25 servidores del gobierno estadounidense hackeados... y la inteligencia artificial podría haber ayudado
Revelación impactante: piratas informáticos vulneraron 25 servidores, incluidos sistemas confidenciales del gobierno estadounidense. ¿Contribuyeron las herramientas de inteligencia artificial a este grave ciberataque?
Las cosas más importantes que necesitas saber
- El ataque explotó vulnerabilidades en PHP y Linux para comprometer 25 sistemas, incluidos tres vinculados a una organización del gobierno estadounidense, lo que permitió a los atacantes penetrar profundamente en la red interna y robar datos confidenciales.
- En el entorno de los atacantes se encontraron herramientas de inteligencia artificial como Cloud Code y aiscan, configuradas para funcionar con modelos chinos, lo que suscita preocupación sobre el uso de la IA en los ataques a pesar de la falta de pruebas directas de su uso en la creación o ejecución de vulnerabilidades.
- Los administradores de sitios web deben actualizar sus versiones de PHP, y no solo los complementos de WordPress, y comprobar si ha habido filtraciones de datos anteriores, mientras que se recomienda al público utilizar contraseñas únicas y la autenticación de dos factores como principal medida de protección.
Un informe indica que piratas informáticos lograron infiltrarse en 25 servidores de cuatro países, incluyendo sistemas vinculados a una agencia gubernamental estadounidense. Investigadores de seguridad también hallaron indicios que sugieren el posible uso de herramientas de inteligencia artificial en el ataque.
Según un nuevo informe de Dream Research , publicado el lunes, los atacantes explotaron vulnerabilidades de seguridad críticas en el lenguaje de programación PHP, utilizado por millones de sitios web, antes de explotar otra falla de seguridad para obtener el control total de los sistemas objetivo.
Los ataques tuvieron como objetivo servidores en Estados Unidos, Japón, Taiwán y Corea del Sur. Los investigadores hallaron indicios que sugieren una posible conexión con China, aunque no identificaron a los atacantes ni confirmaron la participación de ningún gobierno.
Lo más preocupante de este descubrimiento es el alcance de los atacantes. En un entorno vinculado al gobierno estadounidense, fueron más allá de la intrusión inicial y obtuvieron acceso a información interna de la red, listas de cuentas de empleados y credenciales de autenticación.
Si bien el papel preciso de la inteligencia artificial aún no está claro, los investigadores han encontrado varias herramientas en el entorno de los atacantes que plantean interrogantes sobre cómo la IA podría acelerar los ciberataques.
Cómo los hackers convirtieron una única vulnerabilidad de seguridad en un ataque mucho más amplio.
El ataque comenzó explotando dos vulnerabilidades de seguridad críticas, conocidas colectivamente como PHP2Shell, que fueron reveladas públicamente el 21 de octubre.
PHP se utiliza internamente en millones de sitios web, incluidos sitios de WordPress y servicios en línea. Estas dos vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, permiten a los atacantes ejecutar comandos maliciosos en servidores vulnerables.
Pero los atacantes no se detuvieron ahí. Combinaron esas vulnerabilidades con otra vulnerabilidad de Linux llamada Fragnesia, lo que les permitió obtener el control total de los sistemas de firewall sin necesidad de nombre de usuario ni contraseña.
Según un informe de Dream Research compartido con Tom's Guide , todo el proceso puede durar menos de 15 minutos.
Los piratas informáticos iniciaron su campaña escaneando aproximadamente 19,000 cortafuegos en línea expuestos, para luego reducir su lista de objetivos a 240 sistemas potencialmente vulnerables. Posteriormente, utilizaron ataques automatizados para comprometer otros 24 cortafuegos y un servidor de gestión interno, elevando el número total de sistemas comprometidos a 25.
Los investigadores también descubrieron que los piratas informáticos instalaron herramientas web maliciosas en muchos de los sistemas comprometidos, lo que les brinda una posible vía para regresar y volver a entrar incluso después del ataque inicial.
Los atacantes lograron acceder a una red vinculada al gobierno de Estados Unidos.
Entre los hallazgos más alarmantes, se reveló que tres servidores comprometidos estaban vinculados a una organización afiliada al gobierno de Estados Unidos, lo que pone de relieve la gravedad y el alcance de la brecha de seguridad.
Tras vulnerar un cortafuegos expuesto en internet, los piratas informáticos pudieron acceder a información detallada sobre la red interna de la organización, incluyendo su red privada virtual (VPN), sistemas de inicio de sesión y otros servidores.
