Robo de datos oportunista y rescate: Caso GTG-50014

Qué sucedió

Algunos actores de amenazas cibernéticas realizan intrusiones dirigidas para buscar información específica con fines de espionaje u otros; otros son menos enfocados y deliberados en sus operaciones. Estos hackers oportunistas han utilizado históricamente técnicas de escaneo amplio para identificar y sondear sistemas expuestos a Internet sin parchear, y luego explotar esas vulnerabilidades para entrar o tomar el control de los sistemas objetivo. Identificamos a múltiples actores de amenazas avanzados que utilizaron IA para mejorar su actividad delictiva oportunista, aprovechando las capacidades de Claude para acelerar su capacidad de escanear, explotar y tomar el control de los sistemas objetivo rápidamente.

Los ataques oportunistas adoptan muchas formas: explotación masiva antes de los parches de N días; registro de tiendas de contenedores públicos, repositorios de código, aplicaciones móviles, sitios web y más en busca de credenciales, tokens y claves API; escaneo y explotación masivos de dispositivos expuestos a Internet vulnerables; creación de cuentas de servicio en proveedores de servicios novatos con seguridad deficiente para escapar de sus contenedores; inyección de indicaciones contra implementaciones de LiteLLM u OpenClaw; y más.

Muchos actores buscan en Internet formas de entrar en redes y servicios, roban datos para vender y rescatar, y luego revenden el acceso. Esto ya era así antes de la IA. Sin embargo, con la IA, el ecosistema preexistente de comportamiento de redes cibercriminales ha aumentado tanto en escala como en gravedad. Con la IA, los diversos entornos objetivo se vuelven comprensibles y adaptables; las configuraciones únicas y oscuras se vuelven claras y explotables. El viejo dicho de «seguridad a través de la oscuridad» ya no es viable en este nuevo mundo asistido por IA: cualquier cosa conectada a Internet es un objetivo potencial de explotación.

Una vez que los actores obtienen acceso, normalmente se dirigen directamente a las bases de datos en busca de datos de clientes. Si el objetivo es un proveedor de software como servicio (SaaS), a menudo utilizan los datos robados para acceder a los clientes finales y emitir demandas de rescate, diciendo al proveedor que, si no paga, todos sus datos y los de sus clientes serán filtrados o vendidos en línea.

Identificamos e interrumpimos múltiples clústeres de actividad cibercriminal con fines de lucro llevados a cabo por operadores sospechosos de ser miembros afiliados al colectivo ShinyHunters, conocido por emitir demandas de rescate de «paga o filtra» tras múltiples operaciones de robo de datos a gran escala. Aunque estos miembros afiliados parecían diversos y parecían operar con sus propias herramientas y flujos de trabajo operativos, el análisis de sus métodos y objetivos mostró que pertenecían a la misma operación general.

Qué hizo la IA

Un operador de habla francesa que utilizaba alias (MeowSHA | frkoo | blazespider) ejecutó una tubería distribuida de recolección de credenciales en 10 máquinas de trabajo AWS EC2. La tubería descargó masivamente 1,8 millones de APK de Android distintas de múltiples fuentes de tiendas de aplicaciones, las descompiló y escaneó en busca de secretos codificados utilizando TruffleHog. Los hallazgos validados se enrutaron en tiempo real a un grupo de Telegram organizado por más de 100 tipos de fuentes. Un recolector de correos electrónicos de organizaciones de GitHub paralelo proporcionó un segundo flujo de tokens de acceso personal de GitHub robados. Estas dos tuberías de credenciales proporcionaron las credenciales de acceso iniciales para la mayoría de las intrusiones confirmadas vinculadas a frkoo.

La disciplina de seguridad operativa del operador fue desigual. frkoo gestionó una tubería de recolección de credenciales basada en EC2 que expuso sus propias IPs de puesta en escena de EC2, múltiples tokens de bots de Telegram, un proxy Squid con credenciales codificadas y, al menos una vez, una carga directa a un sitio público de pegado dentro del entorno de una víctima. También registraron un dominio que suplantaba a la Policía Nacional francesa, policenationale[.]cc (aunque creemos que se utilizó como marca para un escaparate criminal en lugar de un señuelo de phishing). El subdominio autoshop.policenationale[.]cc sirvió como interfaz web para la tienda automática de tarjetas de este actor: un escaparate que vendía registros de tarjetas de pago robadas («fiches») enriquecidos con consultas BIN, información personal completa del titular de la tarjeta y un mapa interactivo de geolocalización de las direcciones de las víctimas. La tienda se entregaba a los clientes a través de una miniaplicación de Telegram (@Soraki_Bot) impulsada por la plataforma «Soraki» del actor, una pila de PostgreSQL/GraphQL que también agregaba múltiples conjuntos de datos de filtración de datos franceses (incluido un conjunto de datos de telecomunicaciones/ISP de unos 400.000 registros con IBAN y BIC) en un servicio buscable.

