Los afiliados de ransomware dejan que agentes de IA ejecuten la intrusión, con un humano que solo pulsa «aprobar»

Un servidor expuesto de los operadores, vinculado a afiliados de los grupos de ransomware INC y The Gentlemen, muestra cómo funciona en la práctica una intrusión dirigida por IA. Los agentes hacen la mayor parte del trabajo manual. Un humano elige a la víctima y aprueba cada paso.

Qué ha pasado

El directorio filtrado pertenece a un actor que se cree de habla rusa. Contiene un framework propio que los operadores llaman Phantom y describen como una «kill chain autónoma de red team». El mismo actor parece tener dos funciones: ejecuta directamente intrusiones y extorsiones, y alquila infraestructura a otros socios del ecosistema de ransomware.

El modelo es «ejecutado por IA, aprobado por un humano». El operador escribe un prompt para cada víctima y revisa cada acción. Los pasos se ejecutan mediante el agente de código abierto OpenCode, con modelos de lenguaje comerciales a los que se accede a través de un servicio de enrutamiento de modelos. Los registros del servidor suman más de 8.200 mensajes en 133 sesiones. Cuando un modelo se negaba a una tarea, el operador no solía cambiar de modelo. Reformulaba la petición para que pareciera un ejercicio de red team autorizado.

El acceso inicial llegó con la explotación masiva de sistemas perimetrales y de acceso remoto expuestos a internet. Los registros de los operadores mencionan estas vulnerabilidades:

• CVE-2024-57727: path traversal en SimpleHelp (explotada activamente)
• CVE-2026-35616: omisión de autenticación en Fortinet FortiClient EMS (explotada activamente)
• CVE-2026-41940: omisión de autenticación en cPanel/WHM (explotada activamente)
• CVE-2026-15409: SSRF en SonicWall SMA 1000 (preparada para atacar, sin compromiso confirmado)
• CVE-2026-63030: WordPress (exploit desarrollado)
• CVE-2026-42208: inyección SQL en LiteLLM (desarrollada o referenciada)
• CVE-2026-9082: inyección SQL en Drupal (desarrollada o referenciada)

En la lista de objetivos también había pasarelas de Ivanti, Citrix, SonicWall y OpenVPN.

Una vez dentro, los operadores repetían siempre la misma rutina. Mapeaban el dominio, buscaban privilegios de administrador de dominio cuando era posible y recolectaban credenciales con herramientas tipo stealer. Después extraían archivos financieros, de RR. HH., legales y de la dirección a través de túneles reverse-SOCKS. La reutilización de contraseñas fue lo que más daño hizo. En una víctima, una sola contraseña reutilizada abrió de golpe la VPN, los servidores y las consolas de gestión remota, de copias de seguridad y de seguridad. Los operadores intentaron cegar a los defensores con un EDR killer de tipo BYOVD (bring-your-own-vulnerable-driver) y técnicas de evasión a nivel de loader. Sus propias notas reconocen resultados dispares contra EDR corporativos.

El arsenal combina componentes propios y reutilizados:

• Phantom, el framework ofensivo con IA, opera en vivo a través de OpenCode. Su agente recibe tareas de un servidor remoto y devuelve la salida de los comandos. Tiene 18 módulos de habilidades para reconocimiento, ingeniería inversa, investigación de exploits, esteganografía e identificación de EDR.
• WormGPT-MCP es un conjunto de 32 servidores Model Context Protocol que conectan la IA con módulos que cubren desde el reconocimiento hasta la extorsión.
• Ghost C2 reúne tres generaciones de implantes polimórficos que se comunican por Cloudflare, Telegram o DNS.
• RevSocks es una herramienta reverse SOCKS5 para pivotar y preparar los datos antes de sacarlos.
• El resto del arsenal incluye un agente Mythic oculto tras Cloudflare («QuickLine»), un EDR killer para Quick Heal/Seqrite que abusa del controlador de Zemana zam64.sys y las utilidades de exfiltración rks3 y BackupAgent.

Bases de conocimiento gestionadas por IA registraban las víctimas, las credenciales robadas y el estado de cada campaña.

La extorsión es igual de metódica. La IA redactaba los expedientes de extorsión a partir de las finanzas de la propia víctima, para fijar un rescate que esta pudiera pagar sin recurrir a un banco ni a una aseguradora. Los operadores enviaban después muestras enmascaradas como prueba y presionaban con llamadas de vishing guionizadas. También amenazaban con avisar a clientes, socios y reguladores. Si la víctima no paga en un plazo de 24 a 72 horas, sus datos se publican. No se han recuperado carteras ni registros de pago, así que no sabemos si alguna víctima pagó.

Alrededor de 62 organizaciones parecen haber sido objetivo, y cuatro de ellas aparecieron después en los sitios de filtraciones de INC y The Gentlemen. Más de la mitad de los objetivos están en Estados Unidos. Los más afectados fueron los sectores industrial, manufacturero y energético, seguidos de salud y farmacéutico.

Por qué importa

Ninguna de las vías de entrada es nueva. Son fallos conocidos y parcheables en VPN, herramientas de gestión remota y paneles de hosting. Lo que ha cambiado es la economía del ataque. Cuando un agente de IA se ocupa del reconocimiento, el movimiento lateral y el papeleo, un solo afiliado puede trabajar con decenas de víctimas en paralelo. El margen entre la publicación de un CVE de un dispositivo perimetral y su explotación masiva es cada vez menor. Registros como estos también muestran que las salvaguardas de los modelos se pueden sortear reformulando la petición, así que no frenarán a un operador decidido.

Qué hacer

• Parchee primero los sistemas perimetrales y de acceso remoto expuestos a internet. Revise FortiClient EMS, SimpleHelp, cPanel/WHM, SonicWall SMA, Ivanti, Citrix y OpenVPN frente a los CVE anteriores. Trate cualquier exposición sin parchear como posiblemente comprometida.
• Elimine la reutilización de contraseñas. Use contraseñas únicas y MFA resistente al phishing en las consolas de VPN, RMM, copias de seguridad y seguridad. Mantenga esas cuentas de administración separadas de las cuentas de dominio de uso diario.
• Bloquee controladores vulnerables. Active la lista de bloqueo de controladores vulnerables de Microsoft o un control equivalente, y configure alertas ante la carga de controladores como zam64.sys.
• Vigile los túneles y el tráfico de salida anómalo. Busque túneles reverse-SOCKS, beaconing de C2 por Cloudflare, Telegram o DNS y transferencias salientes grandes de datos financieros, de RR. HH. o legales.
• Proteja los paneles de administración. Saque las interfaces de gestión de internet y colóquelas detrás de una VPN o de un acceso zero-trust.
• Prepárese para la llamada de presión. Informe a la dirección y al personal de primera línea de que la extorsión llega ahora con llamadas guionizadas y amenazas de contactar con clientes y reguladores.

No se puede parchear lo que no se sabe que está expuesto, y campañas como esta empiezan por una pasarela VPN o un servidor RMM olvidado. Nuestro servicio de Attack Surface Management mapea de forma continua los activos expuestos a internet de una organización y señala los dispositivos perimetrales expuestos y los CVE explotados activamente, para que puedan corregirse antes de que el agente de un afiliado llegue primero.