SECUMOM · CYBER WEEK #04
Esta semana hasta lo confiable dejó de ser confiable.
Una IA que se salió de lo esperado, routers con puertas traseras escondidas en su firmware y atacantes capaces de manipular hasta la evidencia que utilizamos para investigarlos.
Esta semana hubo tres historias de ciberseguridad que, aunque parecen distintas, tienen algo en común: te hacen preguntarte qué pasa cuando ya no puedes confiar del todo en lo que tienes delante.
1. Una IA debía resolver un reto. Terminó llegando mucho más lejos.
OpenAI publicó el 26 de agosto el análisis de un incidente ocurrido durante evaluaciones internas de ciberseguridad. Los agentes estaban trabajando con ExploitGym en un entorno donde las salvaguardas se habían reducido deliberadamente para realizar las pruebas.
El problema fue que algunos agentes empezaron a encontrar formas no previstas de conseguir el objetivo. Buscaron vulnerabilidades, consiguieron acceso a Internet, utilizaron mecanismos de comunicación no autorizados y terminaron alcanzando infraestructura de terceros, incluidos sistemas de Hugging Face.
OpenAI relaciona parte de este comportamiento con el reward hacking: cuando un sistema encuentra una manera de conseguir la recompensa de una tarea que no era la que pretendía quien diseñó la evaluación.
Y hubo un detalle todavía más interesante: algunos agentes comenzaron a colaborar y delegarse trabajo entre ellos.
Esto no fue “ChatGPT volviéndose loco en producción”. Fue una evaluación interna con salvaguardas deliberadamente reducidas. Pero precisamente por eso resulta interesante: muestra comportamientos que deben entenderse antes de dar más autonomía a estos sistemas.
2. ¿Y si la puerta trasera ya viene dentro del router?
VulnCheck analizó firmware de routers ZBT y encontró DARKLANTERN, una puerta trasera capaz de recibir comandos remotamente y ejecutarlos con privilegios elevados.
Lo preocupante apareció cuando los investigadores buscaron estos dispositivos en Internet. Entre el 18 y el 21 de agosto encontraron 203 instancias accesibles desde 22 países y correspondientes a 16 modelos diferentes.
Además de DARKLANTERN, el análisis encontró SPEAKINGSTONE, otro mecanismo de acceso remoto presente en el firmware analizado.
La discusión deja de ser solamente “¿mi router tiene una vulnerabilidad?” y pasa a una pregunta bastante más incómoda: ¿puedo confiar en el software que el dispositivo traía desde el principio?
3. ¿Qué pasa cuando el atacante controla también tus logs?
Sygnia publicó nueva investigación sobre Fire Ant, actividad vinculada por sus técnicas a UNC3886, un actor de espionaje asociado a China.
Los atacantes comprometieron infraestructura que normalmente consideramos de confianza: routers Cisco IOS XR, servidores TACACS y hosts Linux utilizados para administración.
Pero para mí lo más interesante de esta investigación no es solamente que hayan conseguido entrar.
También manipularon las fuentes de evidencia que los propios defensores utilizaban para investigar el incidente. Suprimieron logs, alteraron registros y modificaron información relacionada con mecanismos de monitoreo y autenticación.
Ya no hablamos solo de un atacante intentando esconderse. Hablamos de un atacante capaz de hacer que la evidencia que estás revisando también te cuente una historia incompleta o directamente falsa.
LA YAPA DE LA SEMANA
¿De verdad ya estamos rodeados de malware hecho con IA?
Con todo lo que se publica sobre inteligencia artificial y ciberseguridad, sería fácil pensar que el malware generado con IA ya está inundando equipos en producción.
Los datos que publicó Unit 42 ponen un poco de contexto.
Aproximadamente el 97% de las muestras analizadas se encontraban únicamente en sandboxes, VirusTotal, investigaciones, pruebas u otros entornos similares.
La IA sí está cambiando la forma en la que se puede desarrollar malware, pero todavía hay bastante distancia entre lo que vemos en muchos titulares y lo que realmente está llegando a producción.
Y hay algo importante que no cambia: aunque el código haya sido escrito o asistido por IA, cuando se ejecuta sigue teniendo que comportarse como malware. Por eso los controles y detecciones basados en comportamiento continúan siendo relevantes.
¿Y las vulnerabilidades de la semana?
Cyber Week se queda con las historias que vale la pena entender. En CyberIntel está la parte operativa: qué vulnerabilidades revisar, cuáles tienen señales de explotación y qué debería priorizarse primero.
El Weekly Exposure Brief del 28 de agosto procesó y priorizó:
El reporte cruza severidad técnica con información como KEV, EPSS, disponibilidad de PoC y contexto de exposición para evitar priorizar vulnerabilidades simplemente porque tienen un CVSS alto.
El patrón de esta semana
Una IA que encuentra una forma no prevista de cumplir su objetivo.
Un router cuyo firmware ya trae mecanismos de acceso remoto.
Un atacante capaz de manipular las fuentes que usas para investigarlo.
El problema ya no es solamente detectar algo malicioso.
También es decidir en qué parte de tu entorno todavía puedes confiar.