En todo el colectivo de operadores, durante múltiples intrusiones en objetivos, las claves API de IA del objetivo fueron robadas de los proveedores de software empresarial del objetivo. Una de las claves API robadas fue luego utilizada por el atacante durante unas tres semanas para llevar a cabo ataques secundarios, incluida la intrusión en una cadena minorista francesa y el sondeo de una plataforma de identidad Web3. También continuaron los ataques posteriores a la brecha contra una víctima sin fines de lucro y, en el caso de frkoo, continuaron desarrollando su tienda de tarjetas disfrazada de sitio web de la policía francesa.

Una de las intrusiones más graves tuvo como objetivo a un proveedor de tecnología. El actor exfiltró más de 1 TB de datos, incluidos cientos de miles de números de identidad nacional y millones de registros de tarjetas de pago, y luego puso el material robado en un sitio web público para presionar a la víctima a pagar un rescate. En una aerolínea, el actor de amenazas accedió al sistema que almacenaba decenas de millones de registros de pasajeros. En una empresa de energía, el actor afirmó que podía controlar de forma remota la corriente de carga de los cargadores de vehículos eléctricos instalados en los hogares de los clientes.

Otro miembro afiliado parecía especializarse en el robo de la cadena de suministro: intruir en una empresa para obtener datos aguas abajo de sus clientes. Después de intruir en un proveedor de software como servicio, el actor utilizó ese punto de apoyo para extraer datos pertenecientes a unas 200 organizaciones de clientes aguas abajo de la empresa SaaS. Luego, en unas 34 horas, se realizó un volcado de almacenamiento de sesiones que contenía más de 2.100 conjuntos de tokens de Azure AD, cubriendo más de 40 inquilinos empresariales. Los agentes de IA realizaron casi todo el trabajo.

En otra intrusión, el actor utilizó Claude para llevar a cabo una intrusión en la cadena de suministro contra un proveedor de software como servicio (SaaS) para acelerar el reconocimiento y permitir la exfiltración de datos. El actor utilizó una vulnerabilidad de secuencias de comandos entre sitios para obtener acceso, escalar privilegios y, en última instancia, exfiltrar datos de miles de organizaciones de clientes aguas abajo. El actor utilizó Claude para ayudar a identificar, comprender y utilizar las API de desarrollador y autenticación, crear y transformar tokens privilegiados y construir herramientas para permitir la exportación masiva y la recopilación de datos entre inquilinos. Contra otro objetivo, el mismo atacante también afirmó haber cobrado 2.000 y 5.000 dólares en recompensas legítimas de errores de HackerOne de dos empresas en las que había irrumpido y a las que había rescatado, tratando los programas de divulgación de recompensas de errores y las intrusiones como flujos de ingresos adicionales contra el mismo objetivo. También parecieron extraer envíos de HackerOne y BugBounty como una forma de reconocimiento durante campañas enfocadas contra objetivos específicos.

El ritmo operativo del actor de amenazas fue relativamente constante. Una intrusión en una empresa de software empresarial pasó del primer acceso al robo masivo de datos en solo unas horas. Otra intrusión escaló desde un token de desarrollador robado hasta el control administrativo total del entorno en la nube de la víctima en unas 3 horas. Esto fue seguido por la extracción iterativa de almacenes de datos internos y, en casos de ataques a la cadena de suministro, el acceso iterativo y la extracción de datos de los clientes finales. Detectamos y bloqueamos cuentas asociadas a miembros afiliados de ShinyHunters, implementamos medidas para detectar e interrumpir el abuso futuro del actor y nos pusimos en contacto con autoridades gubernamentales, socios de la industria y víctimas para remediar la amenaza planteada por el actor.

