El informe de inteligencia de amenazas del tercer trimestre publicado por Rapid7 reveló una aceleración sin precedentes en el ritmo de explotación de vulnerabilidades de seguridad; los atacantes ahora lanzan sus ataques contra vulnerabilidades de alta gravedad en un promedio de tres días a partir de la fecha de su anuncio, mientras que el 71 % de ellas fueron explotadas durante la primera semana posterior a su divulgación pública.
Carrera de vulnerabilidades críticas y el dominio del ransomware
Los datos mostraron que aproximadamente el 79 % de estas vulnerabilidades entran en la categoría de gravedad extrema o lo que se conoce en los círculos de seguridad como el «Santo Grial» (Holy Grail), ya que permiten la ejecución remota sin necesidad de credenciales previas o de la interacción del usuario local. Esta aceleración somete a los equipos de protección y defensa cibernética a una intensa presión temporal para aplicar actualizaciones y parchear las vulnerabilidades antes de que se conviertan en brechas a gran escala.
Al mismo tiempo, el ransomware mantuvo su posición como la amenaza más feroz e impactante a nivel global, encabezando los sectores de servicios empresariales, manufactura y salud la lista de objetivos más expuestos a los ataques. Estados Unidos se situó a la cabeza de los países atacados con un 60 % de los ataques registrados, seguido de Alemania con un 7 %, e Italia y Canadá con un 5 % cada uno. Los ataques dirigidos al sector gubernamental experimentaron un aumento notable del 15 % en comparación con el trimestre anterior.
Principales bandas de ransomware y distribución de objetivos
En cuanto a los actores en el ámbito de la ciberdelincuencia, dos grupos principales encabezaron la lista de ataques exitosos: la banda «The Gentlemen» asumió la responsabilidad de 342 incidentes, seguida directamente por la banda «Qilin» con 339 incidentes. El resto de la lista activa incluyó a grupos como «INC Ransom» con unos 99 ataques, «DeadLock» con 98 ataques, además de «Krybit» con 95 ataques anunciados.
La realidad actual de la inteligencia artificial en las operaciones cibernéticas
Al contrario del alarmismo predominante en los círculos técnicos sobre el dominio total de atacantes apoyados por inteligencia artificial, los resultados del informe mostraron que las herramientas de inteligencia artificial aparecieron como un elemento operativo en solo el 8 % de todos los incidentes rastreados. Los análisis indicaron que los ataques aún se gestionan mediante decisiones humanas directas, ya que el elemento humano determina el objetivo y el mecanismo de ejecución en todos los casos registrados, mientras que el papel de la inteligencia artificial se limita a automatizar la «etapa táctica intermedia» de la cadena de ataque, como la selección de las técnicas adecuadas, la clasificación de objetivos y la recuperación automática cuando falla un paso determinado.
Rapid7 señaló la necesidad de distinguir entre el ritmo de uso de la inteligencia artificial para el descubrimiento de vulnerabilidades y la auditoría de código, que se está acelerando de manera real, y su uso directo en la ejecución de explotaciones complejas, las cuales aún no han surgido como un fenómeno generalizado en los datos de campo. En este contexto, los atacantes recurren a trucos como la fragmentación de comandos y solicitudes a través de múltiples sesiones interactivas (Multi-session Prompting) para eludir los mecanismos de protección y los sistemas de detección integrados en los modelos de inteligencia artificial como servicio.
Actividad de amenazas avanzadas y el mercado de acceso inicial
El informe registró la actividad de 15 grupos diferentes de amenazas persistentes avanzadas (APT) y bandas de ciberespionaje, que se centraron principalmente en instituciones gubernamentales, además de los sectores de defensa, transporte, medios de comunicación y energía. Esto incluyó a grupos vinculados a Rusia como (Sandworm) y (Void Blizzard), el grupo chino (APT31) y el grupo (Lazarus) afiliado a Corea del Norte, cuyo uso de un paquete de software malicioso no registrado previamente destinado a entornos Linux para atacar infraestructuras en Corea del Sur fue documentado.
A nivel de las plataformas de la web oscura, continuó el predominio de la actividad de los intermediarios de acceso inicial (Initial Access Brokers), ya que los anuncios mostraron el suministro de rutas de intrusión que van desde credenciales bancarias completas hasta un punto de apoyo permanente dentro de las redes corporativas; más del 65 % de las publicaciones monitoreadas se centraron en la venta de acceso al Protocolo de Escritorio Remoto (RDP) o acceso a redes internas, lo que representa un indicador temprano vital que los defensores deben aprovechar para monitorear futuros vectores de ataque.
¿Qué significa esto para los equipos de ciberdefensa?
Este cambio impone una reorganización inmediata de las prioridades defensivas dentro de las organizaciones técnicas, y los requisitos para lidiar con este panorama se pueden resumir en lo siguiente:
- Reducción del tiempo de corrección de vulnerabilidades: El modelo de parcheo mensual ya no es suficiente para las vulnerabilidades expuestas a internet; la nueva tasa (3 días) requiere la automatización de la aplicación de actualizaciones y procedimientos de bloqueo inmediato para los servicios expuestos.
- Monitoreo del consumo de interfaces de programación de inteligencia artificial: Rastrear las solicitudes de interfaces de programación (API) emitidas desde dispositivos o procesos inusuales dentro de la red para la detección temprana de cualquier uso no autorizado de herramientas inteligentes.
- Fortalecimiento de los puntos de acceso remoto: Mejorar el monitoreo de los puertos (RDP) y aplicar la autenticación multifactor para negar a los intermediarios de acceso inicial la explotación de las redes y su venta a las bandas de ransomware.