Bitdefender, empresa mundial en ciberseguridad, ha publicado una nueva investigación sobre un ataque de ransomware contra un grupo de centros educativos del Reino Unido, llevado a cabo por un afiliado del grupo 3AM. En esta operación, los ciberdelincuentes combinaron la intervención humana con agentes de inteligencia artificial para ejecutar distintas fases de la intrusión. El incidente afectó a una infraestructura de 47 sistemas distribuidos en varios dominios y culminó con el cifrado de aproximadamente 37 equipos. Según Bitdefender, se trata del primer caso documentado de este tipo en Europa.
La investigación revela que el ataque siguió el procedimiento habitual de una operación de ransomware, pero destacó por su carácter híbrido y la forma en que se repartieron las tareas. Mientras los atacantes humanos tomaban las decisiones principales, los agentes de IA se encargaban de ejecutar comandos, interpretar las respuestas de los sistemas y probar diferentes alternativas cuando encontraban errores, hasta completar cada paso.
Principales hallazgos de la investigación
· Ejecución de un ataque de ransomware convencional con apoyo de IA. Los atacantes siguieron un procedimiento habitual que incluyó el robo de credenciales de los servidores de copias de seguridad, el intento de desactivar las soluciones de seguridad y el cifrado de aproximadamente 37 equipos, mientras los agentes de IA asumían tareas operativas dentro de la intrusión.
· Diferencias en el ritmo de trabajo entre humanos y agentes de IA. Los atacantes humanos tomaban las decisiones principales, mientras que los agentes de IA repetían y ajustaban los intentos fallidos hasta conseguir su objetivo, con intervalos de entre 40 y 100 segundos.
· Previsión de que este tipo de ataques se extienda. Su bajo coste de ejecución y el hecho de que no requieren nuevas habilidades técnicas facilitan su replicación. Por ello, Bitdefender espera que los ataques híbridos sean cada vez más habituales en 2027.
· La actividad de los agentes de IA también puede facilitar la detección de los ataques. La repetición de comandos, las distintas versiones de los scripts y los archivos de prueba que dejan durante su ejecución generan rastros que pueden ayudar a los equipos de seguridad a identificar actividades maliciosas.
