Un caso de ransomware con IA en ataque híbrido cifró 37 equipos de un grupo de escuelas del Reino Unido, y la pista que lo delata no es un programa nuevo: es el ritmo. Los comandos que fallaban volvían a intentarse cada 40 a 101 segundos, cambiara mucho o cambiara poco.
Bitdefender publicó la investigación el 3 de noviembre: es el primer caso de este tipo que documenta en Europa. La intrusión corrió del 10 al 19 de septiembre, obra de un afiliado de 3AM, una operación de ransomware como servicio con cifrador en Rust, visto por primera vez en febrero de 2023.
La lectura de la firma rumana encuentra dos ritmos en el mismo ataque. Entre tarea y tarea, las pausas duraban de dos a dieciséis minutos, el paso de una persona que lee un resultado y decide el movimiento siguiente. Entre reintento y reintento, la espera quedaba por debajo de los dos minutos, con la regularidad de un bucle de agente, el programa que devuelve cada resultado a un modelo y ejecuta la orden que el modelo entrega.
Una llamada a Veeam con el puerto equivocado
Las órdenes arrastran marcas típicas de un modelo que escribe de memoria. Una llamada a la interfaz web de Veeam usó un puerto y un método de acceso que no coinciden con la documentación del fabricante. Bitdefender lo lee como el error clásico de quien redacta sin el manual abierto: el modelo conoce la forma general y falla en el dato exacto.
El 13 de septiembre quedó la secuencia más clara. Un comando de PowerShell se repitió idéntico 41 segundos después; 49 segundos más tarde cambió una sola llamada; 47 segundos después, PowerShell quedó abandonado y entró wmic, la interfaz vieja de comandos de WMI, para ejecutar órdenes en otras máquinas. La reescritura completa llegó tan rápido como el retoque mínimo: tecleando a mano, rehacer una orden toma bastante más que corregir una palabra.
Por las copias de seguridad empezó el trabajo sucio. Entre el 10 y el 11 de septiembre, el atacante robó las credenciales guardadas en tres servidores Veeam con una copia modificada de la herramienta pública Veeam-Get-Creds.ps1, y las descifró con DPAPI, la protección de secretos de Windows. De un servidor de terminales salió una copia del archivo Login Data de Chrome.
Mimikatz apareció el 14 de septiembre, disfrazada con el nombre sysmon64.exe. Con esa herramienta clásica de extracción de credenciales llegaron dos cuentas nuevas de administrador de dominio, library y svc_bkpmon, nombres elegidos para mezclarse con la lista de cuentas de una escuela. Al día siguiente, 40 archivos de finanzas viajaron escondidos dentro de valores del registro de Windows, se copiaron con robocopy y salieron comprimidos por una petición HTTP hacia un equipo interno sin agente de seguridad, el punto de partida de cada acción registrada.
Frente a ese registro, el aviso oficial británico hablaba de futuro. El Centro Nacional de Ciberseguridad del Reino Unido juzgó muy probable que el ransomware con IA alcance la infraestructura crítica antes de que termine 2028. El caso de las escuelas no espera a ese calendario: ocurrió en septiembre, con herramientas corrientes y sin ninguna técnica nueva, y quedó documentado orden por orden.
Tres dominios unidos en tres horas, 37 equipos cifrados
El 18 de septiembre, en unas tres horas, el atacante unió tres dominios de Active Directory que vivían separados, con relaciones de confianza en ambos sentidos, y extendió el acceso de la cuenta puerta trasera por todo el conjunto. Unir dominios es faena mecánica y delicada: cada nombre debe resolverse y un solo dato mal puesto frena el proceso. Bitdefender señala justo esa parte como el ejemplo más nítido del ataque híbrido, porque corregirla pide leer el error y reintentar hasta que encaje.
Al día siguiente tocó el cifrado. Tres versiones de un guion para quitar los programas de detección —av_remove.ps1, av_remove2.ps1 y av_remove3.ps1— chocaron con los controles antimanipulación. El cargador repartió el cifrador en unas 40 máquinas, a unos 101 segundos por equipo, y host.exe, el cifrador de 3AM, trabajó de 05:07 a 05:33, entre 12 y 13 segundos por máquina, borrando las copias del estado del sistema con wbadmin. El saldo: 37 cifrados de cerca de 50 alcanzados.
Las recomendaciones de Bitdefender apuntan a la estructura, no al modelo. Cuentas de administrador separadas para cada dominio y ninguna credencial privilegiada de varios dominios guardada en el mismo sitio. La infraestructura de copias tratada como objetivo. Ejecución remota recortada, consolas bloqueadas en máquinas que nunca las usan y un agente de seguridad en cada equipo: el único equipo sin agente fue el punto de partida de todo lo registrado.
La propia firma marca el límite de su hallazgo. Su equipo nunca accedió al equipo del atacante: no puede documentar qué modelo intervino, si corría en local o a distancia, ni descartar a una persona copiando y pegando instrucciones entre ventanas: lo documentado es el comportamiento, y el comportamiento es el de un bucle de agente. Bitdefender lo deja en un caso de ransomware con IA, una anécdota y no una tendencia —el código malicioso generado con IA representa apenas el 0,07 % de las muestras que recoge al mes—, con una expectativa: este reparto, una persona marcando los objetivos y un modelo cargando el trabajo mecánico, se repetirá con más frecuencia en 2027 porque las cuentas le salen al atacante.
Fuente: Bitdefender
