon ang hindi pa nangyayari.Ang mga pagitan ay maaaring maghintay, ang mga patse ay hindi naghihintay.