Un preocupante avance ha surgido a principios de 2026, ya que IBM X-Force descubrió una cepa de malware probablemente generada por IA que han denominado “Slopoly”, desplegada durante un ataque de ransomware por el grupo de amenazas con motivación financiera Hive0163. Este grupo se centra principalmente en el robo de datos a gran escala y en el despliegue de ransomware, utilizando un arsenal cada vez mayor de herramientas personalizadas para mantenerse persistente

Un desarrollo preocupante ha surgido a principios de 2026, cuando IBM X-Force descubrió una cepa de malware probablemente generada por IA, a la que llamaron “Slopoly”, desplegada durante un ataque de ransomware por el grupo de amenazas con motivación financiera Hive0163.

El grupo se centra principalmente en el robo de datos a gran escala y en el despliegue de ransomware, utilizando un arsenal cada vez mayor de herramientas personalizadas para mantenerse persistente dentro de las redes objetivo.

Este descubrimiento marca un cambio notable en cómo los ciberdelincuentes están empezando a usar la inteligencia artificial para crear herramientas de ataque más rápido y a un costo mucho menor que antes.

Hive0163 es un grupo documentado de actores de amenazas detrás de múltiples ataques de ransomware de alto perfil a nivel global, todos involucrando la variante de ransomware Interlock.

Su kit de herramientas incluye criptadores privados y malware de puerta trasera, como NodeSnake, InterlockRAT y el cargador JunkFiction —cada uno diseñado para ayudar al grupo a obtener acceso a largo plazo en entornos comprometidos.

Para el acceso inicial, el grupo es conocido por usar ataques ClickFix y malvertising, y se informa que trabaja con corredores de acceso inicial para alcanzar sus objetivos, lo que convierte a Hive0163 en uno de los grupos de ransomware mejor conectados actualmente activos.

Los analistas de IBM identificaron Slopoly durante un compromiso de ransomware en vivo, donde se encontró el script desplegado en un servidor ya infectado.

Funcionaba como el componente cliente de un marco personalizado de comando y control (C2), instalado en C:\ProgramData\Microsoft\Windows\Runtime\ con persistencia establecida a través de una tarea programada llamada “Runtime Broker”.

Hive0163 usó Slopoly para mantener el acceso al servidor infectado durante más de una semana, aunque no se recuperaron los comandos específicos ejecutados durante ese período.

La estructura del script Slopoly presenta claros signos de generación por IA. Incluye comentarios extensos, manejo de errores consistente y variables claramente nombradas —todas características típicas de código escrito por un modelo de lenguaje grande.

El script también contiene una función “Jitter” sin usar, probablemente dejada atrás durante un proceso de desarrollo iterativo con IA.

A pesar de que sus propios comentarios lo describen como un “Cliente de Persistencia C2 Polimórfico”, el malware no puede modificar su propio código durante la ejecución, lo que hace que la etiqueta sea engañosa e inexacta desde el punto de vista técnico.

IBM X-Force no pudo identificar qué modelo de IA produjo Slopoly, aunque la calidad general apunta a una herramienta menos avanzada.

El impacto más amplio de este descubrimiento va mucho más allá de los detalles técnicos. Slopoly demuestra que los atacantes ya no necesitan conocimientos profundos de programación para crear malware funcional —la IA ahora puede encargarse de gran parte de ese trabajo.

La Unidad 42 de Palo Alto, en su Informe Global de Respuesta a Incidentes 2026 publicado poco después, señaló patrones similares de adopción de IA en campañas de ransomware, validando aún más que esta tendencia está ganando terreno en el panorama general de amenazas.

El punto de entrada ClickFix y la cadena de ataque

La intrusión comenzó con un ataque ClickFix, una técnica de ingeniería social que manipula a las víctimas para que ejecuten un script malicioso de PowerShell por sí mismas.

Los atacantes presentan una página falsa de verificación tipo CAPTCHA que almacena silenciosamente un comando dañino en el portapapeles del usuario, luego les indican que presionen Win+R, peguen el contenido y pulsen Enter —ejecutando el malware sin darse cuenta.

Este acceso inicial desencadenó una cadena de despliegue en capas. Primero se instaló NodeSnake, una puerta trasera basada en Node.js, que se conectaba a un servidor C2 mediante solicitudes HTTP POST.

Le siguió el más capaz InterlockRAT, que añadía comunicación por websockets, un túnel SOCKS5 y una shell inversa. Slopoly entró en las etapas posteriores del ataque, junto con herramientas de post-explotación como AzCopy y Advanced IP Scanner.

El servidor C2 de Slopoly estaba alojado en plurfestivalgalaxy[.]com (94.156.181[.]89), que mostró un panel de inicio de sesión durante su período activo.

Los equipos de seguridad deberían avanzar hacia métodos de detección basados en comportamiento, ya que el malware generado por IA suele eludir herramientas basadas en firmas que dependen de patrones conocidos.

IBM X-Force aconseja a los defensores implementar protecciones contra ataques ClickFix, como deshabilitar el atajo Win+R o monitorear la clave de registro RunMRU en busca de entradas inusuales.

También se recomienda a los defensores buscar activamente en sus entornos indicadores de compromiso vinculados a Hive0163, incluyendo el dominio C2 de Slopoly plurfestivalgalaxy[.]com (ya no activo), su dirección IP 94.156.181[.]89, y otras IPs de C2: 77.42.75[.]119, 23.227.203[.]123 y 172.86.68[.]64.