Los investigadores de ciberseguridad han detectado una intrusión en la que un actor de amenazas desconocido aprovechó un script de PowerShell codificado por vibración para la enumeración de Active Directory (AD).
«El script buscó el controlador de dominio (DC) y mapeó usuarios, computadoras y dominios, antes de crear un directorio y exportar una cantidad de archivos, y finalmente crear AD_Report.html para medir el éxito del intento de enumeración», dijeron los investigadores de Huntress, Jevon Ang y Dray Agha. dicho.
La cadena de ataque involucró al actor de amenazas estableciendo acceso al Protocolo de escritorio remoto (RDP) en un servidor Windows unido a un dominio con un conjunto de credenciales previamente comprometidas, seguido de la preparación de las herramientas en la carpeta «C:\ProgramData\». El incidente tuvo lugar a principios de junio de 2026.
Esto incluyó una carga útil generada por inteligencia artificial (IA) para mapear el entorno de Active Directory. La evaluación se basa en varios signos reveladores, como el título de la iteración, cadenas de marcador de posición, código sobrediseñado que presenta múltiples métodos para encontrar un controlador de dominio y una salida de consola embellecida con cian, verde, rojo y amarillo.
Huntress describió el script de PowerShell personalizado como «altamente agresivo» y «ruidoso», y utiliza un «mecanismo de respaldo en cascada de cinco pasos» para permitir el reconocimiento y el descubrimiento. Se titula «Secuencia de comandos de recopilación de información de AD que funciona al 100%: TOTALMENTE FIJADO», lo que sugiere un intercambio con un modelo de lenguaje grande (LLM).
Una vez que se localiza el controlador de dominio principal, inicia una rutina de recopilación de datos para recopilar sistemáticamente usuarios, computadoras, grupos, unidades organizativas (OU) y confianzas de AD, y almacenar los detalles en un directorio provisional.
Unos 30 minutos más tarde, el atacante se dispuso a desplegar una s5cmduna herramienta legítima utilizada para operaciones masivas de archivos, junto con SharpSharesuna utilidad de enumeración de recursos compartidos de red basada en C#, para buscar repositorios de datos accesibles para los usuarios.
En la etapa final, los datos se guardan en archivos CSV, se archivan y se extraen a un servidor remoto, no sin antes crear un archivo HTML que resume el robo de datos en forma de un Informe de inventario de Active Directory.
«Es probable que sea una inyección 'útil' del LLM que el atacante simplemente aceptó, en lugar de ser escrita intencionalmente en el guión», explicaron los investigadores.
El desarrollo es otra señal más de que los actores de amenazas están aumentando su arsenal con malware codificado por vibración generado con la ayuda de modelos de inteligencia artificial, incluso si no se está abusando de la tecnología de maneras nunca antes vistas. Lo que sí cambia es que reduce la barrera de entrada del cibercrimen, permitiendo a actores menos capacitados crear herramientas evasivas altamente capaces con un mínimo esfuerzo.
«La cadena de ataque subyacente todavía se parece al manual de estrategias de aplastar y agarrar que hemos visto durante años», dijo Huntress. «Esta metodología central se ha mantenido constante, pero ahora está siendo aumentada selectivamente por la IA. Este enfoque híbrido prioriza la agresión y la velocidad sobre el sigilo, lo que permite a los actores de amenazas ejecutar campañas altamente dañinas más rápido que nunca».
La IA como multiplicador de fuerza
En un informe publicado la semana pasada, Sygnia reveló que los atacantes habilitados por IA no necesariamente necesitan malware novedoso o días cero, pero que el verdadero cambio radica en el hecho de que las intrusiones cibernéticas pueden orquestarse a una velocidad y escala más rápidas y mayores de las que los defensores pueden contener.
La compañía de respuesta a incidentes dijo que observó un ataque en la nube asistido por IA que progresó desde el acceso inicial hasta un compromiso amplio en un lapso de aproximadamente 72 horas contra un gran entorno basado en Amazon Web Services (AWS). Se considera que el objetivo final de la actividad tiene una motivación financiera, y el atacante utiliza el acceso a la infraestructura de la nube de la víctima como palanca para extorsionar.
«El actor de amenazas aprovechó repetidamente las credenciales recién adquiridas para reiniciar las actividades de descubrimiento, recolección de secretos, persistencia e impacto», afirmó. dicho. «El ataque se basó en técnicas de nube conocidas en lugar de malware novedoso o días cero».
«El actor de la amenaza no estaba explotando ni una sola configuración errónea; estaban encadenando debilidades en los servicios de aplicaciones, recursos de AWS, repositorios de control de fuente, flujos de trabajo de CI/CD, componentes de tiempo de ejecución y almacenes de datos, mientras ejecutaban rápidamente el descubrimiento de credenciales, la recolección de secretos, la enumeración de la nube, el abuso de la canalización de implementación, la modificación del tiempo de ejecución, el acceso a la base de datos y la interrupción operativa».
El atacante, según Sygnia, implicó repetidos intentos de establecer persistencia en los hosts comprometidos, obteniendo la clave de acceso a una de las cuentas de AWS a través de deficiencias en una aplicación orientada a Internet. A cada nuevo acceso le siguió una enumeración renovada, una recopilación de secretos adicional, intentos de persistencia mediante la creación de claves de acceso y usuarios de IAM, y una filtración de datos. Al mismo tiempo, varios artefactos creados por atacantes fueron enmascarados como un pentest o un ejercicio de equipo rojo.
Para ejercer aún más presión sobre las víctimas, el atacante realizó una serie de acciones:
- Denegar el acceso a los depósitos de S3
- Limitar los servicios o contenedores de ECS a una capacidad máxima de cero
- Crear reglas ACL para bloquear el acceso a la red
- Purga de colas SQS
«La importancia no fue que la IA introdujera nuevas técnicas de ataque, ya que cada acción observada se correspondía con comportamientos adversarios establecidos desde hacía mucho tiempo, sino que reducía el tiempo y el esfuerzo necesarios para poner en práctica esas técnicas en un entorno complejo», señaló Sygnia.
«El actor de amenazas convirtió repetidamente el acceso recién obtenido en acciones personalizadas. Para cada nueva clave de acceso, el actor parecía determinar rápidamente los permisos asociados, los recursos accesibles y los próximos pasos más valiosos».
