Am 23. Oktober 2026 berichtete The Hacker News, dass Forscher von SOCRadar offen zugängliche Infrastruktur von Affiliates der Ransomware-Gruppen INC und The Gentlemen entdeckt haben1. Nach Einschätzung der Forscher nutzte ein russischsprachiger Operator das Framework Phantom: Ein Mensch gab einen opferspezifischen Prompt vor und prüfte jeden Schritt, während die Einbrüche über OpenCode mit kommerziellen Modellen auf OpenRouter ausgeführt wurden1. Verweigerten die Modelle, wurden die Anfragen als „autorisierte Red-Team-Prüfung“ umformuliert1. Laut SOCRadar und den Aufzeichnungen des Operators erfolgte der Erstzugriff über Schwachstellen in FortiClient EMS, SimpleHelp, cPanel und VPN-Gateways1. Als wichtigsten Verstärker nannte SOCRadar wiederverwendete Passwörter: In einem Fall öffnete ein einziges Passwort VPN, Server, RMM, Backups und Sicherheitsverwaltungsplattformen1. Ziel waren schätzungsweise 62 Organisationen, vier davon landeten auf Leak-Seiten1. Der Ausgang der Lösegeldforderungen ist unbekannt, da weder Wallets noch Zahlungsbelege gefunden wurden1. Unsere Schlussfolgerung, keine Aussage der Quelle: Edge-Systeme zeitnah aktualisieren und Passwort-Wiederverwendung ausschließen.

  1. [1] Exposed Infrastructure Reveals How Ransomware Affiliates Used AI Agents to Execute IntrusionsThe Hacker News