Posteriormente, lograron penetrar más profundamente en la red, vulnerando con éxito el servidor de administración del cortafuegos central y robando la contraseña de una cuenta. También obtuvieron una lista de usuarios y grupos dentro de la organización.
Los investigadores encontraron pruebas de que los atacantes intentaron adivinar las contraseñas de los empleados, crear cuentas no autorizadas y acceder a credenciales de inicio de sesión adicionales, aunque aún no está claro si esos intentos tuvieron éxito.
Dream Research también advirtió que los piratas informáticos podrían haber tenido acceso a algunos sistemas en el momento de la publicación del informe, pero esto no ha sido confirmado de forma independiente.
La empresa de seguridad no reveló el nombre del fabricante del cortafuegos ni las versiones de software afectadas, pero confirmó que había notificado al proveedor correspondiente.
Descubriendo herramientas de inteligencia artificial en el entorno de los atacantes
Los investigadores han descubierto herramientas de IA en el entorno de los atacantes, lo que sugiere su posible uso en ataques. Estas herramientas incluían Cloud Code de Anthropic y una plataforma de seguridad basada en IA llamada aiscan , configuradas para funcionar con modelos de IA chinos como DeepSeek y Kimi.
Los investigadores también encontraron unos 40 scripts personalizados, cuyo formato y comentarios consistentes sugieren que algunos de ellos pueden haber sido escritos con la ayuda de inteligencia artificial.
Sin embargo, Dream Research advirtió que no hay evidencia directa que demuestre que la IA se esté utilizando para crear vulnerabilidades o llevar a cabo ataques. Estas herramientas pueden existir en el entorno de los atacantes sin desempeñar un papel directo en las brechas de seguridad.
Sin embargo, estos hallazgos plantean serias preocupaciones sobre cómo los piratas informáticos podrían explotar las herramientas de programación basadas en inteligencia artificial , las mismas herramientas en las que confían los desarrolladores para escribir código y solucionar problemas.
Los investigadores también hallaron indicios que sugieren una posible conexión con China, como código escrito en chino, sistemas configurados con la hora china y ataques dirigidos a sitios web en Estados Unidos y Asia Oriental. Sin embargo, nada de esto confirma quién es el responsable de los ataques.
Resumen y recomendaciones
PHP2Shell no afecta directamente a tu teléfono ni a tu ordenador portátil, pero sí supone una amenaza para la información almacenada en sitios web y servicios en línea. Si los atacantes logran vulnerar estos servidores, pueden acceder a contraseñas, datos confidenciales o sistemas internos.
Dream Research no encontró pruebas de que se haya robado información personal de consumidores comunes en esta campaña. Sin embargo, estas vulnerabilidades ya se están explotando más allá de los 25 servidores mencionados.
Amazon Web Services descubrió intentos de explotar estas vulnerabilidades ya el 17 de octubre, cuatro días antes de su divulgación pública. Si bien Sophos informó inicialmente de una explotación exitosa, posteriormente revisó sus hallazgos, indicando que había detectado escaneos y un pequeño número de ataques fallidos, sin confirmar ninguna brecha en los entornos de sus clientes.
Para los administradores de sitios web o tiendas online de WordPress, es fundamental contactar con su proveedor de hosting para asegurarse de que su versión de PHP esté actualizada y con los parches de seguridad instalados. Actualizar los plugins de WordPress puede no ser suficiente para solucionar por completo las vulnerabilidades de seguridad. Los administradores también deben revisar minuciosamente si hay indicios de una intrusión anterior, ya que aplicar actualizaciones de seguridad no elimina a un atacante que ya ha accedido al sistema.
Para el público en general, adoptar prácticas de seguridad básicas, como usar contraseñas únicas y complejas, habilitar la autenticación de dos factores (2FA) y prestar atención a cualquier alerta de inicio de sesión sospechoso, es una primera línea de defensa indispensable.
🇧🇷 Resumen y evaluación final
Este informe constituye una advertencia crucial para los administradores de sistemas gubernamentales y corporativos, los desarrolladores web y el público en general sobre la importancia de evaluar y proteger su infraestructura digital. Revela la magnitud de las brechas de seguridad en curso y la gravedad de las vulnerabilidades sin parchear, destacando el creciente desafío que representa el uso de inteligencia artificial por parte de los atacantes, lo cual exige una vigilancia de seguridad proactiva y actualizaciones inmediatas.
Los comentarios están cerrados.