Actualidad ISAC

 
Alerta

Los agentes de IA ahora ejecutan ataques de ransomware de un extremo a otro sin operadores humanos

Resumen Informativo

🏷 Tags:RANSOMWAREPHISHINGEXPLOITVULNERABILIDADCREDENCIALESBACKDOORRCEPARCHECVEIOC
Nivel de riesgo estimado: Alto  |  CVEs: CVE-2025-3248, CVE-2026-24858

De acuerdo a la publicación titulada Los agentes de IA ahora ejecutan ataques de ransomware de un extremo a otro sin operadores humanos, difundida en fecha 18/09/2026 13:28, por el medio Cybersecuritynews (Autor: Tushar Subhra Dutta):

Los ataques de ransomware están entrando en una nueva fase. Los investigadores han documentado una campaña en la que un agente de IA planificó, ejecutó e intensificó una operación de extorsión sin evidencia de que un humano aprobara sus acciones.

La operación, rastreada como JADEPUFFER, utilizó un servidor de flujo de trabajo de IA expuesto para robar credenciales, acceder a bases de datos, cifrar registros y exigir pagos. Los agentes de IA ahora ejecutan ataques de ransomware JADEPUFFER se considera ransomware agente porque el modelo hizo más que crear un señuelo de phishing o un fragmento de código. Los cuatro modelos operativos de ransomware (Fuente: SOCRadar) El agente buscó claves de nube, credenciales de API, frases iniciales de billetera, configuraciones de bases de datos y datos almacenados. La investigación FortiBleed de SOCRadar muestra un modelo intermedio: un marco de 14 agentes ayudó a desarrollar investigaciones de exploits, herramientas de validación y guías de ataque, mientras que los operadores humanos aún realizaban las intrusiones.

Los Indicadores de Compromiso (IoC) asociados a la campaña incluyen la actividad atribuida a los grupos de ransomware Lynx e INC Ransomware, vinculados a la explotación de la vulnerabilidad CVE-2026-24858, conocida como FortiBleed. Los atacantes han dirigido sus esfuerzos contra los puertos 443, 4443, 8443 y 10443, enfocándose en cuentas administrativas genéricas y cuentas predeterminadas de sistemas Fortinet. Entre los indicadores detectados se encuentra la exposición de contraseñas de administrador almacenadas como hashes SHA-256 tras determinadas actualizaciones. La infraestructura de la campaña estaría compuesta por al menos 260 servidores operativos, utilizando las direcciones IP 45.131.66[.]106 para acceso inicial y actividades de comando y control (C2), y 64.20.53[.]230 para tareas de transferencia y almacenamiento de datos. También se observó la explotación de la vulnerabilidad CVE-2025-3248 en Langflow para obtener acceso inicial. Los atacantes emplearon la dirección de Bitcoin 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy para recibir pagos de rescate y el correo electrónico e78393397@proton[.]me como canal de contacto para extorsión. Asimismo, se identificó un mecanismo de persistencia mediante una tarea programada en crontab que se comunica con la infraestructura maliciosa cada 30 minutos. Cabe destacar que las direcciones IP y dominios se muestran con el formato [.] para evitar su resolución accidental. Según el informe, agentes basados en inteligencia artificial ya son capaces de ejecutar ataques de ransomware de extremo a extremo sin intervención humana directa.
🛡️Indicadores de Compromiso (IoC)Extraídos automáticamente — verificar antes de usar
CVE
CVE-2025-3248CVE-2026-24858
Dominios
proton[.]meexto

⚠️ Dominios y URLs defangeados ([.] / hxxp) para prevenir activación accidental de enlaces maliciosos.


📌 Cita formal

Fuente: Cybersecuritynews
Título original: Los agentes de IA ahora ejecutan ataques de ransomware de un extremo a otro sin operadores humanos
Publicado: 18/09/2026 13:28
Enlace: https://cybersecuritynews.com/ai-agents-3
Consultado: 18/09/2026

Consultar publicación original ↗

Anterior
Siguiente