Casi como la comisión que te cobra un cajero cuando sacas dinero de un banco que no tiene un acuerdo con el tuyo. Ese es el módico precio que tiene perpetrar un ataque informático de ransomware dirigido a una gran empresa u organismo como si fueras un auténtico cibercriminal profesional.
Su equipo de investigación se ha topado con una infraestructura que permitía llevar a cabo una operación completa de ransomware por muy poco. La misma albergaba cargas útiles maliciosas, herramientas de explotación internas, un sistema de IA y todos los volcados de datos que cubrían todo el ciclo de vida del ataque, yendo desde el acceso inicial hasta las demandas de rescate.
A finales de julio su equipo de investigación descubrió un servidor expuesto que contenía una ingente cantidad de datos: nada menos que 3,1 TB robados a más de 30 compañías. Estas empresas pertenecían a los sectores de marketing, sanidad, consultoría, cumplimiento normativo, bienes raíces, desarrollo de software, telecomunicaciones, manufactura y transporte.
Resultó que este servidor pertenecía a la conocida banda de ransomware The Gentlemen, nacida en julio del año pasado y una de las más activas del momento. Se calcula que se ha cobrado 700 víctimas hasta el momento.
Más allá de los detalles técnicos, lo más llamativo de este descubrimiento es como el grupo de extorsión basaba su actividad maliciosa casi por completo en la automatización mediante inteligencia artificial, con una supervisión humana mínima.
«La mayoría de los ataques comienzan con indicaciones de la inteligencia artificial. El atacante simplemente proporciona al agente de IA la URL de GitLab, el nombre de usuario y la contraseña, probablemente obtenidos de los registros de robo de datos o comprados a intermediarios de acceso inicial», ha explicado Aras Nazarovas, investigador de seguridad de Cybernews, quien descubrió el servidor con la fuga de datos.
«El agente de IA ajusta y modifica los scripts de explotación en función del entorno de cada víctima»·, ha añadido el experto.
Por un puñado de euros
Los registros muestran el coste absurdamente bajo de toda la operación. Un único ataque sale por entre 0,40 y 4 dólares en tokens por víctima, sin contabilizar los costes de la infraestructura de apoyo.
La clave es que el agente Hermes puede comprometer y extorsionar simultáneamente a múltiples objetivos y se utiliza en todas las fases del ataque, incluida la determinación de las demandas de rescate. Esto hace que pueda resultar tan barato para los ‘afiliados’.
Pero, ¿cómo es posible que un grupo de ransomware pida a un asistente de IA que piratee a una empresa y esta proceda sin más a ejecutar la tarea maliciosa sin rechistar?
The Gentlemen usa un ‘truco’ para engañar al LLM y que este cumpla sus peticiones. Lo que hace es incluir en el prompt que se trata de un reto de ciberseguridad «Capture The Flag» (CTF), inspirado en Alicia en el País de las Maravillas. Es decir, el agente de IA es engañado para que crea que está resolviendo desafíos de ciberseguridad en lugar de comprometer a víctimas reales.
«Encontramos archivos fuente de un desafío CTF de código abierto implementado por un agente de IA, así como scripts que sugieren que fue resuelto por un agente de IA. El desafío CTF fue clonado de un repositorio público de GitHub y fue diseñado originalmente para poner a prueba las habilidades de los profesionales de la seguridad en la explotación de vulnerabilidades y debilidades comunes de GitLab CI/CD», indica Nazarovas.
Los hallazgos fueron comunicados de manera responsable al CERT y a la policía de Lituania antes de su publicación, y las autoridades compartieron la información con socios internacionales.
Acerca del autor
