Un nuevo estudio de Microsoft advierte a las organizaciones que los actores de amenazas han comenzado a integrar inteligencia artificial (IA) en sus flujos de trabajo para acelerar las operaciones, eludir las medidas de seguridad y llevar a cabo actividades maliciosas.
Al igual que el submundo cibernético adoptó prácticas comerciales de empresas legítimas (estructuras organizativas de estilo corporativo, modelos como servicio y especialización), está emulando a las empresas que integran IA en sus operaciones para aumentar la velocidad, la escala y la resiliencia de las operaciones maliciosas, explicó Microsoft en su blog de seguridad.
Se señaló que la unidad de inteligencia de amenazas de Microsoft ha observado que la mayor parte del uso malicioso de IA actual se centra en modelos de lenguaje que producen texto, código o contenido multimedia. Los actores de amenazas utilizan IA generativa para crear señuelos de phishing, traducir contenido, resumir datos robados, generar o depurar malware y crear scripts o infraestructura.
“La IA se está integrando rápidamente en todo el ciclo de vida de los ciberataques, pero no siempre de la forma esperada”, afirmó Ensar Seker, CISO de SOCRadar, una empresa de inteligencia de amenazas con sede en Newark, Delaware.
“En muchos casos, los actores de amenazas no desarrollan sus propios modelos avanzados de IA”, declaró. “En cambio, están implementando herramientas de IA generativa existentes para acelerar los flujos de trabajo tradicionales de los atacantes”.
“El mayor impacto de la IA en las operaciones cibernéticas es la eficiencia, más que las técnicas de ataque completamente nuevas”, añadió.
“Sin embargo”, continuó, “la IA no reemplaza las técnicas tradicionales de los atacantes ni elimina la necesidad de la experiencia humana. Las campañas sofisticadas, especialmente las llevadas a cabo por grupos de estados-nación, aún dependen en gran medida del reconocimiento manual, las herramientas personalizadas y la disciplina de seguridad operativa”.
“La IA actúa más como un multiplicador de fuerza que como un sustituto de las tácticas establecidas”, afirmó. “Los actores de amenazas aún necesitan acceso, infraestructura y un objetivo claro. La IA simplemente les ayuda a actuar con mayor rapidez una vez que estos elementos están en su lugar”.
La IA acelera la preparación para ataques.
“Piensen en dónde solían invertir su tiempo los actores de amenazas”, observó Stu Bradley, vicepresidente sénior de soluciones de riesgo, fraude y cumplimiento normativo de SAS, una empresa de software de análisis e IA con sede en Cary, Carolina del Norte. “Encontrar e investigar a sus víctimas, redactar mensajes de phishing convincentes, forjar una relación durante semanas o meses para obtener el pago de la estafa romántica”.
“Con el uso de herramientas de IA fácilmente disponibles, estas tareas que antes requerían mucho tiempo se están agilizando y automatizando”, declaró. “GenAI permite a los estafadores producir contenido refinado y específico en segundos, contenido que antes habría llevado horas. Como resultado, la brecha entre encontrar una o varias víctimas, como suele ocurrir, y lanzar un ataque se reduce cada vez más”.
“Y como los delincuentes también utilizan estas herramientas de IA para automatizar sus ataques, pueden dirigirse a muchas más víctimas a la vez, con mucho menos esfuerzo manual”, añadió. El impacto es asombroso si tenemos en cuenta que la mayoría de los esquemas de fraude son un juego de números. No siempre se acierta, pero cuanto más se intente, mayores serán las probabilidades.
Los actores de amenazas utilizan la IA para automatizar por completo las etapas manuales y laboriosas de la cadena de ataque cibernético, añadió Eric Schwake, director de estrategia de ciberseguridad de Salt Security, proveedor de seguridad API en Palo Alto, California.
“Utilizan IA generativa para realizar rápidamente el reconocimiento, escribir y depurar código malicioso y crear esquemas de phishing altamente específicos en segundos”, declaró. “Al reducir el tiempo necesario para desarrollar e implementar un exploit, los adversarios pueden atacar más rápido que las medidas de seguridad tradicionales o la respuesta de los analistas humanos”.
Forzar Multiplicar.
Microsoft señaló que su unidad de inteligencia de amenazas ha observado que los actores de amenazas utilizan la IA en los aspectos operativos de sus actividades, que no son intrínsecamente maliciosas, pero que respaldan sustancialmente sus objetivos generales. En estos casos, la IA se aplica para mejorar la eficiencia, la escalabilidad y la sostenibilidad de las operaciones, no para ejecutar ataques directamente.
“La IA permite a los actores de amenazas ejecutar una mayor parte del ciclo de vida del ataque en paralelo”, explicó Jacob Krell, director sénior de soluciones de IA seguras y ciberseguridad en Suzu Labs, en Las Vegas, proveedor de servicios de ciberseguridad basados en IA.
“El reconocimiento, el desarrollo de perfiles, la generación de señuelos de phishing, la configuración de la infraestructura y la clasificación de datos tras la vulneración se pueden realizar con mayor rapidez y en más objetivos a la vez”, declaró. “Lo que antes requería múltiples especialistas ahora se puede comprimir en un flujo de trabajo repetible”.
