Servidores Linux gubernamentales fueron objetivo de una campaña de espionaje que robó credenciales e intentó extraer bases de datos sensibles y buzones de correo del Gobierno, según informó The Hacker News citando a Palo Alto Networks Unit 42. Los investigadores encontraron indicios de que los atacantes usaron scripts generados con IA mientras establecían acceso persistente, con búsquedas en buzones orientadas a acceder a cuentas de redes sociales.
Unit 42 observó la actividad entre octubre de 2025 y abril de 2026 y la siguió como CL-UNK-1211. El informe de The Hacker News de noviembre describe ataques contra entidades gubernamentales e infraestructuras vinculadas a Estados, lo que hace que los hallazgos sean especialmente relevantes para los equipos responsables de servidores web Linux, credenciales de aplicaciones y sistemas de correo gubernamentales.
Acceso persistente y robo de credenciales
El informe de The Hacker News describe una combinación de herramientas de código abierto, puertas traseras personalizadas y web shells, que son scripts que permiten a los atacantes controlar un servidor mediante solicitudes web. Los investigadores de Unit 42 Roey Porat y Tom Fakterman afirmaron que los operadores realizaron un reconocimiento exhaustivo y mantuvieron el acceso a la red para respaldar la obtención de inteligencia.
Los atacantes también intentaron desactivar las protecciones de los endpoints, borrar los registros del sistema y dejar marcas que sugerían una evaluación de seguridad legítima de red team. Estos esfuerzos acompañaron a scripts maliciosos en PHP y de shell utilizados para la persistencia, el reconocimiento y el robo de datos.
La recolección de credenciales adoptó tres formas. Los atacantes reemplazaron .bashrc, un archivo de inicio de la shell, por una versión maliciosa que contenía un comando para robar contraseñas; insertaron código de captura de credenciales en las páginas de inicio de sesión de administración en PHP, y buscaron en archivos de configuración e historiales de comandos contraseñas en texto claro de correo electrónico, de servidores SMTP y de bases de datos.
Unit 42 también identificó SysGoRAT, un troyano de acceso remoto personalizado escrito en Go que permite un acceso prolongado tanto en Linux como en Windows. Se conecta mediante WebSocket, un protocolo de comunicación bidireccional, a la dirección de comando y control codificada de forma fija 104.194.158[.]65:443.
El malware acepta siete tipos de comandos. command ejecuta instrucciones mediante /bin/sh -c en Linux o cmd /C en Windows. control admite una shell interactiva mediante shell_start, capturas de pantalla mediante screenshot, exfiltración de archivos mediante download y persistencia mediante persist. Los tipos restantes son list_dir, para listar directorios; shell_input, para sesiones interactivas de shell, y proxy_connect, proxy_data y proxy_close, para establecer, retransmitir y terminar conexiones con otros objetivos.
Los operadores también usaron shells inversas que se ejecutaban en memoria, lo que permite la ejecución remota de comandos y evita dejar artefactos forenses en el disco. Enumeraron los directorios /var/qmail/mailnames/ para contar los mensajes de carpetas seleccionadas.
Un script en PHP llamado search_social.php buscaba en los encabezados de correo palabras clave relacionadas con redes sociales. Mostraba los mensajes coincidentes con sus rutas de archivo exactas, remitentes, destinatarios y asuntos, lo que daba a los operadores una forma de localizar correos electrónicos concretos relacionados con cuentas.
Un paso posterior no llegó a funcionar: un script de Bash llamado zip_mails.sh, que pretendía empaquetar correos seleccionados en archivos ZIP para exfiltrarlos, contenía errores de sintaxis y no se ejecutó correctamente.
Indicios de asistencia de IA
Unit 42 evaluó que varios scripts maliciosos en PHP y de shell probablemente se generaron con modelos de lenguaje de gran tamaño o agentes de IA automatizados. Las pruebas incluían notas conversacionales, paso a paso, que explicaban la lógica del código al operador que había proporcionado las instrucciones, en lugar de la documentación habitual de un desarrollador.
Esas notas sugerían que el código se había copiado directamente de la salida de una IA o que lo había desplegado un agente automatizado. Unit 42 caracterizó la operación como una combinación de técnicas consolidadas de postcompromiso con generación y adaptación de scripts asistidas por IA, lo que reducía el trabajo manual de desarrollo.
El uso más amplio de marcos de IA ofensiva aporta contexto, sin atribuir CL-UNK-1211 a otro actor. The Hacker News también informó sobre hallazgos de Google Threat Intelligence Group, Mandiant y Microsoft relacionados con el abuso de ARTEX, PentAGI, Hexstrike y CAIRN, marcos que usan agentes de IA para coordinar tareas de pruebas de penetración.
Entre los casos notificados figuró Storm-0940, también conocido como UNC7228, que usó ARTEX para robar datos a organizaciones de software empresarial, automatización industrial, fabricación y diseño de semiconductores, y telecomunicaciones en Estados Unidos y Europa. Actores motivados económicamente también usaron ARTEX para extorsionar mediante el robo de datos, incluido contra el sector financiero de Asia. PentAGI se empleó para mapear datos de registro WHOIS, para reconocimiento y para análisis de vulnerabilidades contra organizaciones de Asia.
