Un informe de Help Net Security describe un cambio preocupante en la forma en que operan los grupos de ransomware. El grupo detrás del ransomware Aur0ra supuestamente entregó credenciales robadas a agentes de IA y los dejó moverse por las redes de las víctimas hacia el acceso de administrador de dominio. En resumen, la combinación de agentes de IA, ransomware y credenciales robadas ya no es solo un riesgo teórico. Se está utilizando para hacer trabajo que antes requería operadores humanos capacitados.
Los detalles públicos son limitados, por lo que vale la pena ser cuidadosos sobre lo que sabemos y lo que no sabemos. A continuación se presenta lo que dice el informe, por qué es importante y qué pasos prácticos reducen su exposición.
Qué hizo el grupo Aur0ra con los agentes de IA
Según el informe, los operadores de Aur0ra no se limitaron a usar IA para escribir correos de phishing o pulir notas de rescate. Entregaron credenciales robadas a agentes de IA y dejaron que esos agentes viajaran por las redes de las víctimas con el objetivo de alcanzar el acceso de administrador de dominio.
Un agente de IA, en este contexto, es software que puede tomar un objetivo, decidir los pasos, ejecutar comandos, leer los resultados y ajustarse. En lugar de que un atacante humano escriba cada comando e interprete cada respuesta, el agente realiza gran parte de ese ciclo por sí solo. El objetivo reportado era el administrador de dominio, el nivel de acceso que normalmente otorga control sobre la mayoría de las cuentas y máquinas en una organización basada en Windows.
El resumen de la fuente no proporciona más detalles técnicos, por lo que no especularemos sobre qué herramientas usaron los agentes ni cuántas víctimas se vieron afectadas.
Cómo las credenciales robadas se convierten en acceso de administrador de dominio
Las credenciales robadas suelen ser el punto de partida de una intrusión en la red. Un nombre de usuario y contraseña, un token de sesión o un inicio de sesión de acceso remoto pueden permitir a un atacante entrar por la puerta principal en lugar de atravesar una pared.
A partir de ahí, el patrón general de una toma de control de la red resulta familiar para los defensores:
- El atacante inicia sesión con una cuenta válida, lo que puede parecer actividad normal.
- Explora la red para descubrir qué sistemas y cuentas existen.
- Busca credenciales más poderosas o configuraciones incorrectas que le permitan moverse lateralmente.
- Sigue escalando hasta obtener derechos de administrador de dominio.
Una vez que un atacante tiene acceso de administrador de dominio, desplegar ransomware en muchos sistemas a la vez se vuelve mucho más fácil. Por eso importa el objetivo reportado de los agentes de Aur0ra. El administrador de dominio es el punto en el que una intrusión puede convertirse en una crisis a nivel de toda la organización.
La lección clave es que esta cadena comienza con un inicio de sesión válido. La protección sólida de credenciales y el control estricto sobre el acceso remoto atacan el paso más temprano y barato del proceso.
Por qué la IA reduce la barrera para los atacantes de ransomware
Históricamente, moverse por una red hacia el administrador de dominio requería paciencia, experiencia y tiempo. Los atacantes tenían que leer resultados, tomar decisiones y evitar activar alarmas. Esa labor limitaba cuántas víctimas podía manejar un grupo.
La automatización cambia esa ecuación. Si los agentes de IA pueden encargarse de gran parte de la exploración y la escalada, un grupo puede necesitar menos personas capacitadas y menos tiempo de trabajo manual por víctima. La actividad reportada de Aur0ra sugiere que:
- Operadores con menos experiencia podrían intentar intrusiones que antes exigían pericia.
- Operadores experimentados podrían ejecutar más intrusiones en paralelo.
- El tiempo entre el acceso inicial y el compromiso total podría reducirse, dejando a los defensores menos margen para reaccionar.
Estas son implicaciones razonables del comportamiento reportado, no mediciones confirmadas. Aun así, los grupos de ransomware tienen un largo historial de adaptar sus herramientas e infraestructura para mantenerse efectivos. Nuestra cobertura sobre cómo el ransomware DeadLock añade la aplicación Session para evadir desmantelamientos muestra el mismo patrón desde otro ángulo: los operadores siguen cambiando sus métodos cuando algo se interpone en su camino, y adoptan lo que haga el trabajo más barato y más resistente.
Qué significa esto para usted
La buena noticia es que los agentes de IA todavía necesitan algo con lo que trabajar. En el caso reportado, ese algo eran credenciales robadas. Los defensores no pueden controlar cuán ingeniosas son las herramientas de un atacante, pero sí pueden controlar cuán útil resulta un inicio de sesión robado.
Para las personas, esto es un recordatorio de que las contraseñas reutilizadas o expuestas pueden convertirse en el primer eslabón de una cadena mucho más grande, especialmente si usa el mismo inicio de sesión para servicios laborales y personales. Para las pequeñas empresas y los equipos de TI, significa que los sistemas de acceso remoto, incluidos las pasarelas VPN y los servicios de escritorio remoto, merecen el mismo escrutinio que cualquier otro punto de entrada.
Cómo reducir su exposición a los ataques basados en credenciales
Ninguno de estos pasos es exótico, y juntos hacen que una contraseña robada sea mucho menos valiosa:
- Audite sus contraseñas. Use un gestor de contraseñas para dar a cada cuenta una contraseña única y larga. Cambie cualquiera que haya aparecido en una brecha conocida.
- Active la autenticación multifactor (MFA). Prefiera métodos basados en aplicaciones o en hardware sobre SMS cuando sea posible, y exija MFA en el correo electrónico, las cuentas de administrador y todo el acceso remoto.
- Revise la configuración de VPN y acceso remoto. Confirme quién tiene acceso, elimine las cuentas que ya no sean necesarias y asegúrese de que los inicios de sesión remotos requieran MFA. Mantenga el software de la pasarela actualizado.
- Limite los privilegios. Las cuentas del día a día no deberían tener derechos de administrador. Menos cuentas poderosas significa menos rutas hacia el administrador de dominio.
- Vigile los inicios de sesión inusuales. Los inicios de sesión a horas extrañas, desde ubicaciones desconocidas o en sistemas que un usuario nunca toca merecen una mirada más cercana.
- Mantenga copias de seguridad sin conexión. Las copias de seguridad probadas a las que los atacantes no pueden acceder le dan una forma de recuperarse sin pagar.
La conclusión
El informe de Aur0ra es un ejemplo claro de agentes de IA, ransomware y credenciales robadas combinándose para automatizar el ascenso hacia el administrador de dominio. Las herramientas del atacante pueden estar volviéndose más rápidas, pero el punto de entrada sigue siendo algo que usted puede reforzar. Empiece esta semana: audite sus contraseñas, active MFA en todos los lugares donde se ofrezca y revise su configuración de VPN y acceso remoto. Para más información sobre cómo los operadores de ransomware adaptan sus herramientas e infraestructura, lea nuestro artículo sobre el ransomware DeadLock y su uso de la aplicación Session.
