Claude, Qwen y DeepSeek se unieron en un equipo de hackers; SecFlow asignaba a las IA tareas de intrusión

Un atacante de habla china convirtió a Claude, Qwen y DeepSeek en agentes de IA especializados que buscaban vulnerabilidades, atacaban servidores y preparaban informes sobre los resultados.

El equipo de Hunt.io descubrió cinco directorios de trabajo abiertos con archivos de campaña dirigidos a organizaciones gubernamentales, educativas, médicas, industriales y comerciales en Asia. La infraestructura se vinculó mediante un proxy SOCKS común, credenciales repetidas y componentes SecFlow y GLUTTON.

SecFlow actuaba como coordinador del equipo de IA. El sistema recibía un objetivo general, dividía el trabajo entre los agentes y les proporcionaba herramientas, información sobre la organización objetivo, almacenamiento compartido y rutas de red. Unos agentes realizaban reconocimiento, otros verificaban vulnerabilidades, se afianzaban en el sistema, recopilaban datos y documentaban los resultados.

El operador podía alternar entre los perfiles Claude, Qwen y DeepSeek sin cambiar la interfaz de tareas. Parte de las solicitudes pasaba por interfaces oficiales, parte por puertas de enlace privadas en el dominio niestools.com. Los agentes trabajaban con amplios permisos, incluidos modos para omitir confirmaciones y ejecución automática de comandos.

El propio ataque seguía realizándose con herramientas convencionales. En los directorios de trabajo se encontraron programas de demostración públicos, escáneres, credenciales robadas, web shells y el implante propio SecBox. En escenarios activos figuraban ocho vulnerabilidades conocidas, incluidas Shellshock, Spring4Shell, Ghostcat y Log4Shell.

La intrusión confirmada más grave fue el aprovechamiento de la infraestructura gubernamental del distrito Fengtai de Pekín. El atacante obtuvo la capacidad para ejecutar comandos, volcó la memoria del proceso LSASS y las secciones del registro SAM y SYSTEM, accedió a documentos administrativos y médicos y creó una cuenta con privilegios. En el directorio de aplicaciones había 949 adjuntos con un tamaño total de aproximadamente 1,28 GB.

Otros agentes obtuvieron acceso a la parte de gestión de la plataforma china de IA educativa. Un servidor sin protección reveló configuraciones de agentes, claves secretas y cientos de registros de diálogo, incluidos datos de estudiantes. En el sistema de acceso universitario el operador obtuvo privilegios de administrador en Grafana y acceso root a la base de datos.

Para el control encubierto de los servidores se utilizó GLUTTON. La herramienta generaba web shells para Java, .NET y Node.js, y el código ejecutable podía transmitirse dentro de los canales de color de un archivo PNG. Tras descifrarse, la carga se ejecutaba directamente en la memoria, lo que ayudaba a eludir comprobaciones simples de extensiones y tipos de archivo.

La IA no hizo la campaña infalible. Un agente informó erróneamente de la explotación con éxito de Apache Shiro, tras lo cual SecFlow siguió repartiendo tareas basadas en ese resultado falso. Más de 27 comprobaciones repetidas terminaron en fracaso, pero el sistema aun así dirigió a los agentes a la siguiente fase del ataque.

Según Hunt.io, la IA en esta campaña no sustituyó las herramientas tradicionales de intrusión, sino que las vinculó en un proceso automatizado unificado. SecFlow guardaba los resultados de acciones previas y los transmitía a nuevos agentes, permitiendo a un solo operador realizar simultáneamente reconocimiento, explotación, recopilación de datos y preparación de informes sobre varios objetivos.