Phantom, le framework IA autonome qui pilotait les intrusions des affiliés d’INC et de The Gentlemen
Fin septembre 2026, SOCRadar découvre qu’un serveur C2 exposé laissait voir l’écosystème d’intrusion piloté par IA des affiliés d’INC Ransomware et de The Gentlemen : 8 257 messages d’agents, 62 organisations ciblées et le code source d’un framework de kill chain autonome baptisé Phantom. Pour les défenseurs, la leçon n’est pas « l’IA attaque » : c’est que les journaux de session d’IA deviennent une preuve forensique exploitable.
Mi-juillet 2026. L’activité du C2 Ghost démarre, pivot des opérations. 30 septembre 2026. Une capture d’écran SimpleHelp montre le chiffrement en direct d’un poste victime. 20 octobre 2026. SOCRadar publie son analyse complète d’un écosystème d’intrusion piloté par IA. Le point clé : ce ne sont pas des « IA qui attaquent toutes seules » — c’est une boucle humain-dans-la-boucle où l’IA planifie, génère et trie, et où un opérateur approuve chaque pas.
Comment l’infrastructure a été découverte
L’enquête du Threat Research Unit de SOCRadar (STRU) commence par un serveur de commande et de contrôle exposé au public, à l’adresse 45.227.254.43. Ses répertoires ouverts laissaient voir la base de connaissances des opérateurs, les journaux de session IA et le code source de Phantom, décrit comme un « Autonomous Red Team Kill Chain Framework ». Les fichiers de configuration, les journaux et les credentials de ce premier hôte ont mené à six autres serveurs contrôlés par les attaquants, hébergés pour l’essentiel sur l’AS267784 (Flyservers S.A.).
Les acteurs sont des affiliés de INC Ransomware (groupe MITRE G1032, aussi suivi sous GOLD IONIC) et de The Gentlemen Ransomware. Les serveurs exposaient 46 builds d’encryptor INC préparés pour six victimes et planifiés pour un déploiement le 1er octobre 2026, la preuve d’un chiffrement réel, et un dossier d’extorsion aux couleurs de The Gentlemen.
Ce n’est pas une sophistication inédite qui a fait tomber l’opération. C’est un échec d’OPSEC : les opérateurs ont laissé leurs propres journaux, leur base de connaissances et leurs sessions IA en accès libre. La mémoire du système était, littéralement, lisible par tout le monde.
L’IA comme co-opérateur, l’humain comme approbateur
STRU a analysé 8 257 messages répartis sur 133 sessions OpenCode, aux côtés de trois itérations de la base de connaissances. Le schéma qui s’en dégage est net : une structure « exécuté par l’IA, approuvé par l’humain ».
La pile technique est banale, et c’est ce qui est important. L’interface est OpenCode ; les modèles sont des LLM commerciaux standard hébergés via OpenRouter — anthropic/claude-opus-4.6 et moonshotai/kimi-k3 apparaissent dans les journaux. « WormGPT » n’était qu’un prompt de persona posé sur ces modèles, pas un modèle non censuré. Quand un modèle refusait, l’opérateur ne changeait pas de modèle : il réécrivait la demande sous forme de modèle « Authorized Red Team Assessment Request ».
Chaque campagne démarrait par un prompt maître propre à la victime, et l’IA attendait l’approbation de l’opérateur avant chaque action, sous la consigne « coordinate every action with me ». Les opérateurs, russophones et actifs surtout entre 06 h 00 et 14 h 00 UTC, utilisaient l’IA pour la reconnaissance, le choix des techniques, la génération de commandes, le tri des données volées et la rédaction de rapports.
Le coût est chiffré. Un contrôle en direct le 5 octobre 2026 trouvait deux comptes OpenRouter payants, dont un presque épuisé après 23 920 dollars de dépenses API. L’IA n’est plus un gadget d’attaquant : c’est une ligne budgétaire d’une opération ransomware.
L’accès initial par les appliances de bordure
La porte d’entrée n’était pas un phishing sophistiqué mais des appareils de bordure exposés, exploités à l’échelle. Les registres des opérateurs — non vérifiés indépendamment, mais cohérents — donnent les ordres de grandeur :
- CVE-2026-35616, contournement d’authentification FortiClient EMS : 2 236 cibles, 108 comptes admin créés et 4 140 postes gérés, avec des backdoors plantés dans les scripts VPN modifiés.
- CVE-2024-57727, traversée de chemin SimpleHelp : scans de 4 922 serveurs, 427 mots de passe admin récupérés et 242 adresses IP distinctes touchées — des credentials de techniciens MSP volés ouvrant l’accès à tous leurs clients.
- CVE-2026-41940, contournement d’authentification cPanel/WHM : 49 brèches revendiquées chez de petits hébergeurs, utilisées comme tremplin vers les serveurs de messagerie qu’ils hébergent.
Cette mécanique rappelle FortiBleed, que nous avions documentée ici. La différence, c’est l’ajout d’une couche IA au-dessus du même moteur d’accès initial par les appliances réseau.
Au total, 62 organisations sont nommées dans les registres, 36 aux États-Unis, avec l’industrie et la production (16,1 %) puis la santé (14,5 %) en tête. Quatre victimes sont montées sur des sites d’extorsion publics, et 14 ont subi une compromission de domaine.
Ce que ça change pour la défense
Pour un RSSI, trois leçons concrètes se dégagent.
D’abord, l’IA n’a pas changé la porte d’entrée — elle a industrialisé le reste. Les mêmes CVE de bordure, les mêmes credentials volés. Le correctif de fond reste donc le plus basique : patcher FortiClient EMS, SimpleHelp et cPanel, chasser les admins EMS non sollicités et les scripts on_connect VPN modifiés, faire tourner les credentials et imposer MFA sur les outils d’accès distant.
Ensuite, l’IA laisse une trace plus riche que l’humain. Les bases de connaissances et les journaux de session sont un fil d’enquête complet — une aubaine pour l’attribution, mais aussi un rappel que nos propres outils IA internes accumulent le même type de journaux, qu’il faut protéger autant que des secrets.
Enfin, la barrière de la censure des modèles commerciaux est contournable par le langage. Si vos contrôles reposent sur l’idée qu’un LLM refusera d’aider un attaquant, cette affaire montre le contraire : la reformulation en « red team autorisé » suffit souvent. La défense doit porter sur la détection des actions, pas sur les intentions affichées par le modèle.
Verdict
Si vous exposez des appliances de bordure — EMS, RMM, panneaux d’hébergement — traitez-les comme la première ligne. Le patch de FortiClient EMS, SimpleHelp et cPanel ferme la porte que ces affiliés ont réellement utilisée, et la chasse aux admins plantés et aux scripts VPN modifiés détecte ceux qui sont déjà entrés. Si vous déployez des agents IA en interne, tirez la leçon inverse de l’attaque : journalisez et protégez les sessions comme une surface sensible, car c’est exactement la mémoire qui a fait tomber INC et The Gentlemen — ne la laissez pas faire tomber la vôtre.