Han convertido modelos de IA comerciales en piezas operativas de una operación de ciberataque. La campaña combinó la asignación de tareas dirigidas por IA con métodos conocidos, como servidores públicos vulnerables, credenciales robadas, webshells y malware de acceso remoto personalizado.

La operación alcanzó los Archivos de Historia del Partido Kuomintang de Taiwán, el Ministerio de Asuntos Exteriores de Indonesia y redes gubernamentales y educativas en China continental.

Una brecha confirmada afectó a un entorno gubernamental del distrito de Fengtai, exponiendo registros administrativos y de salud, recopilando credenciales de Windows y desplegando implantes.

Analistas de Hunt.io identificaron la actividad tras examinar directorios expuestos del atacante y rastrear un proxy SOCKS compartido a través de cinco espacios de trabajo conectados.

Hunt.io indicó en un informe que los operadores vincularon infraestructura, cuentas reutilizables, archivos SecFlow y material de carga útil GLUTTON.

Los hallazgos muestran un cambio práctico en cómo se pueden gestionar las intrusiones. La IA no creó las fallas de seguridad subyacentes, pero ayudó a dividir el trabajo, mantener el contexto y coordinar acciones con rapidez.

Esto refuerza la necesidad de un parcheo rápido, gestión de la exposición, protección de credenciales y revisión de actividad inusual en los servidores web.

Hackers convierten a Claude, Qwen y DeepSeek en agentes de IA

Los operadores utilizaron un marco llamado SecFlow para convertir un objetivo general en trabajos más pequeños para trabajadores especializados de IA.

Se podían seleccionar perfiles de Claude, Qwen y DeepSeek sin cambiar la interfaz de la tarea, permitiendo que el sistema asignara reconocimiento, pruebas de exploits, recopilación de datos y generación de informes a través de un espacio de trabajo compartido.

SecFlow conectaba a esos trabajadores con los detalles del objetivo, almacenamiento, rutas de proxy y permisos de herramientas. La configuración incluía relevos de modelos privados bajo niestools.com junto con rutas de proveedores oficiales.

Esto proporcionaba a los trabajadores posteriores los resultados anteriores, de modo que un solo objetivo podía convertirse rápidamente en una actividad coordinada. No obstante, la campaña siguió basándose en técnicas de intrusión convencionales.

Los trabajadores utilizaron código público de prueba de concepto (PoC), pruebas de credenciales, aplicaciones vulnerables, webshells y un implante personalizado llamado SecBox.

Puedes comparar este modelo operativo con informes anteriores sobre intrusiones de Claude y DeepSeek, que documentaron modelos comerciales integrados en una campaña separada vinculada a China.

Un supuesto éxito con Apache Shiro no estuvo respaldado por la evidencia recuperada; sin embargo, se incluyó en instrucciones posteriores y provocó más de 27 pruebas de seguimiento GLUTTON fallidas.

Por lo tanto, la coordinación por IA puede multiplicar la velocidad de un operador, pero también puede propagar un error temprano a través de todo el flujo de trabajo.

De servidores expuestos al robo de datos

La intrusión en Fengtai comenzó a través de una aplicación de Automatización de Oficinas que aceptaba la carga de archivos ASPX.

Los atacantes utilizaron páginas de comandos del lado del servidor para ejecutar comandos de Windows, mapear sistemas internos, intentar la escalada de privilegios, extraer la memoria LSASS y colmenas del registro, consultar bases de datos y mover datos a través de solicitudes HTTP ordinarias.

También insertaron una cuenta de aplicación privilegiada y desplegaron SecBox, una herramienta de acceso remoto y pivoteo de red basada en Go. El implante podía ejecutar comandos, transferir archivos, escanear puertos, proxyizar tráfico y utilizar rutas de comando y control alternativas.

Esta mezcla de acceso mediante webshell y herramientas de punto final ilustra por qué los ataques a servidores web necesitan monitoreo más allá de las alertas iniciales de exploit.

En otro lugar, un servicio de gestión de IA educativa expuesto reveló configuraciones de agentes, secretos, conversaciones y datos de perfiles de estudiantes.

Los investigadores confirmaron el uso de credenciales filtradas contra una API de producción y una solicitud no autenticada para crear una configuración de agente, pero no confirmaron la toma total del servidor. Esta distinción es importante para la evaluación del impacto.

Un servicio MySQL falso independiente se dirigió al procesamiento inseguro de objetos Java, utilizando una conexión de base de datos saliente para entregar una segunda etapa en Linux.

El grupo también probó rutas de Shellshock, Spring4Shell, Ghostcat, Log4Shell, Grafana, Nexus, Nacos y Shiro. Riesgos similares se exploran en casos donde agentes de IA vulneran sistemas gubernamentales, donde agentes paralelos aceleraron el reconocimiento y los ataques de credenciales.

Deberías parchear rápidamente el software expuesto a internet, eliminar directorios expuestos, restringir interfaces administrativas, rotar credenciales expuestas e inspeccionar los servidores web en busca de cargadores inesperados basados en ASPX, JSP, PHP o imágenes.

También deberías vigilar las conexiones salientes a la infraestructura listada, revisar los registros de autenticación y de aplicaciones, y validar los hallazgos de seguridad automatizados antes de actuar sobre ellos.

La orientación sobre agentes que reconstruyen herramientas de malware fallidas subraya aún más por qué necesitas detección basada en el comportamiento y no solo firmas estáticas.

La segmentación de la red y el acceso de menor privilegio pueden limitar aún más el daño si una aplicación pública se ve comprometida. Los ejercicios de simulación también acortan el tiempo de contención.