La IA resuelve el problema de la plantilla para estas redes delictivas organizadas, añadió Bradley de SAS. “Ya no se necesita un equipo numeroso para ejecutar una gran operación”, explicó. “La automatización de la generación de contenido con IA permite inundar simultáneamente el correo electrónico, los SMS, el correo de voz y las redes sociales con mensajes personalizados que superan la prueba de rastreo de forma mucho más convincente que las estafas del pasado”.
La IA funciona como un potente multiplicador de fuerza, permitiendo que un solo atacante coordine miles de intrusiones simultáneas, señaló Schwake de Salt Security. «Los atacantes utilizan la IA para automatizar el reconocimiento de objetivos, la pulverización de contraseñas y la rápida configuración de la infraestructura de ataque, como dominios de imitación», afirmó. «Esta capacidad permite a actores relativamente inexpertos ejecutar campañas altamente complejas en una superficie de ataque global sin un aumento proporcional de recursos humanos».
La IA ayuda a los atacantes a reconstruirse más rápido.
Microsoft también señaló que los actores de amenazas están explotando la IA para el desarrollo de recursos. Con los modelos de IA, explicó, los actores de amenazas pueden diseñar, configurar y solucionar problemas de su infraestructura encubierta. Este método reduce la barrera técnica para los actores menos sofisticados y acelera el despliegue de una infraestructura resiliente, a la vez que minimiza el riesgo de detección.
«La IA permite herramientas más adaptativas y evasivas», observó Vincenzo Iozzo, CEO y cofundador de SlashID, un proveedor de detección y respuesta ante amenazas de identidad con sede en Chicago.
“El malware generado por IA puede ser polimórfico, reescribiendo su propio código para evadir la detección basada en firmas”, declaró. “La IA también permite a los actores de amenazas iterar rápidamente en las campañas que se bloquean, regenerando cargas útiles, rotando la infraestructura y ajustando los señuelos de ingeniería social con mayor rapidez que la capacidad de respuesta de los defensores”.
La IA mejora la resiliencia al acortar el ciclo de reconstrucción de los actores de amenazas, añadió Krell, de Suzu Labs. “Cuando se detecta una carga útil, un señuelo o un componente de infraestructura, los actores de amenazas pueden usar la IA para rehacer el código rápidamente, actualizar el contenido de phishing, solucionar problemas de implementación y reimplementar la funcionalidad utilizando diferentes bibliotecas o lenguajes”, explicó.
“Las ubicaciones de devolución de llamadas de comando y control también rotan con mayor frecuencia de la que permitirían las operaciones manuales, lo que reduce el margen de tiempo que tienen los defensores para actuar sobre los indicadores detectados”, añadió.
Auge de la IA generativa en la ciberdelincuencia.
Si bien la IA generativa representa actualmente la mayor parte de la actividad observada de los actores de amenazas que involucra IA, Microsoft señaló que sus investigadores de amenazas están comenzando a ver señales tempranas de una transición hacia usos más generativos de la IA.
Para los actores de amenazas, este cambio podría representar un cambio significativo en la práctica profesional al permitir flujos de trabajo semiautónomos que refinan continuamente las campañas de phishing, prueban y adaptan la infraestructura, mantienen la persistencia o monitorean la inteligencia de código abierto en busca de nuevas oportunidades.
Microsoft aún no ha observado un uso a gran escala de la IA generativa por parte de los actores de amenazas, en gran parte debido a las limitaciones operativas y de confiabilidad, continuó. Sin embargo, ejemplos reales y experimentos de prueba de concepto ilustran el potencial de estos sistemas para respaldar el reconocimiento automatizado, la gestión de la infraestructura, el desarrollo de malware y la toma de decisiones posterior a la vulneración.
«Lo que estamos viendo hoy es una experimentación temprana pero significativa», afirmó Krell. «La IA generativa se está utilizando para respaldar flujos de trabajo que implican planificación, evaluación del uso de herramientas y adaptación a lo largo del tiempo, en lugar de una solicitud puntual».
“Microsoft ha informado que Coral Sleet [el actor de amenazas norcoreano] utiliza herramientas de IA con agentes en un flujo de trabajo integral para el desarrollo de señuelos, el aprovisionamiento de infraestructura y la rápida prueba e implementación de la carga útil”, continuó. “El uso a gran escala aún se ve limitado por la fiabilidad y el riesgo operativo, pero la dirección es clara”.
“La IA no está reemplazando a los actores de amenazas”, añadió. “Los está haciendo más eficientes”.
“El impacto más inmediato no son intrusiones totalmente autónomas, sino una investigación más rápida, una adaptación más rápida, una ingeniería social más escalable y un uso indebido más sostenible del acceso legítimo”, afirmó. “La aceleración de la IA no sigue un camino lineal. Las capacidades se acumulan, y las organizaciones que aún consideran esto como un problema de correo electrónico de phishing ya están subestimando el cambio operativo en curso”.
