Kaspersky investigó ciberataques contra organizaciones educativas en América Latina y África, en los que los atacantes utilizaron inteligencia artificial para automatizar prácticamente todas las etapas de la intrusión. Según la compañía, los atacantes emplearon el marco de código abierto CyberStrikeAI, que permitió organizar el ciclo completo del ataque: desde la recopilación de información hasta la obtención del control sobre el dominio de la organización.
CyberStrikeAI combina un servidor de control, agentes de software y un modelo de lenguaje grande. El operador define las tareas, tras lo cual la IA selecciona de forma autónoma las herramientas, genera los comandos y analiza los resultados.
En uno de los incidentes investigados, los atacantes obtuvieron primero acceso a un servidor SQL y recopilaron manualmente información sobre el sistema. A esto le siguió una pausa de dos semanas, tras la cual instalaron el implante CyberStrikeAI en los dispositivos. En solo tres o cuatro días, los atacantes lograron comprometer las cuentas de los administradores del dominio. La etapa final, que incluyó el movimiento lateral por la red, la recopilación de contraseñas y la extracción de la base de datos, duró menos de una hora.
Al mismo tiempo, la inteligencia artificial operaba en los servidores de los atacantes y no en las computadoras comprometidas. El implante instalado solo ejecutaba comandos y transmitía los resultados al servidor de control.
En los scripts, los especialistas encontraron comentarios en chino; sin embargo, esto no es suficiente para vincular los ataques con un grupo de hackers específico. Para detectar la amenaza, se utilizaron las herramientas de Kaspersky EDR Expert y los instrumentos de monitoreo de red de la compañía.
Según los expertos, el uso de IA permite acelerar y coordinar ciberataques complejos, aunque los métodos de intrusión en sí siguen siendo conocidos: reconocimiento, robo de credenciales y movimiento lateral entre sistemas. En Kaspersky recomiendan a las organizaciones reforzar el control de los terminales y el tráfico de red, actualizar periódicamente los datos sobre ciberamenazas y garantizar una supervisión ininterrumpida de la infraestructura las 24 horas del día.