Hackers estatales rusos utilizaron Claude para reconstruir malware tras ser detectados

Anthropic afirma haber desmantelado una campaña de ciberespionaje en la que hackers patrocinados por el Estado ruso utilizaron Claude en casi todas las fases de una operación, desde el reconocimiento y el phishing hasta el despliegue de malware y la supervisión del command and control.

El grupo de amenazas, identificado como GTG-20006, atacó a más de 20 organizaciones de los sectores gubernamental, militar, diplomático, de inteligencia, investigación e industrial. Anthropic considera que la actividad coincide con informes relacionados con Midnight Blizzard, el grupo ruso también conocido como APT29 y Cozy Bear. Esta atribución indica una coincidencia en la actividad evaluada, no una afirmación definitiva de que las denominaciones sean intercambiables.

La característica principal de la campaña no fue simplemente la programación de malware asistida por IA. GTG-20006 creó flujos de trabajo automatizados capaces de detectar cuándo el software de seguridad identificaba un artefacto malicioso, modificarlo, reconstruirlo y desplegar la nueva versión mediante infraestructura desechable.

Este ciclo de retroalimentación podía reducir considerablemente el valor defensivo de las firmas estáticas.

Claude operó durante todo el ciclo de la intrusión

GTG significa Generative Threat Group, la denominación que utiliza Anthropic para los grupos que emplean IA generativa con fines operativos. En este caso, Claude estaba integrado, según los informes, en un amplio sistema de agentes, en lugar de utilizarse ocasionalmente como asistente de programación.

Los agentes contribuían al desarrollo de malware, el reconocimiento de objetivos, el despliegue de infraestructura, el phishing, la persistencia, la supervisión de compromisos y la gestión del C2. También registraban dominios, preparaban infraestructura de phishing, enviaban mensajes y vigilaban los canales de command and control en busca de indicios de que una víctima había sido comprometida.

Otros agentes supervisaban el malware que ya se ejecutaba en entornos locales. Evaluaban si los implantes seguían siendo sigilosos y persistentes, y si los controles de seguridad habían empezado a detectarlos.

Cuando se producía una detección, el flujo de trabajo podía iniciar otro ciclo de desarrollo. El malware se modificaba y reconstruía para eludir la detección existente y, a continuación, se cargaba en un servidor de alojamiento desechable para volver a distribuirlo.

Este es el elemento técnico más relevante de la campaña. La detección tradicional basada en firmas puede obligar al atacante a detenerse, investigar por qué se interceptó una carga útil, revisar manualmente el código, probarlo y establecer nueva infraestructura de distribución. La automatización comprime esos pasos y permite repetirlos con mayor frecuencia.

El sistema no vuelve inútil la detección. Hace que las detecciones basadas principalmente en propiedades estables de los archivos sean menos duraderas.

Anthropic no publicó una puntuación CVSS ni una clasificación formal de gravedad. Este tipo de valoraciones tampoco encajaría perfectamente, ya que la revelación se refiere a una operación de un adversario y no a una única vulnerabilidad de software. Aun así, la actividad debe considerarse de alto impacto porque combinó malware adaptativo, vigilancia, toma de control de cuentas, robo de credenciales y exfiltración a gran escala de datos de identidad.

El arsenal abarcaba Windows, dispositivos móviles e infraestructura de phishing

El arsenal más amplio de GTG-20006 incluía dos implantes para Windows, un kit de explotación móvil, un ladrón de contraseñas del navegador y una plataforma de phishing capaz de suplantar a objetivos prioritarios, como organizaciones gubernamentales.

El grupo también mantenía una consola administrativa para gestionar cuentas comprometidas. Se utilizaban avisos falsos de actualización de software para distribuir ladrones de credenciales de Windows, mientras que varias utilidades auxiliares permitían el acceso remoto e interferían con las actualizaciones de seguridad de las víctimas.

Una vez que un artefacto reconstruido parecía capaz de eludir la detección, los atacantes lo colocaban en una infraestructura de alojamiento temporal. Las víctimas eran dirigidas hasta allí mediante phishing convencional, ingeniería social al estilo de ClickFix y registros DNS manipulados.

Los ataques ClickFix suelen convencer a los usuarios para que realicen por sí mismos una acción aparentemente correctiva. En esta operación, el señuelo formaba parte de una cadena de distribución que seleccionaba el malware según el sistema operativo de la víctima.

Las cargas útiles de Windows divulgadas fueron:

• PowerChrome
• WUEngine
• Shadow C2
• MiniPlasma
• CloudSyncSvc

Los dispositivos Android recibían GiftDrop, descrito como una versión renombrada del troyano de acceso remoto y vigilancia para Android GiftsExpress. La carga útil para iOS fue identificada como DarkSword.

No se han divulgado las versiones exactas del malware, los hashes, los dominios, las direcciones IP ni otros indicadores de compromiso. Tampoco se han identificado parches o actualizaciones de corrección de proveedores vinculados específicamente a la campaña.

CaptiveCrunch convirtió la Wi-Fi de los hoteles en un sistema de selección de objetivos

La actividad se solapó con CaptiveCrunch, una campaña documentada por ReliaQuest, Microsoft, Google y Lumen Black Lotus Labs en julio y agosto de 2026.

Anthropic afirma que GTG-20006 comprometió al menos a tres proveedores de servicios hoteleros responsables de las redes Wi-Fi para huéspedes. Tras obtener credenciales de administrador, los atacantes modificaron los registros DNS para dirigir el tráfico hacia servicios bajo su control.

Los huéspedes que se conectaban a través de las redes afectadas exponían a los servidores de los atacantes información sobre el tráfico, identificadores de dispositivos y direcciones IP. La redirección maliciosa permitía después distribuir cargas útiles específicas para cada sistema operativo mediante señuelos al estilo de ClickFix.

