Ecosistema de Ransomware — Infraestructura Expuesta Revela Operaciones de Intrusión Orquestadas por Agentes de IA

Fecha de publicación: 23 de octubre de 2026
Categoría: Ransomware / Ciberdelito

Introducción

Investigadores de ciberseguridad han descubierto un ecosistema de intrusión impulsado por inteligencia artificial (IA) operado por afiliados de los grupos de ransomware INC y The Gentlemen. El componente central de esta operación es un marco de ataque autónomo denominado Phantom, diseñado para automatizar las fases del ciclo de vida de una intrusión. La amenaza, de origen presumiblemente rusohablante, funciona simultáneamente como operador de extorsión y proveedor de infraestructura para múltiples socios dentro del ecosistema criminal. La explotación masiva de sistemas perimetrales y de acceso remoto —incluyendo FortiClient EMS, SimpleHelp y cPanel— ha permitido a los atacantes mantener bases de conocimiento gestionadas por IA para rastrear víctimas, credenciales robadas y el progreso de sus campañas.

¿Qué es el Ecosistema de Ataque Automatizado por IA? (Análisis General)

La campaña destaca por estructurarse bajo un modelo de operación guiado por IA y aprobado por humanos, donde un operador proporciona instrucciones contextuales específicas y revisa cada paso, mientras la ejecución técnica se realiza mediante herramientas avanzadas conectadas a modelos comerciales alojados en OpenRouter.

El análisis de un directorio expuesto (45.227.254[.]43) reveló más de 8,200 registros de mensajes a lo largo de numerosas sesiones. El marco utiliza mecanismos sofisticados, incluyendo un framework ofensivo de seguridad con agentes de inteligencia artificial y módulos de control de contexto (como WormGPT-MCP), para ejecutar reconocimiento, ingeniería inversa de binarios e investigación de exploits.

El impacto sobre los sistemas afectados es crítico, ya que los operadores aprovechan vulnerabilidades severas en pasarelas de red y servidores de gestión que forman parte de los catálogos de explotación activa, destacando múltiples fallos con puntuaciones CVSS elevadas:

  • CVE-2024-57727 (SimpleHelp): Severidad Alta (7.5 CVSS v3.1), clasificado bajo CWE-22 (Path Traversal). Presente en el catálogo CISA KEV.
  • CVE-2026-35616 (Fortinet FortiClient EMS): Severidad Crítica (9.8 CVSS v3.1), clasificado bajo CWE-284 (Improper Access Control). Presente en el catálogo CISA KEV.
  • CVE-2026-41940 (cPanel / WHM): Severidad Crítica (9.3 CVSS v4.0), clasificado bajo CWE-306 (Missing Authentication for Critical Function). Presente en el catálogo CISA KEV.
  • CVE-2026-15409 (SonicWall SMA 1000): Severidad Crítica (10.0 CVSS v3.1), clasificado bajo CWE-918 (Server-Side Request Forgery - SSRF). Presente en el catálogo CISA KEV.
  • CVE-2026-63030 (WordPress): Severidad Crítica (9.8 CVSS v3.1), clasificado bajo CWE-436 (Interpretation Conflict). Presente en el catálogo CISA KEV.
  • CVE-2026-42208 (LiteLLM): Severidad Crítica (9.3 CVSS v4.0), clasificado bajo CWE-89 (SQL Injection). Presente en el catálogo CISA KEV.
  • CVE-2026-9082 (Drupal Core): Severidad Crítica (9.8 CVSS v3.1), clasificado bajo CWE-89 (SQL Injection). Presente en el catálogo CISA KEV.

