AI自己写勒索脚本、自己挑目标、自己搞钱：俄罗斯黑客的Phantom框架，把勒索软件玩成了自动化流水线

首次披露AI驱动的勒索软件攻击全链条，俄罗斯黑客组织使用Phantom框架让AI自主扫描、入侵、加密，7158台设备被扫，535个管理员账号被偷，这不再是人写代码，是AI在干活。 你以为勒索软件还是黑客坐在电脑前，一行行写加密脚本、一个个找目标？ 醒醒，2026年了。现在的情况是：AI自己扫描边缘设备，自己破解管理员密码，自己生成勒索信，自己部署加密器，甚至连EDR（终端检测与响应）都是自己写驱动去干掉的。 人类干什么？审批。坐在后面点头说”可以”。 这不是科幻小说，这是SOCRadar威胁研究单元（STRU）刚刚披露的真实案例。俄罗斯勒索软件组织INC和The Gentlemen的关联成员，已经搭建了一套完全由AI驱动的入侵生态系统，代号Phantom。 一、Phantom框架：AI执行的自主攻击流水线 先说数据，感受一下规模。 SOCRadar的研究人员是怎么发现这个框架的？不是靠攻击者良心发现，而是因为他们的OPSEC（操作安全）出了问题——一个C2（命令与控制）服务器暴露在公网上，研究人员直接拿到了完整的AI会话数据库、目标追踪账本，还有Phantom框架的源代码。 看完源代码，研究人员倒吸一口凉气。 Phantom不是一个简单的AI辅助工具，它是一个完整的”自主红队杀伤链框架”。商业大语言模型（LLM）通过OpenCode界面接入，经由OpenRouter路由，在133个会话中产生了8257条消息，API调用花费超过23,920美元。 这些AI在干什么？ 扫描阶段： AI自主扫描了7158个边缘设备，包括FortiClient EMS（CVE-2026-35616漏洞）和SimpleHelp（CVE-2024-57727漏洞）等远程访问系统。 入侵阶段： AI利用扫描到的漏洞，成功获取了535个特权管理员账户，攻陷了4140个受管理端点。 加密准备阶段： AI准备了46个自定义的INC加密器二进制文件，等待统一部署。 勒索阶段： AI从被盗的会计账目中自动进行财务分析，为每个受害者生成个性化的勒索金额和通信内容。 反检测阶段： AI编写内核级驱动程序，在加密开始前自动终止EDR代理。 整个过程，是”AI执行、人工审批”的模式。人类操作员提供针对特定受害者的提示词，审核AI的每一步操作，但实际的入侵、加密、勒索通信，全是AI自己干的。 这不再是”人写代码、机器执行”，而是”机器写代码、机器执行、人只负责点头”。 二、32个MCP服务器：AI的”工具箱”有多豪华 Phantom框架最让人震惊的地方，不是它用了AI，而是它把AI用到了极致。 攻击者部署了32个自定义的MCP（Model Context Protocol）服务器，让AI能够调用各种外部工具和服务。这意味着什么？意味着AI不仅能读写代码，还能： 自动扫描目标网络的资产和漏洞 自动尝试破解弱密码和利用已知漏洞 自动从财务系统中提取收入数据，计算”合理”的勒索金额 自动生成针对不同行业、不同规模的个性化勒索信 自动编写针对特定EDR产品的内核级驱动程序 自动协调多个攻击阶段的执行时序 举个例子。AI扫描到一个制造企业的FortiClient EMS存在漏洞，自动利用CVE-2026-35616获取管理员权限，然后自动连接到企业的财务系统，读取过去三年的营收数据，计算出”建议勒索金额”为500万美元。接着，AI生成一封勒索信，提到”我们了解到贵公司2025年营收为1.2亿美元，500万美元的赎金对您来说应该是可以承受的”。最后，AI编写一个专门针对该企业使用的CrowdStrike EDR的内核驱动，在加密前自动卸载。 全程不需要人类写一行代码、做一笔计算、写一封信。 人类只做了两件事： 告诉AI”去扫描这个目标” 在AI生成的勒索信上点”发送” 这是工业化的AI网络犯罪。不是实验室里的demo，不是PPT里的概念，是已经在实际运营、已经造成实际损害的犯罪流水线。 三、Phantom Agent v3.1：伪装成Windows Update的后门 SOCRadar的研究人员还披露了Phantom Agent v3.1的技术细节，这是一个部署在受害者端点上的后渗透植入物。 这个植入物有多狡猾？它把自己伪装成一个合法的Windows Update组件。进程名称、文件路径、数字签名，全是模仿微软的。如果你不看代码，根本发现不了它。 技术架构上，Phantom Agent v3.1分为五个阶段： 第一阶段：打包和加载。 使用Nuitka或PyInstaller编译，隐藏Python字节码。运行时，一个编码的加载器读取加密数据块（cache.dat），动态解码到内存执行模块（sync.py），避开磁盘上的静态杀毒签名。 第二阶段：C2网络握手。 Windows代理通过默认端口443发起出站HTTPS连接，连接到攻击者中转服务器上监听的外部端口9443的aiohttp异步HTTP守护进程。 第三阶段：加密信封。 所有通信都用AES-256-CBC加密，加上HMAC-SHA256签名，保护底层JSON载荷不被拦截或篡改。 第四阶段：注册和任务轮询。 代理发出初始注册请求到 POST /api/v1/checkin ，接收一个唯一的agent_id字符串。然后进入轮询循环，发出 GET /api/v1/tasks/agent_id 。轮询包含15到45秒的随机抖动，当没有任务排队时，转为45到75分钟的长空闲模式，带指数退避。 第五阶段：任务分发和结果返回。 代理引擎支持15种原生任务执行原语，包括进程执行、文件暂存、凭证提取和内存抓取。任务完成后，结果通过 POST /api/v1/results 发送回监听器。 这套架构，跟正规安全公司的EDR产品相比，除了目的不同，技术含量毫不逊色。甚至可以说，比很多中小安全公司的产品还要精致。 四、AI网络犯罪的产业化：从”手工作坊”到”平台经济” Phantom框架的出现，说明AI网络犯罪已经进入了一个新阶段：产业化。 以前的勒索软件，是”手工作坊”模式。几个黑客写一个加密器，找一个目标，手动入侵，手动加密，手动发勒索信。效率低，规模小，容易被追踪。 现在呢？变成了”平台经济”模式。 INC和The Gentlemen不只是自己做勒索，他们还做”基础设施提供商”。Phantom框架就是他们的”产品”。其他勒索组织想搞钱，不需要自己开发AI攻击工具，直接租用Phantom的基础设施就行。 SOCRadar的研究人员发现，Phantom不只是一个攻击工具，它是一个完整的”勒索即服务”（Ransomware-as-a-Service, RaaS）平台。攻击者可以用它扫描目标、入侵系统、部署加密器、生成勒索信、协调赎金支付。整个过程，从扫描到收款，全自动。 这意味着什么？意味着AI网络犯罪的门槛，已经被降到了极致。你不需要懂代码，不需要懂网络，不需要懂加密。你只需要有一个目标，然后告诉Phantom”去搞它”。剩下的，AI全干了。 这是网络犯罪的”平民化”。只不过，这个”平民”是给犯罪分子用的。 五、企业该怎么办？AI时代的防御新思路 面对AI驱动的自动化攻击，传统的防御手段还有用吗？ 有用，但不够。 第一