Скрипты, цели, цены: Фантом использует вымогательство как линию воды, но он должен быть укомплектован на каждом шагу. Голова

Во-первых, это называется: Фантом Что-то существует, и это действительно вторгается в реальную жизнь, но...Это не "ИИ". Все автоматически.Я не знаю.

Его истинная форма:ИИ отвечает за предложение, а человек отвечает за кивок.Каждый шаг требует одобрения оператора, чтобы пойти вниз — слово «координировать каждое действие со мной».

Это, напротив, самое стоящее место для данной статьи. Поскольку Full Auto звучит страшно, но далеко, каждый шаг звучит безопасно, но близко.Человек с кучей ИИ может закончить работу бывшей команды.

Три цифры, которые нужно запомнить:8 257 сообщений / 133 сеанса / счета за ИИ $23 920Я не знаю. Двадцать четыре тысячи долларов, 62 организации.

Призрак: казнь ИИ, вымогательство. линия

Во-первых, достоверность источника четко определена.

Есть только один источник для этой статьи:Исследовательская группа SOCradar Threat (STRU)Опубликовано 20 октября 2026 года, обновлено 23-е. 24 октября Клод Секьюрити Альянс сделал анализ, но ясно написал:Почти все публичные детали возвращаются к SOC Radar, анализу, который в настоящее время не подтвержден независимо второй исследовательской группой, производителями моделей или государственными учреждениями.

Это важно, потому что это определяет, как вы используете все цифры.

Хорошая новость заключается в том, что доказательства уникальны:Не извне, а из собственной машины нападавших.В конце сентября 2026 года сервер C2 подвергся воздействию общедоступной сети. 45.227.254[.]43 Список каталогов открыт, который содержит базу знаний, базу данных сеансов OpenCode, исходный код Phantom и рабочее пространство жертвы-жертвы. Следуя конфигурации, бревна, доказательства, STRU коснулись еще шести, еще семи, большинство из которых были подвешены на AS267784(Flyserves S.A.)

Итак, цифры делятся на две категории, и я отмечу их в тексте:

проверяемыйКоличество строк сеанса, количество сообщений, потребление учетной записи, количество файлов шифрования, структура источника - это непосредственно из файла и имеют самый высокий авторитет.
Нападавший сообщил об этом.Сколько целей, сколько паролей, сколько домов было захвачено - это результаты их собственной базы знаний.Никто не проверял.Это единственное, что они думают.

ii. Кто эта банда? Что официально?

Характеристика Сокрадара была очень сдержанной, и три уровня доверия были разделены, что стоит изучить:

Поверь мне.Хозяева - это активные разработки вторжения и боевые станции.
Это большое дело.Члены INC и The GentlemenОбщая операционная средаЯ не знаю.
Я в это не верю.Между двумя брендами существует официальный альянс.

Наиболее вероятными формами являются:Поставщик, специализирующийся на инструментах и инфраструктуре, обслуживающий несколько брендов шантажа.

Если это суждение верно, это значит гораздо больше, чем «банда становится сильнее».Способность Phantom используется в качестве сервиса для распространения в среде шантажа.И не личные вещи определенной семьи. Количество людей, которые смогут это сделать, увеличится.

Портрет оператора:Русский, основное время мероприятия 06:00–14:00 UTCЯ не знаю. Это окно соответствует московскому времени с 9 до 17 вечера, обычному рабочему человеку.

Три, шесть водных линий, каждая с человеческим пятном. Голова

Phantom описывает себя как «Autonomous Red Team Kill Chain Framework», 18 модулей навыков с автопилотом и компонентом самообучения (замаскированный под компонент Windows Update). Запуск терминала с открытым исходным кодом OpenCode Давай, давай, давай. OpenRouter Позвони. anthropic/claude-opus-4.6 и moonshotai/kimi-k3Я не знаю.