El autor de ARTEX la retiró tras informes de uso indebido generalizado, pero surgieron variantes, entre ellas la versión comercial ARTEX PRO y una versión localizada llamada ScopeWeaver. GTIG y Mandiant afirmaron que estos marcos aceleran los ataques a costa del sigilo: la ejecución autónoma genera tráfico forense, identificadores reconocibles y rastros de código que pueden facilitar la detección.
Microsoft describe la adopción más amplia por parte de Corea del Norte
En su evaluación del 29 de octubre, por separado, Microsoft afirmó que los grupos norcoreanos Onyx Sleet, también conocido como Andariel, y Pearl Sleet, también conocido como Lawrencium, estaban usando ARTEX de forma operativa. Microsoft evaluó que las operaciones habilitadas por IA de Corea del Norte seguían dirigidas por personas y no eran totalmente autónomas.
La empresa describió la IA como un factor que acelera objetivos existentes: la generación de ingresos, la recopilación de inteligencia estratégica y, en algunos casos, la perturbación o destrucción por motivos políticos. Los objetivos habituales incluyen organizaciones de criptomonedas y del sector financiero, empresas tecnológicas, cadenas de suministro de software, gobiernos y el ámbito educativo.
Microsoft ubicó a los actores en cuatro etapas de adopción —emergente, en expansión, en aceleración y operacionalizada— y evaluó la adopción general como alta. Jade Sleet, Coral Sleet y Jasper Sleet tenían un uso de IA consolidado en sus flujos de trabajo operativos. Entre los ejemplos figuraban Jade Sleet, que lanzó campañas a través de tres empresas fachada en una sola semana; Onyx Sleet, que produjo decenas de señuelos personalizados en minutos; Coral Sleet, que desarrolló rápidamente una capacidad para troyanizar repositorios de código fuente privados, y Diamond Sleet, que usó IA para la selección de objetivos, la creación de personas y la constitución de empresas fachada.
Medidas de protección para administradores
Las recomendaciones de Microsoft abordan esa actividad más amplia atribuida a Corea del Norte. Aconsejan identificar los activos expuestos y las vulnerabilidades, corregir las configuraciones de seguridad incorrectas y automatizar las actualizaciones siempre que sea posible. Los administradores deberían colocar los sistemas accesibles desde la web detrás de un perímetro seguro y usar acceso mediante VPN; los servidores que deban seguir siendo accesibles públicamente pueden usar un firewall de aplicaciones web, un proxy inverso o una red perimetral para reducir, en algunos casos, el riesgo de explotación. Microsoft menciona Defender Vulnerability Management, External Attack Surface Management y Azure Update Manager como herramientas de apoyo.
En cuanto a las defensas de correo electrónico e identidad, Microsoft recomienda formación de usuarios, simulaciones de phishing, Safe Links y Safe Attachments, revisar la configuración de Exchange Online Protection, e investigar y eliminar los mensajes maliciosos. La purga automática en tiempo cero (Zero-hour auto purge) puede poner en cuarentena mensajes después de que llegue nueva inteligencia sobre amenazas. Los equipos de respuesta también pueden buscar URL maliciosas y asuntos similares. Microsoft recomienda bloquear la autenticación con código de dispositivo siempre que sea posible y controlar su uso necesario mediante directivas de acceso condicional de Entra.
Sus recomendaciones de contratación piden una revisión más estricta de los empleados de empresas de selección de personal, de los perfiles y números de teléfono duplicados, de los currículos inconsistentes, de las referencias y de los empleos simultáneos bajo una sola identidad. También recomiendan realizar varias videollamadas y comprobar una huella digital verificable, incluida una dirección residencial y un número de teléfono real que no sea VoIP.
En cuanto a los endpoints, Microsoft recomienda mantener actualizadas las definiciones de antivirus, activar la protección en la nube y en tiempo real, usar la detección y respuesta de endpoints en modo de bloqueo, la investigación y remediación automatizadas, la protección de red y la disrupción automática de ataques. Según Microsoft, en los ataques observados, los clientes que tenían habilitadas las reglas indicadas podían mitigar los ataques en las fases iniciales y evitar la actividad manual del atacante en el teclado. Esas reglas bloquean el contenido de correo con ejecutables, los ejecutables no confiables y los scripts potencialmente ofuscados, y ofrecen protección avanzada contra ransomware.
Microsoft enumera alertas de Defender específicas de actores, alertas sobre herramientas de IA y reconocimiento de secretos, detecciones de inicios de sesión sospechosos y de correo, y detecciones de antivirus de ProcmacSteal en Linux, PowerShell, macOS y Cargo. También describe su Security Dashboard for AI, que agrega riesgos de seguridad, identidad y datos en Defender, Entra y Purview, y Agent 365, que ofrece controles de gestión y seguridad para agentes de IA empresariales. Los administradores que sigan estas recomendaciones pueden usar las detecciones enumeradas junto con los controles de correo, identidad y endpoints que se recomiendan.
