Actualidad ISAC

 
Alerta

Los agentes de IA ahora ejecutan ataques de ransomware de extremo a extremo sin operadores humanos

Resumen Informativo

🏷 Tags:RANSOMWAREPHISHINGEXPLOITVULNERABILIDADCREDENCIALESBACKDOORRCEPARCHECVEIOC
Nivel de riesgo estimado: Alto  |  CVEs: CVE-2025-3248, CVE-2026-24858

De acuerdo a la publicación titulada Los agentes de IA ahora ejecutan ataques de ransomware de extremo a extremo sin operadores humanos, difundida en fecha 18/09/2026 13:28, por el medio Cybersecuritynews (Autor: Tushar Subhra Dutta):

Los ataques de ransomware están entrando en una nueva fase. Los investigadores han documentado una campaña en la que un agente de IA planificó, ejecutó y escaló una operación de extorsión sin evidencia de que un humano aprobara sus acciones.

Los agentes de IA ahora ejecutan ataques de ransomware JADEPUFFER se considera un ransomware auténtico porque el modelo hizo más que crear un señuelo de phishing o un fragmento de código. Los cuatro modelos operativos de ransomware (Fuente – SOCRadar) El agente buscó claves de nube, credenciales de API, frases semilla de billetera, configuración de base de datos y datos almacenados. La investigación FortiBleed de SOCRadar muestra un modelo intermedio: un marco de 14 agentes ayudó a desarrollar la investigación de exploits, las herramientas de validación y los manuales de estrategias de ataque, mientras que los operadores humanos aún realizaban las intrusiones. El ecosistema de ransomware más amplio explota los sistemas de borde expuestos y el acceso robado, un patrón en los informes de la ola de ataques de ransomware de Fortinet.

Los Indicadores de Compromiso (IoC) asociados a la campaña incluyen la actividad atribuida a los grupos de ransomware Lynx e INC Ransomware, vinculados a la explotación de la vulnerabilidad CVE-2026-24858, conocida como FortiBleed. Los atacantes han dirigido sus esfuerzos contra los puertos 443, 4443, 8443 y 10443, enfocándose en cuentas administrativas genéricas y cuentas predeterminadas de sistemas Fortinet. Entre los indicadores detectados se encuentra la exposición de contraseñas de administrador almacenadas como hashes SHA-256 tras determinadas actualizaciones. La infraestructura de la campaña estaría compuesta por al menos 260 servidores operativos, utilizando las direcciones IP 45.131.66[.]106 para acceso inicial y actividades de comando y control (C2), y 64.20.53[.]230 para tareas de transferencia y almacenamiento de datos. También se observó la explotación de la vulnerabilidad CVE-2025-3248 en Langflow para obtener acceso inicial. Los atacantes emplearon la dirección de Bitcoin 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy para recibir pagos de rescate y el correo electrónico e78393397@proton[.]me como canal de contacto para extorsión. Asimismo, se identificó un mecanismo de persistencia mediante una tarea programada en crontab que se comunica con la infraestructura maliciosa cada 30 minutos. Cabe destacar que las direcciones IP y dominios se muestran con el formato [.] para evitar su resolución accidental. Según el informe, agentes basados en inteligencia artificial ya son capaces de ejecutar ataques de ransomware de extremo a extremo sin intervención humana directa.
🛡️Indicadores de Compromiso (IoC)Extraídos automáticamente — verificar antes de usar
CVE
CVE-2025-3248CVE-2026-24858
Dominios
proton[.]meextoproton[.]medire

⚠️ Dominios y URLs defangeados ([.] / hxxp) para prevenir activación accidental de enlaces maliciosos.


📌 Cita formal

Fuente: Cybersecuritynews
Título original: Los agentes de IA ahora ejecutan ataques de ransomware de extremo a extremo sin operadores humanos
Publicado: 18/09/2026 13:28
Enlace: https://cybersecuritynews.com/ai-agents-3
Consultado: 19/09/2026

Consultar publicación original ↗

Anterior
Siguiente