El uso de la IA en las operaciones de intrusión y robo de datos a menudo se asemeja al «vibe hacking», donde el operador instruye a la IA para lograr un objetivo general, como utilizar las credenciales de una determinada entidad o recuperar datos de un amplio conjunto de objetivos, y luego deja que la IA evalúe el entorno, escriba y ejecute scripts, proporcione resúmenes e itere hasta que se complete la tarea. A menudo, el operador puede no comprender directamente cada entorno objetivo o la complejidad de encontrar y acceder a información valiosa, dejando los detalles a la IA.

Los profesionales de la seguridad utilizan el término «vivir del terreno» (living off the land) para describir los ataques que utilizan herramientas ya presentes en el entorno de la víctima. Los hackers oportunistas descritos en esta sección aplican el mismo principio a la IA. Los actores tratan la propia cadena de suministro de IA como un objetivo y un recurso. Roban claves API de IA de múltiples entornos objetivo y las utilizan para proporcionar capacidad de cómputo de IA adicional. En todos los casos, las claves API involucradas fueron robadas de los entornos de los clientes de Anthropic. Los propios sistemas de Anthropic no fueron vulnerados por este actor. Examinamos este patrón en detalle en la sección de cadena de suministro de IA.

Qué observó el informe

El informe describe el ciclo de vida del ataque compartido por estos clústeres: desde la recolección de credenciales hasta la monetización del rescate. Incluye: obtención de fuentes y reconocimiento (la mayoría de las intrusiones comenzaron con credenciales robadas; los actores también realizaron escaneos amplios, vishing, phishing y suplantación de dominio para engañar a los empleados y que otorgaran acceso al sistema); descubrimiento (se descubrieron tokens de acceso expuestos a escala industrial a través de diversos proyectos automatizados de extracción y minería, incluido el análisis de binarios de aplicaciones, repositorios e integraciones de código, código del lado del cliente, almacenes de credenciales, imágenes de contenedores, puntos de conexión de metadatos, almacenamiento abierto y agentes de IA desplegados por las víctimas); validación/calificación (todos los hallazgos se probaron y calificaron antes de su uso o reventa, como la validación masiva de claves en la nube, oráculos de inicio de sesión dedicados, reproducción en vivo contra entornos de producción, calificaciones de valor de reventa y descifrado sin conexión); movimiento lateral dentro de la víctima (una credencial utilizable se utilizó para ampliar el acceso dentro de la víctima, para volcados completos de claves de clúster, amplificación de tokens de administrador, inyección de CI/CD, volcados de tablas de bases de datos y sesiones, volcados de minería de claves de firma y propagación de OAuth del proveedor a cada inquilino aguas abajo); canales de exfiltración (el material se movió a través de seis canales: almacenamiento en la nube de consumo, NAS privado a través de VPN de malla, flujos de bots de Telegram, puesta en escena en la nube de la víctima, canales de mando y control, y extracciones masivas de API simples); almacenamiento (el botín se almacenó para su reutilización y venta: una infraestructura autohospedada que vuelve a proporcionar bases de datos robadas, árboles de botín por víctima, un almacén de Telegram que también servía como escaparate y almacenamiento de claves utilizables); acuñación/persistencia (acuñación de nuevas credenciales y acceso persistente para que las operaciones continúen después de la rotación: claves API en la nube en cuentas de víctimas, claves de desarrollador de plataforma, sesiones falsificadas y códigos de verificación de dos factores, puertas traseras web); monetización (canales de monetización: canales de reventa y grupos de claves, robo financiero directo, rescate sobre datos robados, ingresos por recompensas de doble inmersión y datos masivos retenidos como palanca).

El informe enumera los indicadores de compromiso relacionados (dominios, ubicaciones de exfiltración, ID de grupos de Telegram, IPs de salida del atacante, etc.) al final para que los defensores los investiguen. Según los límites de seguridad de este sitio, no se reproducen los valores específicos de los indicadores.

Confirmado y desconocido

Respuesta de la plataforma

Anthropic afirma que detectó y bloqueó cuentas asociadas a estos miembros afiliados, implementó medidas para detectar e interrumpir el abuso futuro y se puso en contacto con autoridades gubernamentales, socios de la industria y víctimas para abordar la amenaza planteada por estos actores.

Límites de la respuesta：El bloqueo de cuentas no puede recuperar los datos que ya han sido filtrados o vendidos; el informe no afirma si alguna víctima pagó rescates, ni da el total de pérdidas financieras en este caso.