Но истинный способ бега — шесть секций, каждая из которых заканчивается одним человеком:

#	Фаза	ИИ, что?	Что ты делаешь?
01	Выбор цели	Нарисуйте список EMS / SimpleHelp / Mail / VPN в FOFA	Подтвердите, какой бой, какой приказ.
02	Позвоните в подъезд.	Генерировать и отлаживать команды использования багов	Отпустите, решите, какой путь выбрать.
03	Наступи на него.	Количество доменов, ордер, приоритет документов	Оценка рисков, решение продолжить
04	Упакуйте снаружи.	RevSocks Tunnel и Restic/Rcline Transfer Command	Подтверждено отсутствие триггера.
05	цены	Украденные деньги оцениваются как «сколько можно заплатить без банка» и как рычаг регулирования.	Сколько стоит?
06	Шифрование/прессия	Создайте пользовательскую конфигурацию шифрования, шантажные письма, сценарии голосовой рыбалки	Я решил не делать этого.

Официальный «автономный» — это маркетинговый термин. Точные слова SocRadar: Это первый раз, когда я смог поговорить с тобой.- Искусственный интеллект, ручное одобрение.

КСА дал мне показания, которые, как я думал, были на месте: "Искусственные ворота имеют три преимущества для оператора:

Экономия средств.Модели создают доказательства, преувеличивают открытие (Anthropic зажег проблему в GTG-1002), и можно выделить и избежать сожжения входа.
Контроль ОПСЭК.Реальная сеть жертв, когда и как трудно судить.
Переместите узкие места от моделей к людям.Можно смотреть на несколько строк одновременно, одобрять гораздо быстрее, чем писать.

«Одобренный человеком» не читается как «медленный».133 сеанса, 62 цели, и этот результат может поддерживаться командой.

В-четвертых, вход все тот же. Это давно назрело.

Это наименьший раздел «ИИ» в целом и наиболее действенный раздел.

ИИ ускорил процесс, ноОн не открыл дверь.Я не знаю. Злоумышленники зафиксировали все входы на краю интернета (сообщаются следующие цифры):

КВЭ	Продукты	Результаты из записей нападавших
CVE-2026-3516	Fortinet FortiClitEMS аутентификация обойдена	2236 целей. 108 учетных записей администраторов. 4140 Терминал Tenet
CVE-2024-57727	Обсуждение SimpleHelp RMM Path Crossing	Подсчитано 4922. 427 паролей администратора 242 IP
CVE-2026-41940	cPanel/WHM аутентификация шунтирование	Предполагаемое вторжение в 49+ малых домов
CVE-2026-15409	Соникволл SMA1000	У нас есть список целей, не подтвержденных.

Ни одна из этих первых дыр не нова.В апреле 2026 года Fortinet сообщил, что CVE-2026-35616 использовался в полевых условиях, CISA добавила его в KEV 6 апреля; SimpleHelp, дыра, в которой CISA выпустила объявление в июне 2025 года о том, что шантажистская банда принимает его для клиента вниз по течению.

Перевод:Эти двери открыты, потому что никто их не закрывает.

Движение после ввода также является рутинным: количество доменов относится к доменной трубке, захватывает доказательства, расставляет приоритеты в финансовом / кадровом / юридическом / исполнительном файле, вытаскивает его через туннель SOCKS наоборот.

Повторное использование является максимальным усилителем.В докладе приводится случай:Открылся повторно используемый пароль с VPN, сервером, RMM, платформой резервного копирования и управления безопасностью.

Обход обороны осуществляется BYOVD: убийцей быстрого исцеления/секрита, который злоупотреблял Земаной. zam64.sysЯ не знаю. Собственный журнал злоумышленника показывает, что есть хорошее или плохое влияние на EDR на уровне компании - это реально, что означает, что EDR - это не бумага, но это не все.

Пять, сколько денег потрачено, сколько это будет стоить?

Эта часть является наиболее очевидной частью «вовлеченности ИИ в бизнес-суд».

Конец стоимости:Два платежных счета OpenRouter, один из которых стоил $23 920 и чуть не увидел его после. Дно(требуется в режиме реального времени 5 октября 2026 г.) Плюс семь ВПС. Вот так.

