Investigadores de ciberseguridad han identificado una intrusión en la que un actor de amenazas desconocido utilizó un script PowerShell presuntamente generado por inteligencia artificial (IA) para realizar la enumeración de Active Directory (AD). El script buscaba el controlador de dominio (DC) y mapeaba usuarios, equipos y dominios, antes de crear un directorio y exportar varios archivos, y finalmente generar AD_Report.html para medir el éxito del intento de enumeración, según los investigadores de Huntress, Jevon Ang y Dray Agha.
La cadena de ataque comenzó con el establecimiento de acceso mediante Protocolo de Escritorio Remoto (RDP) a un servidor Windows unido a dominio, utilizando credenciales previamente comprometidas. Luego, los atacantes colocaron herramientas en la carpeta 'C:ProgramData'. El incidente ocurrió a principios de junio de 2026. Entre las herramientas utilizadas se encontraba un payload generado por IA para mapear el entorno de Active Directory. La evaluación se basa en señales como el título iterativo del prompt, cadenas placeholder, código sobreingenierizado con múltiples métodos para encontrar un DC, y una salida de consola decorada con colores cian, verde, rojo y amarillo.
Huntress describió el script PowerShell personalizado como 'altamente agresivo' y 'ruidoso', utilizando un 'mecanismo de cinco pasos en cascada' para habilitar el reconocimiento y descubrimiento. El script se titula '100% Working AD Information Gathering Script – FULLY FIXED', lo que sugiere un intercambio con un modelo de lenguaje grande (LLM).
Una vez localizado el controlador de dominio primario, el script inicia una rutina de recopilación de datos para recolectar sistemáticamente usuarios, equipos, grupos, unidades organizativas (OU) y relaciones de confianza de AD, almacenando los detalles en un directorio de preparación. Aproximadamente 30 minutos después, el atacante desplegó s5cmd, una herramienta legítima para operaciones de archivos por lotes, junto con SharpShares, una utilidad de enumeración de recursos compartidos de red basada en C#, para buscar repositorios de datos accesibles por el usuario.
En la etapa final, los datos se exportaron a archivos CSV, se archivaron y se exfiltraron a un servidor remoto, pero no sin antes crear un archivo HTML que resumía el robo de datos en forma de un informe de inventario de Active Directory. 'Es probablemente una inyección 'útil' del LLM que el atacante simplemente aceptó, en lugar de haber sido intencionalmente incluida en el script', explicaron los investigadores.
Este desarrollo es otra señal de que los actores de amenazas están aumentando su arsenal con malware vibro-codeado generado con la ayuda de modelos de IA, incluso si la tecnología no se está utilizando de formas no vistas antes. Lo que cambia es que reduce la barrera de entrada para el cibercrimen, permitiendo que actores menos hábiles creen herramientas altamente capaces y evasivas con un esfuerzo mínimo. 'La cadena de ataque subyacente aún se asemeja al manual de golpear y robar probado durante años', dijo Huntress. 'Esta metodología central se ha mantenido consistente, pero ahora está siendo aumentada selectivamente por la IA. Este enfoque híbrido prioriza la agresión y la velocidad sobre el sigilo, permitiendo a los atacantes ejecutar campañas altamente dañinas más rápido que nunca'.
IA como multiplicador de fuerza
En un informe publicado la semana pasada, Sygnia reveló que los atacantes habilitados por IA no necesariamente requieren malware novedoso o zero-days, sino que el cambio real radica en que las intrusiones cibernéticas pueden orquestarse a una velocidad y escala más rápida y amplia de lo que los defensores pueden contener. La empresa de respuesta a incidentes observó un ataque asistido por IA en la nube que progresó desde el acceso inicial hasta un compromiso amplio en un lapso de aproximadamente 72 horas contra un entorno grande basado en Amazon Web Services (AWS). El objetivo final de la actividad se evalúa como motivado financieramente, utilizando el acceso a la infraestructura en la nube de la víctima como palanca para la extorsión.
El actor de amenazas aprovechó repetidamente credenciales recién adquiridas para reiniciar actividades de descubrimiento, recolección de secretos, persistencia e impacto. El ataque se basó en técnicas de nube conocidas en lugar de malware novedoso o zero-days.
El atacante no explotó una sola mala configuración, sino que encadenó debilidades en servicios de aplicación, recursos de AWS, repositorios de control de código fuente, flujos de trabajo CI/CD, componentes en tiempo de ejecución y almacenes de datos, mientras ejecutaba rápidamente descubrimiento de credenciales, recolección de secretos, enumeración de la nube, abuso de canalizaciones de despliegue, modificación en tiempo de ejecución, acceso a bases de datos y disrupción operativa. Por cada nueva clave de acceso, el atacante parecía determinar rápidamente los permisos asociados, los recursos alcanzables y los siguientes pasos más valiosos.
Para ejercer presión adicional sobre las víctimas, el atacante realizó acciones como denegar acceso a buckets S3, limitar servicios ECS o contenedores a una capacidad máxima de cero, crear reglas ACL para bloquear el acceso a la red y purgar colas SQS. 'La importancia no fue que la IA introdujera nuevas técnicas de ataque, ya que cada acción observada correspondía a comportamientos adversarios establecidos desde hace mucho tiempo, sino que redujo el tiempo y el esfuerzo requeridos para operacionalizar esas técnicas en un entorno complejo', señaló Sygnia.
Acerca del autor
