Una nueva investigación revela que una campaña dirigida a organizaciones gubernamentales e infraestructuras estatales utilizó scripts asistidos por IA para robar credenciales, mantener el acceso a servidores Linux y buscar datos sensibles. Los atacantes modificaron los archivos de inicio de la shell de los usuarios para interceptar el comando sudo, copiando las contraseñas introducidas en un archivo antes de transmitirlas al comando real.

Una campaña contra organizaciones gubernamentales e infraestructura vinculada al estado utilizó scripts asistidos por IA para robar credenciales, mantener el acceso a servidores Linux y buscar datos sensibles, según una nueva investigación.

Los atacantes alteraron los archivos de inicio de la shell de los usuarios para interceptar el comando sudo, copiando luego las contraseñas introducidas en un archivo mientras las pasaban al comando real.

Esto permitió que la solicitud del usuario pareciera funcionar normalmente mientras la contraseña era robada. La investigación de Unit 42 indica que la actividad también involucró web shells, malware personalizado, búsquedas en buzones de correo e intentos de borrar evidencias.

La operación muestra cómo herramientas conocidas de Linux pueden ser usadas contra sus propios usuarios. En lugar de explotar un fallo en el propio sudo, los atacantes plantaron un alias malicioso en .bashrc, un archivo que ejecuta comandos cuando un usuario inicia una shell Bash.

Esta distinción es importante: aplicar solo un parche de software no eliminaría este tipo de manipulación. A los administradores les puede resultar útil como contexto esta vulnerabilidad anterior de Linux sudo, pero Unit 42 describió la interceptación de credenciales a través de una configuración de shell modificada, no esa vulnerabilidad.

Investigadores de Unit 42 identificaron la actividad y rastrean el grupo de operaciones relacionadas como CL-UNK-1211. Observaron actividad desde octubre de 2025 hasta abril de 2026 dirigida a entidades gubernamentales e infraestructura afiliada al estado.

Unit 42 utiliza “UNK” para clústeres cuyos vínculos con actividades respaldadas por el estado o el cibercrimen no han sido determinados, por lo que los hallazgos no identifican a un grupo gubernamental o criminal conocido como responsable.

Varios scripts contenían comentarios conversacionales y notas de razonamiento paso a paso que, según los investigadores, eran consistentes con código generado por IA o un agente de IA automatizado.

La evidencia apunta a que la IA ayudó a crear o adaptar partes del kit de herramientas; no establece que la IA haya planificado o llevado a cabo la campaña de forma independiente.

Unit 42 también observó comandos codificados en Base64 y scripts que se movían entre PHP, JavaScript, Bash y Python. Estas pistas pueden ayudar a los defensores a detectar código sospechoso, pero no son prueba por sí solas del uso de IA.

Hackers usan scripts generados por IA

Los atacantes reemplazaron el archivo .bashrc de un usuario con una copia modificada que contenía un alias para sudo. Cuando el usuario ejecutaba el comando, el alias mostraba un aviso similar a la solicitud de contraseña normal, capturaba la contraseña y la escribía en un archivo de registro controlado por el atacante.

Luego pasaba la contraseña al comando sudo legítimo, haciendo que la interceptación fuera menos obvia. Los atacantes llamaron al archivo Solarwinds.StatusLog.txt, aparentemente para que pareciera un artefacto rutinario del sistema. Unit 42 afirmó que no encontró evidencia de que los sistemas o la infraestructura de SolarWinds estuvieran comprometidos.

El robo de credenciales no se detuvo en la shell. Los atacantes también insertaron código en una página de inicio de sesión PHP para recopilar nombres de usuario y contraseñas de administradores, y buscaron en archivos de configuración e historiales de comandos credenciales de correo electrónico, SMTP y bases de datos.

El uso de web shells y acceso oculto en esta campaña tiene paralelismos con otros malwares de robo de credenciales de Linux, aunque ese artículo describe una amenaza distinta y no debe confundirse con CL-UNK-1211.

Malware, persistencia y robo de datos

Unit 42 encontró un troyano de acceso remoto personalizado basado en Go que denominó SysGoRAT. El malware puede ejecutarse en Linux y Windows, comunicarse con un servidor de comando y control a través de WebSocket y admitir comandos remotos, acceso a shell, manejo de archivos y persistencia.

Los atacantes utilizaron nombres como sys-control-client, pip2.7 y ea_install para disfrazar el binario. Su dirección C2 predeterminada era 104.194.158[.]65:443, aunque el informe indica que los operadores podían cambiarla al iniciar.

Los atacantes también desplegaron web shells y cambiaron la configuración de PHP para que un archivo malicioso se cargara antes que otros scripts de PHP. Buscaron en buzones de correo gubernamentales mensajes relacionados con cuentas de redes sociales, intentaron empaquetar el contenido de los buzones y buscaron datos de bases de datos.

Unit 42 informó que un script de archivado de buzones contenía un error de sintaxis y fallaría tal como estaba escrito. Este hallazgo es un recordatorio de que el código malicioso observado no siempre funciona como se pretendía.

Para ocultar su presencia, los operadores intentaron detener los procesos de seguridad de los endpoints, borrar registros e historiales de shell, eliminar scripts temporales después de su uso y cambiar las marcas de tiempo de los archivos.

También plantaron marcadores similares a los de un red-team, incluyendo RedTeamOps2025 y pentest123, para que la actividad pareciera autorizada. Unit 42 dijo que las protecciones de endpoints detectaron y detuvieron los intentos de terminar los procesos de Cortex XDR; ese resultado se refiere a los sistemas observados y no significa que toda actividad intentada fuera bloqueada.

La campaña encaja en un patrón más amplio de atacantes que utilizan la IA para acelerar el desarrollo de scripts, como se ha visto en otras investigaciones de malware generado por IA.

Para los defensores, la respuesta práctica es revisar cambios inesperados en .bashrc, ajustes de PHP y páginas de inicio de sesión; buscar alias desconocidos o archivos de registro de credenciales; monitorizar conexiones salientes y actividad de shell inusuales; y preservar los registros y la evidencia del sistema durante una investigación.

Los indicadores a continuación provienen del informe de Unit 42 y deben cotejarse con la telemetría local antes de ser tratados como evidencia de compromiso.

Fuentes:
https://cybersecuritynews.com/hackers-use-ai-generated-scripts/