Las intrusiones en hoteles también proporcionaron información para posteriores operaciones de selección de objetivos. Los datos obtenidos de los sistemas de gestión hotelera y de los dispositivos de los huéspedes ayudaron al grupo a identificar a personas vinculadas con Ucrania, incluidos funcionarios gubernamentales y fabricantes de drones.

Esto convirtió la infraestructura hotelera en algo más que un punto de infección. Se transformó en un mecanismo de recopilación y selección mediante el cual los atacantes podían identificar a viajeros de interés, perfilar sus dispositivos y elegir las acciones posteriores.

GTG-20006 también intentó hacerse con el control de cuentas de WhatsApp de las víctimas. Mediante navegadores sin interfaz gráfica, vinculaban las cuentas objetivo como dispositivos vinculados, exportaban conversaciones en ruso y ucraniano de forma masiva y desactivaban las confirmaciones de lectura para reducir las probabilidades de que las víctimas detectaran la actividad.

Se comprometieron cámaras, registros nacionales de identidad y correo electrónico en la nube

La campaña se extendió también a la vigilancia física. GTG-20006 aprovechó deficiencias de autorización en interfaces de aplicaciones utilizadas por plataformas de streaming de cámaras, lo que le permitía enumerar usuarios y recopilar tokens de acceso.

Esos tokens proporcionaban acceso a las transmisiones de las cámaras en directo de las víctimas. No se han identificado las versiones afectadas de las plataformas ni las vulnerabilidades de autorización subyacentes, por lo que actualmente no existe una corrección específica de software.

En otra intrusión, el grupo utilizó credenciales de un dispositivo VPN perteneciente a una autoridad tecnológica gubernamental del norte de África. Los atacantes tomaron el control del servidor central de cuentas de la organización y extrajeron su base de datos completa de credenciales.

El material robado incluía más de 300.000 registros nacionales de identidad. También se exfiltró información del registro mercantil correspondiente a más de 500.000 empresas que operaban en el país.

Otra vertiente de la operación se centró en el correo electrónico en la nube. Los atacantes crearon un marco de phishing mediante códigos de dispositivo denominado Embassy Kit, que permitía robar tokens de Microsoft 365 a personal diplomático y gubernamental.

El phishing mediante códigos de dispositivo puede conceder al atacante acceso autenticado sin exigir a la víctima que revele directamente una contraseña en una página de inicio de sesión falsa. En su lugar, se persuade al objetivo para que autorice una sesión controlada por el atacante a través de un flujo de autenticación legítimo.

La campaña resultante permitió acceder a registros de correo y exfiltrarlos de al menos ocho organizaciones. Entre las víctimas se encontraban la fiscalía nacional, un instituto de educación militar y una organización intergubernamental regional.

Los equipos defensivos necesitan señales que sobrevivan a la recompilación del malware

Las organizaciones no pueden hacer frente a esta operación con un único parche. No se ha identificado ninguna actualización de seguridad específica, conjunto público de indicadores o paquete de mitigación de proveedores en la información publicada sobre la interrupción de GTG-20006 por parte de Anthropic.

Los equipos defensivos deben priorizar las conductas y los cambios en la infraestructura que sigan siendo observables cuando se reconstruyan los archivos de malware:

• Correlacionar el comportamiento de los endpoints en lugar de depender únicamente de los hashes. Supervisar el acceso inusual a almacenes de credenciales, la creación de mecanismos de persistencia, las interferencias con las actualizaciones de seguridad y las conexiones C2 salientes inesperadas.
• Auditar la administración de DNS. Los proveedores de servicios hoteleros y otros operadores de redes gestionadas deben investigar los cambios no autorizados de registros, los servidores de nombres desconocidos y los destinos de corta duración utilizados en portales cautivos.
• Proteger las credenciales privilegiadas. Las cuentas de administrador de los sistemas Wi-Fi de hoteles, los dispositivos VPN, los servidores de identidad y los entornos cloud requieren autenticación resistente al phishing y procesos de recuperación estrictamente controlados.
• Supervisar la autenticación mediante códigos de dispositivo de Microsoft 365. Investigar concesiones inesperadas de códigos de dispositivo, accesos geográficos inusuales, aplicaciones nuevas y usos de tokens que no coincidan con los dispositivos habituales del usuario.
• Revisar los dispositivos vinculados de WhatsApp. Las sesiones vinculadas desconocidas, la actividad inexplicable de las cuentas y los indicios de acceso automatizado a mensajes deben activar la revocación de cuentas y la revisión de credenciales.
• Buscar infraestructura desechable. Los dominios recién registrados, los endpoints de alojamiento que cambian rápidamente y los intentos repetidos de distribución con binarios ligeramente diferentes pueden revelar el ciclo de reconstrucción y redistribución.
• Examinar la autorización de las plataformas de vigilancia. Los servicios de cámaras deben comprobar que los tokens de acceso estén correctamente restringidos y no puedan obtenerse mediante la enumeración de usuarios o controles de autorización defectuosos.

No se ha divulgado el periodo exacto de la campaña completa de GTG-20006. Su coincidencia con CaptiveCrunch sitúa parte de la actividad relacionada en julio y agosto de 2026, pero se desconoce cuándo comenzó o terminó cada intrusión.

El cambio fundamental es la velocidad operativa. Un atacante capaz de reaccionar automáticamente a las detecciones de seguridad puede regenerar sus herramientas más rápido de lo que los equipos pueden crear y distribuir firmas estáticas. Por ello, los equipos defensivos necesitan detecciones basadas en el abuso de identidades, el comportamiento durante la ejecución, los patrones de infraestructura y los accesos anómalos, no solo en el binario que se desplegó inicialmente.