¿Cómo funciona? (Análisis Técnico)

El modus operandi de la campaña sigue una cadena de ataque estructurada que combina la automatización algorítmica con técnicas tradicionales de post-explotación:

  • Acceso Inicial y Explotación Perimetral: Los atacantes aprovechan vulnerabilidades conocidas en dispositivos de borde expuestos a Internet a escala masiva, logrando saltos de autenticación, bypass de controles de acceso o lectura arbitraria de archivos de configuración y secretos.
  • Movimiento Lateral y Persistencia: Una vez dentro de la red, los operadores emplean el marco RevSocks para establecer túneles inversos SOCKS5 y realizar un pivote interno. Asimismo, despliegan variantes de C2 polimórficas (Ghost C2) que se comunican mediante Cloudflare, Telegram o DNS para mantener balizas persistentes.
  • Evasión de Defensas y Credential Harvesting: Los atacantes utilizan ataques de reutilización de credenciales como multiplicador de fuerza. Para neutralizar los controles de seguridad, implementan técnicas de evasión a nivel de cargador y ataques de tipo Bring Your Own Vulnerable Driver (BYOVD) utilizando un controlador vulnerable legítimo (zam64.sys) para deshabilitar soluciones EDR.
  • Exfiltración y Extorsión Dirigida: El análisis de los registros muestra un enfoque centrado en datos financieros, de recursos humanos y legales. La extorsión se rige por un análisis automatizado de la capacidad de pago de la víctima, complementado con llamadas de vishing y amenazas de publicación en sitios de filtraciones si no se cumple el ultimátum de 24 a 72 horas.

Sistemas / Entornos Afectados

La infraestructura expuesta y los vectores identificados impactan directamente a organizaciones en sectores industriales, de manufactura, energía, salud y farmacéutico, afectando principalmente a entidades en Estados Unidos.

CVE Categoría (CWE) Impacto CVSS Vector (resumido)
CVE-2024-57727 CWE-22 (Path Traversal) Exfiltración de secretos 7.5 (High) AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVE-2026-35616 CWE-284 (Access Control) Ejecución de código 9.8 (Critical) AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE-2026-41940 CWE-306 (Missing Auth) Bypass de autenticación 9.3 (Critical) AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H
CVE-2026-15409 CWE-918 (SSRF) Peticiones maliciosas 10.0 (Critical) AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVE-2026-63030 CWE-436 (Interpretation) RCE vía SQLi 9.8 (Critical) AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE-2026-42208 CWE-89 (SQL Injection) Acceso no autorizado BD 9.3 (Critical) AV:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H
CVE-2026-9082 CWE-89 (SQL Injection) Inyección SQL en núcleo 9.8 (Critical) AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Mitigación y Detección

Remediación

  • Aplicar de manera inmediata los parches oficiales proporcionados por los fabricantes para cada uno de los productos afectados (SimpleHelp, FortiClient EMS, cPanel/WHM, SonicWall, WordPress, LiteLLM y Drupal).
  • Auditar y restringir la exposición de interfaces de administración y pasarelas VPN directamente a Internet, implementando autenticación multifactor (MFA) robusta y segmentación de red.
  • Monitorear la integridad del kernel y las políticas de control de controladores para mitigar ataques de tipo BYOVD.

Detección

Los equipos de respuesta a incidentes deben buscar activamente Indicadores de Compromiso (IoCs) relacionados con la infraestructura de agentes autónomos y herramientas de túnel inverso:

La utilización de agentes de IA integrados con marcos de ataque como Phantom y pasarelas de proxy reverso como RevSocks demuestra un cambio hacia la automatización ofensiva avanzada, requiriendo un monitoreo estricto de las conexiones salientes no estándar y patrones anómalos en directorios expuestos.

  • Monitoreo de Red: Inspeccionar tráfico hacia endpoints asociados con túneles SOCKS5 inversos y patrones de balizas HTTP hacia servicios Cloudflare/Telegram.
  • Análisis de Logs: Revisar registros de acceso en servidores perimetrales en busca de solicitudes HTTP anómalas que intenten evadir autenticación o realizar recorridos de rutas (path traversal).

Recapitulando

El uso de agentes de IA autónomos por parte de afiliados de ransomware como INC y The Gentlemen marca una evolución preocupante en la industrialización del ciberdelito. La capacidad de automatizar la cadena de muerte mediante marcos como Phantom, combinada con la explotación masiva de vulnerabilidades críticas en sistemas perimetrales, subraya la necesidad urgente de mantener una postura de parcheo proactiva y una visibilidad profunda en la infraestructura expuesta.

Referencias