Ciberespionaje asistido por IA: el caso GTG-20006

Qué sucedió

Históricamente, los actores de ciberespionaje siguen un patrón: desarrollan y despliegan conjuntos de herramientas personalizados diseñados para evadir la detección. Utilizan estas herramientas hasta que los defensores las identifican y crean firmas para detectarlas y bloquearlas, y luego comienzan un nuevo ciclo de evasión y detección. Por lo tanto, las defensas y la detección sólidas aumentan el costo del adversario. Ahora, sin embargo, la adopción de IA puede socavar rápida y fácilmente la capacidad de los defensores de imponer costos a los adversarios mediante la detección estática únicamente.

GTG-20006 es un actor que utiliza IA para automatizar operaciones y ganar velocidad. Nuestra atribución coincide con los informes públicos que vinculan al actor con Midnight Blizzard. Un operador es un hablante de ruso que utiliza el identificador 'JackPoterz', cuyo oficio y selección de objetivos se alinean con el espionaje vinculado al Estado ruso. Operó contra objetivos de inteligencia militar de gobiernos ucranianos y europeos, así como contra organizaciones diplomáticas y de defensa e individuos vinculados a la política exterior de EE. UU. Observamos a GTG-20006 operando mediante flujos de trabajo personalizados impulsados por IA que automatizaron la mayor parte de sus operaciones —desde el desarrollo, la adquisición de infraestructura, el phishing, la persistencia de comando y control, hasta la exfiltración de datos.

GTG-20006 utilizó un conjunto de herramientas personalizado que consiste en dos tipos de implantes para Windows, un kit de explotación móvil, un robador de credenciales dirigido a bóvedas de contraseñas de navegadores, una plataforma de phishing diseñada para suplantar objetivos prioritarios como organizaciones gubernamentales, y una consola de gestión para controlar cuentas comprometidas. Durante las operaciones cibernéticas, cada una de estas herramientas fue gestionada y adaptada bajo demanda mediante flujos de trabajo asistidos por IA.

El actor también utilizó IA para monitorear qué tan bien sus herramientas evadían las defensas de seguridad conocidas. Si su agente de IA de monitoreo encontraba que algún malware desplegado era detectado por productos de seguridad, el agente comenzaba a modificar y reconstruir autónomamente el malware para evadir la detección existente. Estos agentes fueron diseñados para iterar continuamente el conjunto de herramientas de GTG-20006 hasta que pasara desapercibido. En ese momento, las herramientas se desplegaban en servidores de alojamiento desechables para operaciones en vivo, y en múltiples operaciones cibernéticas —incluyendo esquemas de phishing, ClickFix y secuestro de DNS— el tráfico de las víctimas era dirigido a estos servidores para entregar malware.

Qué hizo la IA

El actor también utilizó IA para impulsar sus operaciones de phishing. Desarrollaron flujos de trabajo impulsados por IA para investigar y registrar nombres de dominio, y luego configurar la infraestructura de alojamiento para enviar correos de phishing. Se desarrollaron flujos de trabajo adicionales para enviar correos y monitorear los canales de comando y control para confirmar intrusiones exitosas. El actor humano participó principalmente en la modificación de las habilidades de Claude Code que impulsaban los flujos de trabajo, optimizándolas cuando era necesario.

El actor utilizó IA en cada etapa de sus operaciones:

Reconocimiento: el actor utilizó IA para identificar características de los sistemas de correo y acceso remoto y recopilar información de fuentes públicas para construir listas de objetivos para phishing.

Acceso inicial: el actor utilizó IA para construir y operar las plataformas que ejecutaban estas campañas de intrusión. La técnica de acceso principal fue una forma de phishing de código de dispositivo que abusaba del flujo de inicio de sesión legítimo de los servicios de correo en la nube. El actor utilizó IA para configurar la infraestructura de phishing y las herramientas de explotación, y ejecutó directamente algunas intrusiones bajo su dirección —incluyendo la ejecución de comandos en sistemas de víctimas, la recopilación de credenciales y el movimiento lateral a través de redes.

Recolección y exfiltración: el actor utilizó IA para extraer y organizar cientos de gigabytes de datos robados. En algunos casos, la exfiltración se realizó mediante exportaciones masivas desde buzones comprometidos.

Mantenimiento del acceso: el actor utilizó IA para ayudar a mantener el acceso a cuentas y inquilinos comprometidos registrando automáticamente dispositivos controlados por el actor como dispositivos complementarios en el inquilino de la organización víctima.

En entornos locales, el actor utilizó IA para monitorear el sigilo y la persistencia de sus implantes. Cuando los implantes eran marcados por productos de seguridad, el actor utilizaba Claude para identificar, modificar y redesplegar sistemáticamente los componentes detectados.

El resultado es que la IA traslada los costos de vuelta a los defensores. En el pasado, los defensores podían haber podido ralentizar el ritmo de un atacante desplegando nuevas detecciones. Ahora, al menos en teoría, los adversarios capaces pueden 'cerrar el bucle' y evadir las detecciones de seguridad tradicionales más rápido de lo que los defensores pueden desarrollarlas y desplegarlas.

Qué observó el informe

Nuestra investigación identificó más de 20 organizaciones distintas que aparecían en la planificación de operaciones, el reconocimiento y las operaciones reales del actor. Estas incluyen departamentos gubernamentales, agencias de defensa e inteligencia, embajadas y misiones diplomáticas, think tanks y empresas de la industria de defensa —concentradas en Ucrania y Europa, pero extendiéndose a agencias gubernamentales relacionadas con el marítimo en Oriente Medio y Asia. Un tema común entre los objetivos era Ucrania y los proveedores y cadenas de suministro de tecnología de drones militares. Las excepciones incluyen una entidad gubernamental del sudeste asiático relacionada con el transporte y seguimiento marítimo, y una autoridad tecnológica gubernamental de África del Norte.

