Detectan "firma" de IA en el código de hackers en servidores gubernamentales comprometidos

Código ajeno dejó rastros de una red neuronal en medio de una operación de espionaje contra servidores gubernamentales. El equipo Unit 42 de Palo Alto Networks reveló la campaña CL-UNK-1211 dirigida a instituciones estatales y a infraestructura vinculada al Estado en Linux. La actividad registrada abarca el periodo de octubre de 2025 a abril de 2026. No se dieron a conocer los nombres de los organismos afectados.

Los scripts maliciosos contenían comentarios inusuales con explicaciones paso a paso, semejantes a respuestas de un modelo de lenguaje. Los operadores alternaban entre PHP, Bash, Python y JavaScript, y con frecuencia codificaban los comandos en Base64. Unit 42 supone que los atacantes copiaron código ya elaborado desde una IA o encargaron la ejecución a un agente. No hay pruebas de un ataque totalmente autónomo.

Para infiltrarse y mantenerse en servidores Linux se utilizaron web shells, programas para la ejecución remota de comandos a través del sitio. Los atacantes modificaban el parámetro auto_prepend_file en las configuraciones de PHP, obligando al servidor a cargar automáticamente un archivo malicioso antes de ejecutar los scripts habituales en cada solicitud. Uno de los backdoors se hacía pasar por un componente del sistema de Plesk.

Las contraseñas se interceptaban sin exploits complejos. Los atacantes modificaban el archivo .bashrc para que el comando sudo primero mostrara una solicitud de contraseña falsa, registrara el valor introducido en un registro y solo después ejecutara el sudo legítimo. Código similar se insertó en la página de inicio de sesión del administrador, sin provocar errores visibles. Las credenciales obtenidas abrían el acceso a otros sistemas.

Una herramienta independiente fue SysGoRAT, un troyano de acceso remoto escrito en Go para Linux y Windows. A través de WebSocket, el programa recibía comandos, transfería archivos, tomaba capturas de pantalla, abría una consola interactiva y funcionaba como proxy en la red interna. Para persistir, el malware podía crear un servicio systemd, una tarea cron o una entrada de autoarranque en Windows.

El interés principal eran las bases de datos y el correo institucional. El script search_social.php buscaba en los encabezados de los correos menciones a Facebook, Instagram, TikTok y otras plataformas, ayudando a localizar cuentas vinculadas a direcciones estatales. El intento de recopilar buzones completos en archivos ZIP fracasó: el script preparado para la extracción contenía un error de sintaxis.

Para moverse dentro de la red los atacantes usaron SSH, proxies y acceso a servidores SQL. En algunos servidores comprometidos lograron obtener privilegios root y dejar claves SSH para reingresar. Un uso similar de la IA ya se había observado en otras campañas; sin embargo, aquí es especialmente notable la combinación de scripts preparados automáticamente y métodos manuales de persistencia.

Antes de irse, los atacantes borraban los registros, cambiaban las marcas temporales de los archivos y dejaban indicios que parecían huellas de un pentest legítimo. Los scripts también intentaron detener Cortex XDR, pero la protección bloqueó esas acciones. Unit 42 no determinó la pertenencia a un grupo ni comunicó el volumen total de datos robados. La presencia de IA no evitó errores de los operadores ni su detección.