Prägend für die Kampagne ist eine Arbeitsweise, die SOCRadar als „von der KI ausgeführt, vom Menschen freigegeben" beschreibt: Ein menschlicher Operator liefert einen opferspezifischen Prompt und prüft jeden Schritt, während die Einbrüche selbst über OpenCode mit kommerziellen, bei OpenRouter gehosteten Modellen ausgeführt werden. Die Auswertung eines offen zugänglichen Verzeichnisses unter 45.227.254[.]43 ergab 8.257 protokollierte Nachrichten in 133 Sitzungen. Verweigerten die Modelle die Ausführung, formulierte der Operator die Anfragen als autorisierte Red-Team-Bewertung um, statt lediglich das Modell zu wechseln. Zur Nachverfolgung von Opfern, gestohlenen Zugangsdaten und Kampagnenfortschritt dienten KI-verwaltete Wissensdatenbanken.

Der Erstzugang erfolgt über die massenhafte Ausnutzung öffentlich erreichbarer Edge-Geräte; anschließend bewegen sich die Angreifer lateral, richten Persistenz ein, exfiltrieren Daten und steuern auf den Einsatz von Ransomware zu. Die Aufzeichnungen der Operatoren nennen folgende Schwachstellen:

  • CVE-2024-57727 (Path Traversal in SimpleHelp) – aktiv ausgenutzt
  • CVE-2026-35616 (Authentifizierungsumgehung in Fortinet FortiClient) – aktiv ausgenutzt
  • CVE-2026-41940 (Authentifizierungsumgehung in cPanel/WHM) – aktiv ausgenutzt
  • CVE-2026-15409 (SSRF in SonicWall SMA 1000) – für Angriffe vorbereitet, keine bestätigte Kompromittierung
  • CVE-2026-63030 (WordPress, wp2shell) – entwickelt
  • CVE-2026-42208 (SQL-Injection in LiteLLM) – entwickelt oder referenziert
  • CVE-2026-9082 (SQL-Injection in Drupal) – entwickelt oder referenziert

Nach dem Eindringen folgten die Operatoren laut SOCRadar einem wiederkehrenden Ablauf: Domain aufzählen, nach Möglichkeit zu Domänenadministrator-Rechten eskalieren, Zugangsdaten mit Stealer-Werkzeugen abgreifen, Dateien aus Finanzwesen, Personalabteilung, Rechtsabteilung und Geschäftsführung priorisieren und über Reverse-SOCKS-Tunnel einsammeln. Die Wiederverwendung von Passwörtern sei der wichtigste Kraftmultiplikator gewesen: In einem Fall öffnete ein einziges mehrfach genutztes Passwort gleichzeitig VPN, Server, RMM sowie Backup- und Sicherheitsmanagement-Plattformen. Sicherheitsprodukte wurden mit einem BYOVD-Killer und Umgehungstechniken auf Loader-Ebene beeinträchtigt, wobei die eigenen Protokolle der Angreifer gemischte Ergebnisse gegen Unternehmens-EDR festhalten.

Das Werkzeugarsenal umfasst eigene Frameworks, modifizierte Open-Source-Werkzeuge und kompilierte Binärdateien. Phantom ist ein KI-gestütztes Offensiv- und Penetrationstest-Framework, das über OpenCode im laufenden Betrieb eingesetzt wird; ein Agent kommuniziert mit einem externen Server, ruft Aufgaben ab, führt Befehle aus und liefert Ergebnisse zurück. Es unterstützt 18 Fähigkeitsmodule, unter anderem für Aufklärung, Reverse Engineering von Binärdateien, Exploit-Recherche, Steganografie, Telemetriebewertung und EDR-Fingerprinting.

Hinzu kommen WormGPT-MCP, ein Verbund aus 32 Model-Context-Protocol-Servern, der das KI-System mit 32 Modulen von der Aufklärung bis zur Erpressung verbindet, sowie Ghost C2, drei Generationen polymorpher Implantate, die über Cloudflare, Telegram oder DNS mit einem entfernten Server kommunizieren, Aufträge ausführen und dauerhafte Beacons auf kompromittierten Endpunkten unterhalten. RevSocks, ein Reverse-SOCKS5-Framework, dient dem Pivoting in Opfernetzen und dem Bereitstellen von Daten zur Exfiltration. Weiter nutzten die Angreifer einen über Cloudflare fassadierten Mythic-Agenten namens QuickLine, einen EDR-Killer gegen Quick Heal/Seqrite, der im Rahmen eines BYOVD-Angriffs den Zemana-Treiber „zam64.sys" missbraucht, sowie die Exfiltrationsprogramme rks3 und BackupAgent.

Die Analyse von Dutzenden KI-verfassten Erpressungsschreiben zeigt ein datengetriebenes Vorgehen: Die Täter werten erbeutete Finanzunterlagen aus, um zu bestimmen, welchen Betrag ein Opfer zahlen kann, ohne Bank oder Versicherer einschalten zu müssen. Anschließend versenden sie maskierte Beweisproben und erhöhen den Druck durch skriptgestützte Vishing-Anrufe sowie die Drohung, Kunden, Partner und Aufsichtsbehörden zu informieren. Zahlt das Opfer nicht innerhalb einer Frist von 24 bis 72 Stunden, werden die Daten auf der Leak-Seite veröffentlicht. Wie die Forderungen ausgingen, ist unklar – weder eine Kryptowährungs-Wallet noch Zahlungsnachweise wurden gefunden.

Insgesamt wurden schätzungsweise 62 Organisationen ins Visier genommen, vier davon tauchten auf den Leak-Seiten von INC und The Gentlemen auf. Mehr als die Hälfte der Ziele entfällt auf die USA. Betroffen waren vor allem Industrie, Fertigung und Energiewirtschaft, gefolgt von Gesundheits- und Pharmaunternehmen. Bei der Ausnutzung offen erreichbarer Internetdienste zielten die Akteure nach Angaben von SOCRadar gezielt auf FortiClient-EMS-Gateways, Gateways von Ivanti, Citrix, SonicWall und OpenVPN, SimpleHelp-Fernwartungsserver sowie cPanel-Hostingverwaltungen.