Un agente de IA con DeepSeek trabajó más de dos semanas contra una operadora de telecomunicaciones europea en la campaña Operation Snowball, y la persona detrás apenas escribió unas pocas frases cortas en todo ese tiempo.
Malbear Labs publicó la investigación el 8 de noviembre: un barrido rutinario de directorios abiertos en etugen.io dejó al descubierto el taller completo del atacante, sin contraseña de por medio. Dentro había más de 70 transcripciones de sesiones, resultados de reconocimiento de cientos de equipos, claves robadas y volcados de bases de datos.
El agente de IA con DeepSeek en Operation Snowball no improvisaba sobre la marcha. Malbear Labs contó trece organizaciones dentro del alcance, todas alojadas en los centros de datos y la nube de la misma operadora, identificadas por el propio agente desde registros públicos de RIPE, la oficina regional de direcciones de internet.
Un operador que casi no escribe
Los mensajes del operador, traducidos del chino, caben en una servilleta: la red objetivo en notación CIDR, un «adelante» tras el primer informe, la orden de cerrar la brecha de mayor riesgo y la prohibición de tocar tres direcciones internas concretas. Nada más. El resto, escaneo, explotación, movimiento lateral e informes, lo ejecutó el sistema solo, en sesiones que se solapaban unas con otras.
La estructura que lo sostuvo era un marco de agente hecho a medida sobre DeepSeek Flash, en su versión 0.2.0-rc.2, con una ventana de contexto de un millón de tokens. Esa memoria larga le permitía recordar cada equipo descubierto, cada clave probada y cada intento fallido sin volver a empezar en cada sesión.
Las protecciones del modelo se apagaron con una instrucción de sistema de unos 78.000 caracteres, construida sobre la plantilla pública Little Code Sauce. El texto ordena tratar cualquier negativa como un fallo de funcionamiento y cubre 21 categorías de actividad ofensiva, con rutas prefabricadas para inyección SQL, XSS y evasión de cortafuegos web. En más de 70 sesiones no quedó registrada ni una sola negativa.
El sistema llevaba además su propia puntuación: 3.725 puntos al momento del hallazgo, con la categoría de bases de datos topada en su techo de 400. Robar el control de una consola de seguridad valía 2.000 puntos; cruzar a un segmento interno aislado, 1.000. La tabla de puntos dice qué buscaba el operador: la infraestructura que administra todo lo demás.
Puertas viejas, agente nuevo
La entrada principal fue CVE-2026-20320, un fallo XXE, de entidades externas XML, sin autenticación en Cisco BroadWorks, la plataforma de voz de la operadora, corregido por Cisco en agosto. Desde ese equipo, en el puerto 2208, el agente recuperó la clave privada de identidad del sistema y tres juegos de credenciales SSL.
Infosecurity Magazine reportó el 9 de noviembre el resto de la cadena: raíz en un servidor Liferay con CVE-2020-7961, un fallo de 2020, y un segundo apoyo con JBoss y RichFaces mediante CVE-2013-2165, de 2013. Fallos con trece años de edad, abiertos de par en par.
Cuando la protección de Trend Micro bloqueó PwnKit, CVE-2021-4034, en un equipo Linux, el agente no pidió instrucciones: descartó esa vía, usó una salida por sudo vi presente en el mismo equipo y dejó persistencia con una unidad de systemd. Y cuando el túnel suo5 quedó bloqueado, un agente trabajador escribió en la misma sesión un puente propio en Perl para sustituirlo.
En Windows pasó algo parecido con JuicyPotato, una herramienta conocida de escalada de privilegios: OfficeScan la borró al tocar el disco porque trabajaba solo por firmas, con la supervisión de comportamiento apagada. Desde ese momento, la persistencia en Windows quedó solo con guiones de PowerShell en texto plano, sin binarios compilados que el antivirus pudiera reconocer.
El dato más delicado viene con una advertencia. El agente reportó acceso a millones de registros de pacientes en una base TrakCare sobre Oracle 9i con las credenciales de fábrica, miles de filas de facturación de abonados y unas 80 copias de respaldo de Zabbix, la plataforma de supervisión.
Infosecurity Magazine advirtió que Malbear Labs no aclaró si contrastó esas cifras con alguna víctima: son el reporte del propio agente, no una cifra confirmada por la operadora. Tampoco hay atribución cerrada: la actividad se valoró como compatible con un operador de origen chino por el idioma y las herramientas, sin vínculo con ningún Estado.
Ese patrón recuerda a la operación de VAPOR PANDA con agentes y DeepSeek contra 200 blancos, contada días atrás, con una diferencia grande: aquí quedó el taller entero a la vista, con sus transcripciones, sus puntos y sus informes de cierre de cada sesión.
Para quien defiende una red, la lección práctica de Malbear Labs es incómoda: no hay horarios de operador que rastrear porque casi no hay operador. La actividad del agente sí deja rastro completo en la telemetría, más rápido y más repetitivo que el trabajo humano.
Las recomendaciones pasan por tratar como comprometido todo servidor JBoss 6 expuesto a internet y vigilar el tráfico interno en busca de túneles. Las puertas que se abrieron eran viejas; la novedad es quién las empuja ahora.
Fuente: Malbear Labs