Ценообразование заканчивается, ИИ делает хуже, чем написание кода:Возьмите украденные финансовые данные и оцените, сколько компания может заплатить, если это не шокирует банки и страховку.Затем найдите нормативное рычаг (данные о клиентах, обязательства по соблюдению) в качестве рычага.

Задокументировано несколько случаев:

Эйдон.15 миллионов евро, при которых оператор упал до 4 миллионов евро / 2,5 миллиона евро, когда он обнаружил неправильную материнскую компанию.
Алмазы Лео ШахтераПочта с четырьмя частями, подписанная Джентльменами, со сценарием голосовой рыбалки.
Trulit Glass и алюминийИзготовлена поддельная станция trulitesupport[.]com«Уведомление об инциденте безопасности» отправляется непосредственно клиенту жертвы, связанному со страницей утечки.
Медицинская сеть.24 часа, 3-8 миллионов австралийских долларов.

Ритм давления фиксируется: только текстовая почта начальнику или руководителю,Никаких цитат.Затем голосовая рыбалка; затем клиенты и партнеры; затем надзор; наконец раскрытие информации. Продолжительность 24-72 часа. Планы платежей в Menrocoin.Ни кошелька, ни платежных записей.Конечный результат неизвестен.

Что означает этот раздел для защиты:Ваши финансы, списки клиентов, ваши обязательства по соблюдению являются частью атаки.Они решают, сколько они будут платить и будут ли они платить.

VI. 62 Жертвы, а не количественные

СТРУ разделил 62 названные организации на пять групп по глубине проникновения:

слот	Глубина	Номер
L1	Только разведка.	12
L2	Закрепись.	28
L3	Потерян местный уровень	14
L4	Ввод шифрования или вымогательства	4
L5	Он публично висит на месте утечки.	4

Географически 36 семей в США. Сначала промышленность.Промышленность/производство/энергетика 16,1%Второе,Медицинский/фармацевтический 14,5%Я не знаю.

Наиболее показательным является распределение доходов:Из 35 домохозяйств, имеющих доступ к цели, 27 имеют 250 миллионов долларов.

Это типичный портрет среднего бизнеса.Маргинализованное оборудование голое в общедоступной сети, ИТ передается на аутсорсинг в MSP, не имеет возможности тестирования 7x24, но имеет деньги на книгах.И через линию MSP можно войти в небольшую компанию.

Вии. Как их извлекли: память ИИ

Этот раздел является наиболее ироничной и ценной частью моего взгляда на доклад в целом.

Этот бизнес сработает.Устойчивая база знанийДолгосрочная память ИИ запоминает прогресс каждой жертвы, украденные улики, план следующего шага. Все три находятся на сервере.

Вот почему он перевернулся:База знаний + журнал сеанса = полный способ работы.Имеет исходный код, подтверждающие документы, скриншоты (включая экран SimpleHelp, снятый оператором на машине жертвы), внутренние записи чата (Rocket). Чат) и дискуссия на тему «Московское время 6 часов завтра?» и 46 устройств шифрования, предназначенных для конкретных жертв.

46 устройств шифрования охватывали шесть жертв, Windows и Linux, каждый с отдельным ключом и идентификацией жертвы. Три из них были упакованы 30 сентября и готовы к запуску 1 октября.

Технические детали устройства шифрования стоит запомнить: резервная копия, база данных, процесс обслуживания остановлен;Позвоните, удалите копию с прямым приводом, не ходите vssadmin;add .INC суффикс; бросить один INC-README.txt Откройте портал Tor Chat.

Есть также доказательства "внутреннего пакета". smilefacesec@gmail.comПерепроверьте это со счетом BlackForums. sm4l1st123Я не знаю.Тот же человек, кросс-платформенная, та же личность.

Они писали своим партнерам. README_PARTNER.mdРекламное слово «35 MCP-серверов, 55+ инструментов, 9K+CVE PoC».Это описание продукта SaaS.

VIII. Списки защит, которые можно копировать напрямую

В докладе содержится ряд рекомендаций, и я перенаправляю их так: «Можем ли мы сделать это сегодня?»

Сегодня: Проверьте, являются ли эти четыре объекта общедоступными.