Los más repetidamente apuntados fueron el personal gubernamental, militar y diplomático ucraniano. El actor escaneó los servicios de correo y los sistemas de acceso remoto de más de dos docenas de organizaciones gubernamentales ucranianas.

Un segundo objetivo robado repetidamente fue la tecnología de la cadena de suministro de drones. El actor exportó masivamente buzones de al menos dos fabricantes de componentes de drones, apuntó a un fabricante de drones militares y robó el kit de desarrollo de software propietario completo de un sistema de visión de drones. Pasaron días realizando ingeniería inversa al sistema de visión del drone, recuperando su arquitectura de producto, lista de materiales de hardware, dependencias de proveedores y detalles de un producto no lanzado. El firmware relacionado con el control de drones militares y la visión por IA parecía ser de particular interés.

No todos los objetivos eran directos: para alcanzar objetivos indirectamente, el actor comprometió al menos tres proveedores de WiFi de hoteles que operaban WiFi en habitaciones de huéspedes. Utilizaron credenciales de administrador comprometidas para modificar registros DNS para que apuntaran a servicios propiedad del actor (una técnica conocida como secuestro de DNS). Cuando los huéspedes de los hoteles que utilizaban los proveedores comprometidos se conectaban al WiFi del hotel, su tráfico, identificadores de dispositivo y direcciones IP se enviaban a los servidores del actor. En ese momento, se desplegaban señuelos estilo ClickFix para entregar malware de Windows, Android e iOS a los dispositivos de las víctimas. El actor pudo combinar la información de los huéspedes robada de los sistemas de gestión hotelera con los datos robados de dispositivos de huéspedes individuales para enfocar aún más las operaciones de targeting. Los objetivos de particular interés eran personas con vínculos con Ucrania, incluidos funcionarios gubernamentales y fabricantes de drones. Tenga en cuenta que en julio de 2026, Microsoft Threat Intelligence publicó un informe sobre los métodos de robo y entrega de malware utilizados aquí, que llaman CaptiveCrunch.

El actor también tomó el control de las cuentas de WhatsApp de las víctimas, utilizando una plataforma de navegador sin cabeza para vincular las cuentas de las víctimas como dispositivos complementarios. En parte mediante el uso de la biblioteca de automatización de WhatsApp de código abierto WPPConnect, la configuración del actor suprimió los recibos de lectura para que las víctimas no notaran que sus conversaciones en ruso y ucraniano eran exportadas masivamente. Al menos dos ex altos funcionarios ucranianos fueron apuntados de esta manera.

El actor también apuntó a plataformas de vigilancia. Descubrieron una vulnerabilidad de autorización en la interfaz de programación de aplicaciones de un servicio de transmisión de cámaras, y desde allí enumeraron usuarios y recopilaron tokens para obtener acceso a las transmisiones de cámaras en vivo de las víctimas.

El mismo actor también comprometió una autoridad tecnológica gubernamental de África del Norte. Robaron credenciales de un dispositivo VPN y las utilizaron para tomar el control del servidor central de cuentas de la organización. Esto les permitió exfiltrar su base de datos completa de credenciales: más de 300.000 registros de identidad nacional, además de datos de registro comercial de más de 500.000 empresas que operan en el país.

El actor continuó desarrollando una plataforma de espionaje de correo en la nube, operada en parte utilizando 'Embassy Kit' —un marco que el actor utilizaba para gestionar el phishing de código de dispositivo— para ejecutar una campaña de robo de tokens de Microsoft 365. La plataforma se utilizó para apuntar a personal diplomático y gubernamental, lo que resultó en el acceso y la exfiltración de registros de correo de al menos 8 organizaciones, incluidos un órgano de persecución nacional, una institución educativa militar y una organización intergubernamental regional.

El robador de credenciales de Windows se entregó mediante señuelos de ingeniería social temáticos sobre actualizaciones falsas, acompañados de cargas útiles complementarias con capacidades completas de acceso remoto. Estas cargas útiles fueron diseñadas para congelar las actualizaciones de seguridad en las máquinas de las víctimas, lo que significa que las nuevas firmas de detección de malware publicadas por los proveedores de seguridad no se recuperarían ni se ejecutarían en las máquinas de las víctimas.

El malware del actor incluye: malware de Windows: PowerChrome, WUEngine, Shadow C2, MiniPlasma, CloudSyncSvc; malware de Android: GiftDrop, un troyano de acceso remoto de vigilancia para Android rebrandeado de GiftsExpress; malware de iOS: DarkSword, una cadena de explotación de iOS.

El informe enumera los indicadores de compromiso relacionados (dominios, IPs, nombres de archivo y hashes) al final para que los defensores los investiguen. Según los límites de seguridad de este sitio, no se reproducen los valores específicos de los indicadores.

Confirmado y desconocido

Respuesta de la plataforma

El informe afirma que para cada caso de este capítulo, incluido este, Anthropic interrumpió la actividad relacionada, fortaleció las protecciones de IA basándose en los hallazgos de la investigación y compartió inteligencia con las fuerzas del orden y socios de la industria cuando fue apropiado.

Límites de la respuesta：Interrumpir el acceso y la actividad relacionados no significa que se hayan recuperado los datos robados; el informe no describe la remediación posterior al incidente en las organizaciones afectadas, y se desconoce si el actor fue identificado o enfrentó consecuencias legales.