Explotación de la inteligencia artificial en ciberataques
La empresa Microsoft informó que el grupo de amenaza chino conocido como Storm-0940, activo desde el año 2021, comenzó a utilizar el framework de pruebas de penetración de código abierto Artex para automatizar campañas de ataques dirigidas a cientos de organizaciones. Esta transición hacia la automatización impulsada por inteligencia artificial permitió a los atacantes ejecutar operaciones de reconocimiento y ataques de rociado de contraseñas (Password Spraying) a velocidades sumamente altas.
Detalles del ataque contra ConnectWise
A mediados de octubre de 2026, el grupo atacó los entornos de trabajo de los clientes de la empresa ConnectWise, lo que llevó a la compañía a suspender servicios vitales como las copias de seguridad en la nube y la seguridad de software como servicio (SaaS). De acuerdo con las observaciones técnicas, los atacantes utilizaron credenciales comprometidas para acceder a cientos de inquilinos en Microsoft 365 y Entra.
Los datos indican que los atacantes lograron ejecutar más de 2.900 intentos de inicio de sesión por minuto, registrándose más de 151.000 intentos fallidos, seguidos de operaciones de autenticación exitosas que aprovecharon las identidades de las aplicaciones en la nube de ConnectWise.
¿Qué cambia en la práctica?
La gravedad radica en que los agentes de inteligencia artificial no se limitaron al proceso de autenticación, sino que pasaron a ejecutar operaciones avanzadas dentro de los entornos de las víctimas, las cuales incluyeron:
- La realización de operaciones de reconocimiento dentro de Microsoft Graph.
- La modificación de las credenciales de las aplicaciones para garantizar la persistencia (Persistence) incluso después de solucionar las vulnerabilidades originales.
- La ejecución de cambios en identidades, grupos y roles con privilegios elevados.
Recomendaciones de seguridad para las organizaciones
Microsoft advierte a las organizaciones sobre la necesidad de examinar minuciosamente los inicios de sesión de los directores de servicio (Service Principals) y correlacionarlos con las actividades posteriores dentro de Microsoft Graph y los cambios en el directorio activo. Los equipos de seguridad deben diferenciar entre las actividades administrativas autorizadas y las actividades sospechosas que puedan indicar la explotación de herramientas automatizadas como Artex.
Estos ataques confirman una tendencia creciente entre los grupos de amenaza persistente avanzada (APT) de utilizar herramientas de inteligencia artificial para reducir la brecha temporal entre el descubrimiento de una vulnerabilidad y la ejecución de la intrusión, lo que impone una presión adicional sobre los equipos de respuesta a incidentes.