Una campaña de malware generada completamente por IA está explotando activamente la vulnerabilidad “React2Shell”, detectada en la red global de honeypots “CloudyPots” de Darktrace. Este intrusión destaca un cambio crítico en el cibercrimen: la weaponización de los Modelos de Lenguaje Grande (LLMs) para reducir la barrera de entrada a ciberataques efectivos.

El análisis de Darktrace sobre el incidente señala la creciente tendencia del “vibecoding”, un desarrollo de software asistido por IA en el que los operadores dependen en gran medida de los LLMs para generar código funcional rápidamente.

Aunque esta práctica acelera el desarrollo legítimo, al mismo tiempo está empoderando a actores de amenazas con bajas habilidades para producir herramientas de explotación sofisticadas con un esfuerzo mínimo.

El ataque fue observado dirigiéndose a un honeypot Docker de Darktrace, un entorno controlado diseñado para exponer intencionalmente el daemon de Docker sin autenticación.

Esta configuración, que imita una mala configuración común en entornos en la nube, permitió a los atacantes descubrir el daemon a través de la API de Docker e iniciar su cadena de ataque.

Cadena de ataque: de la API de Docker a XMRig

La intrusión comenzó cuando el actor de la amenaza creó un contenedor malicioso llamado “python-metrics-collector”. Esta convención de nombres intenta mezclarse con servicios legítimos de telemetría, una táctica de evasión estándar.

El contenedor fue configurado con un comando de inicio para instalar herramientas esenciales, específicamente curl, wget y python3, antes de recuperar sus cargas útiles principales.

La secuencia del ataque se desarrolló en dos etapas distintas:

1. Recuperación de dependencias: El contenedor descargó una lista de paquetes Python requeridos desde una URL de Pastebin (hxxps://pastebin[.]com/raw/Cce6tjHM).
2. Ejecución de la carga útil: El actor recuperó y ejecutó un script Python desde hxxps://smplu[.]link/dockerzero. Este enlace redirigía a un Gist de GitHub alojado por un usuario llamado “hackedyoulol”, quien desde entonces ha sido baneado de la plataforma.

Una revisión técnica de la carga útil en Python reveló señales reveladoras de generación por LLM. A diferencia del malware típico escrito por humanos, que prioriza la brevedad y suele emplear una fuerte ofuscación para dificultar la ingeniería inversa, este script estaba meticulosamente comentado. Incluía el preámbulo: “Escáner de Red con Marco de Explotación – Solo con Fines Educativos/Investigación”.

Estos artefactos sugieren que el atacante probablemente “eludió las restricciones” de un LLM alineado con medidas de seguridad al enmarcar la solicitud como un ejercicio educativo. Un análisis adicional utilizando herramientas de detección de GPTZero arrojó una evaluación “moderadamente confiable” de que el 76% del código fue generado por IA.

La estructura del script era notablemente limpia, utilizando un “componente de carga útil de servidor Next.js deliberadamente estructurado” para forzar una excepción y revelar la salida de comandos, una técnica central en el exploit React2Shell.

A pesar del sofisticado método de entrega, el objetivo final de la campaña era el secuestro de recursos para la minería de criptomonedas. El script desplegó con éxito un minero XMRig (versión 6.21.0) configurado para minar Monero (XMR) a través del pool supportxmr.

Al analizar la dirección de la billetera del atacante, los investigadores pudieron rastrear el éxito de la campaña. Hasta la publicación del informe, la campaña había infectado aproximadamente 91 hosts, generando un total de 0.015 XMR (valorado en alrededor de £5).

Aunque el rendimiento financiero es insignificante, la implicación operativa es grave: un actor con baja sofisticación logró comprometer casi 100 sistemas utilizando un conjunto de herramientas creado en gran parte por IA.

Notablemente, el malware carecía de un componente “gusano” de autopropagación, algo inusual en amenazas centradas en Docker. En lugar de propagarse de forma autónoma desde los hosts infectados, la lógica de propagación parecía ser manejada de forma remota.

Darktrace observó que la conexión inicial provenía de una dirección IP 49[.]36.33.11, registrada bajo un ISP residencial en India. Esto sugiere que el atacante utilizó un “servidor de propagación” centralizado o un proxy residencial para gestionar la campaña manualmente o mediante un script de automatización separado.

La campaña “React2Shell” demuestra que la IA puede cerrar efectivamente la brecha entre la intención y la capacidad, permitiendo a los adversarios generar malware personalizado y funcional bajo demanda.

Para los defensores, esto exige un cambio hacia la detección basada en comportamiento y la aplicación rápida de parches, ya que las firmas estáticas pueden fallar ante las infinitas variaciones de código que los LLMs pueden producir.

Indicadores de Compromiso (IoCs)

IP del servidor de propagación – 49[.]36.33.11
Dominio del host del malware – smplu[.]link
Hash – 594ba70692730a7086ca0ce21ef37ebfc0fd1b0920e72ae23eff00935c48f15b
Hash 2 – d57dda6d9f9ab459ef5cc5105551f5c2061979f082e0c662f68e8c4c343d667d

Fuentes:

https://www.darktrace.com/blog/ai-llm-generated-malware-used-to-exploit-react2shell

 https://cybersecuritynews.com/react2shell-vulnerability-ai-generated-malware/