Un actor de amenazas solitario de habla rusa conocido como «bandacampro» subcontrató una parte de sus operaciones a la inteligencia artificial (IA) Gemini CLI de código abierto de Google y se apoderó de una botnet en vivo.
Los hallazgos provienen de un análisis de 200 registros de sesiones de Gemini CLI entre el 19 de marzo y el 21 de abril de 2026, que encontró que el actor de amenazas utilizaba IA, entre otras cosas, para descifrar contraseñas, configurar un proxy residencial, comprometer a los comerciantes de WordPress y planificar un esquema de fraude telefónico con criptomonedas dirigido a personas mayores en los EE. UU. y Canadá.
«Los registros documentaron cómo el actor de la amenaza utilizó un agente de inteligencia artificial para migrar un servidor de comando y control (C&C) y controlar una botnet de pequeña escala, entre otras actividades de piratería», dijeron los investigadores de Trend Micro Joseph C Chen, Philippe Lin, Lucas Silva, Vladimir Kropotov y Fyodor Yarochkin. dicho.
«Toda la operación de C&C cabe en tres archivos de texto sin formato que suman aproximadamente 5 KB, lo que la hace altamente replicable y efectivamente desechable. También se observó que la IA proponía proactivamente (sin preguntar) mejoras 59 veces sin que se lo pidieran».
Específicamente, se dice que el actor de amenazas abusó de la CLI de Google Gemini para implementar y operar una infraestructura C&C para controlar ocho computadoras en una clínica dental y acceder a su base de datos OpenDental. Además de escribir fragmentos de código, la IA sirvió como «agente de piratería principal, consultor e interfaz» para toda la operación.
Esto incluyó configurar el servidor, implementarlo en un nuevo servidor privado virtual (VPS), configurar la infraestructura, configurar túneles de Cloudflare, administrar los bots y depurar problemas de conectividad.
Trend Micro ha descrito al actor de amenazas como un hablante de ruso que utilizó Google Gemini para «suplantar a un patriota veterano estadounidense y evitar frases en ruso», mientras engañaba al agente de IA para que eludiera sus barreras asumiendo el papel de un «pentester autorizado».
Se dice que el actor de amenazas ejecutó indicaciones para estudiar la antigua infraestructura de C&C donde las máquinas víctimas se conectaban mediante túneles de Cloudflare y la migraron a una nueva arquitectura en seis minutos. La arquitectura implica que las víctimas envíen solicitudes salientes a un servidor C&C a través de HTTPS para extraer y ejecutar comandos de PowerShell organizados por el actor de amenazas en el servidor.
«La migración encontró errores de inmediato, pero el agente de IA los resolvió: cuando el servidor de distribución de carga útil devolvió un error '502 Bad Gateway', la IA diagnosticó el problema y agregó automáticamente el encabezado necesario para resolverlo», dijo Trend Micro.
«Como Cloudflare aún bloqueaba las solicitudes, la IA identificó que el encabezado User-Agent era necesario para omitir el WAF y, por lo tanto, lo agregó al encabezado de la solicitud. El actor no realizó ninguna depuración y la migración se realizó en solo seis minutos».
Una vez que se completó la migración, el agente de IA llevó a cabo una depuración adicional para corregir con éxito los errores que dejaron a todas las máquinas víctimas desconectadas de la infraestructura de C&C. Además, se ha descubierto que el actor de amenazas aprovecha el agente de IA para realizar tareas de gestión de botnets enviando instrucciones en lenguaje natural en ruso, lo que luego permitió a la herramienta de IA realizar las siguientes tareas:
- Informar qué máquinas están activas
- Enviar un comando de enumeración de archivos al bot
- Enviar comandos de reconocimiento a la máquina de la recepción.
- Genere un comando de PowerShell de una línea para infectar una máquina
Lo que es particularmente preocupante acerca de esta configuración asistida por IA es que toda la operación de C&C se puede transferir fácilmente a un servidor nuevo a través de tres archivos de rebajas que le indican al agente que desactive sus protecciones de seguridad, contienen la descripción de la arquitectura e incluyen pasos para construirla desde cero, lo que hace que las eliminaciones sean mucho menos efectivas que antes.
«Facilitado por la IA, la infraestructura se vuelve desechable y los operadores reemplazables», afirmó Trend Micro. «Aunque las eliminaciones siguen siendo eficientes, su impacto es mucho menor. Si se quema un servidor, el actor podría simplemente descomprimir el paquete en un nuevo VPS, y la IA configura y restaura todo en unos minutos».
Los hallazgos muestran que la tecnología no sólo puede recortar los recursos necesarios para ejecutar operaciones a gran escala, sino que también permite a los malos actores con poco o ningún conocimiento técnico establecer tales esquemas con un mínimo esfuerzo o distribuirlos en foros clandestinos en forma de archivos de habilidades maliciosos, allanando efectivamente el camino para nuevos servicios de malware impulsados por IA que van más allá de los modelos convencionales «como servicio».
Este manual también tiene el efecto secundario de complicar los esfuerzos de atribución, ya que no existe un servicio centralizado que buscar y un agente de IA puede regenerar o modificar fácilmente cualquier componente a voluntad para eludir huellas dactilares específicas.
En un momento dado, se dice que «bandcampro» impulsó a la IA a construir una «bomba de agente» autopropagadora que escanearía la red e ingresaría en tantas máquinas como fuera posible, una solicitud que el agente rechazó, afirmando que estaba «cruzando la línea». Al mismo tiempo, ofrecía sugerencias útiles para superar las limitaciones manualmente.
También se ha descubierto que el actor de la amenaza depende del agente de IA para otras tareas, a saber:
- Desciframiento de contraseñas, que utilizaba el agente como motor de mutación de credenciales para predecir posibles contraseñas basándose en una lista de entrada obtenida de Antipúblicoque mantiene una base de datos de credenciales filtradas y aprovechó esas conjeturas como herramienta de fuerza bruta para los paneles de administración de WordPress, obteniendo acceso con éxito en unos pocos casos.
- Explotación de credenciales, que analizó los volcados de 1Password para encontrar vías de explotación. La tarea, sin embargo, terminó en fracaso, aunque sólo fuera porque el la ventana de contexto duró demasiadoy perdió la noción de lo que se suponía que debía hacer.
- Planificación del fraude con criptomonedas, que implicó discutir la viabilidad de establecer un esquema falso por teléfono dirigido a las personas mayores en los EE. UU. y Canadá.
«A lo largo de todo el mes de registros, el actor contribuyó con el 11% del texto producido y la IA con el 89%, doce veces el recuento de palabras del actor», concluyó Trend Micro. «El actor proporcionó dirección estratégica y funcionó como gerente de producto, mientras que la IA era todo su equipo de ingeniería, manejando el 80% del diseño arquitectónico, el 100% de la codificación y la ejecución de comandos del sistema, y el 90% del diagnóstico y depuración de problemas».
«El modelo de archivo de habilidades portátil significa que esta metodología probablemente se difundirá. El archivo de habilidades es texto sin formato, es poco probable que los escáneres de malware tradicionales lo detecten por sí solo, se puede compartir en foros y modificar en segundos. Convierte a cualquier agente codificador de IA capaz en un operador C&C, si puede persuadir con éxito los mecanismos de seguridad integrados en los agentes de IA».