FortiCliantEMS- Особенно, если за кулисами. sysadminЯ не знаю.fct_svc_*Я не знаю.ems_monitor_* Такие неожиданные высокоприоритетные учетные записи; проверьте, подключены ли VPN скрипты и файлы конфигурации.
SimpleHerp / MeshCentral / N-central Этот тип RMM - подсчет, исправления, ограничения, кто его использует.
cPanel/WHM- особенно доверенное лицо и его клиенты.
Соникволл SMA1000— В список целей включен CVE-2026-15409.

Интерфейс управления может быть доступен онлайн.Патчи не означают расчистку поля.Злоумышленники, которые уже находятся внутри, не уйдут за патчами и должны будут сделать отдельную проверку.

Оригинальное название: Break the "One Password"

VPN, RMM, резервное копирование, виртуализация, консоль безопасности, отдельный номер счета + MFA, не повторное использование.
Управляйте личными белыми списками IP, ограниченными.
Вверх, LAPS и gMSA в качестве уровня администратора (уровень 0/1/2).
То же самое требовалось от МСП вписать в договор — повторного использования заказчика МСП произошло.

Тест: проверяйте поведение и ритм, а не одно очко. Полиция

В докладе указаны следующие действия, которые могут быть непосредственно связаны с правилами:

Office 进程拉起 PowerShell / curl / certutil
非域控主机发起复制请求（DCSync 特征）
卷影副本里的 ntds.dit 被读取
RC4 Kerberos 服务票据异常增多
restic / rclone 向外部对象存储批量传输
非安装器进程出现 Restart Manager 会话
zam64.sys（Zemana 驱动）加载 + Quick Heal/Seqrite 服务被停

Есть два конкретных МОК: запланированные миссии. Первое имя RealtekAudioSvcВернитесь в домен. iquickline[.]comЯ не знаю. Пункт IP 45.227.254.xЯ не знаю.77.110.109.248Я не знаю.

Резервное копирование: Нет, нет, нет.

Инвертируемая резервная копия или офлайн-изоляция, виртуализация мэйнфрейма и сервера основного документа отделены от пользовательского сегмента.Первое, что касается шифрования, это прекращение резервного копирования и удаление копий.Это цель дизайна, а не побочный эффект.

Если вы делаете это сами, агент,

Эта архитектура...Агент с открытым исходным кодом Harness + MCP Tool Server + устойчивая база знаний + выравнивающая модель- Это точно такая же структура, как и приличное развертывание агента в вашей компании.

Таким образом, система управления также является защитой:Журналы сеансов должны храниться, инструменты должны быть вызваны для авторизации, а личности посредников должны быть отслежены.

Существует также производитель модели и полимера: когда запрос упакован как «Authorized Red Team Society», запрос делается производителю модели и полимеру.Отсутствие разрешения на проверку контекста следует рассматривать как риск, а не как сигнал доверия.Когда нападавшие были отвергнуты, это была не модель с открытым концом.Перефразировать- Измените шаблон, чтобы продолжать спрашивать.

IX. Последние три предложения

Первое предложение:Полный автоматический шантаж еще не прибыл, но прибыла команда «один за другим».Не используйте «ИИ не может сделать это» как утешение. Не стоит заменять людей, это превращает людей в узкие места - узкие места могут быть увеличены.

Второе предложение:ИИ сделал атаку быстрее, но не проще.Точки входа для 62 целей, все эти старые дыры в КЭВ. Это не модель, которая действительно должна быть тревожной, это ваша EMS.

Третье предложение:Структура издержек этого бизнеса изменилась.24 000 счетов API плюс 7 VPS будут поддерживать 133 сессии. Когда затраты снижаются до этого уровня, предположение о том, что «недостаточно толстые, чтобы никто не боролся», исчезает — компании среднего размера стоимостью 250 миллионов долларов находятся в диапазоне.

Их продавали по собственной памяти. Это напоминает всем, кто занимается агентом, что база знаний является активом и доказательством.

Последнее предложение осталось за теми, кто работал на охрану: в докладе был только один источник и независимая проверка еще не состоялась.Выводы могут подождать, пластыри не ждут.