La IA de Microsoft ha desarticulado dos de las herramientas de hackeo más usadas del mundo. El gigante tecnológico reveló que Copilot analizó código malicioso complejo y encontró conexiones que habrían tardado semanas en detectarse manualmente. La operación, coordinada con Europol y varios cuerpos policiales, se saldó con 326 servidores y 142 dominios neutralizados.
La Unidad de Crímenes Digitales de Microsoft utilizó IA, incluyendo su asistente Copilot, para analizar el código detrás de los Amadey y StealC, dos plataformas de malware que comparten la misma infraestructura digital. De acuerdo con Bloomberg, en lugar de revisar manualmente miles de líneas de código, los investigadores de seguridad formularon preguntas en lenguaje sencillo y consiguieron establecer una relación entre ambas herramientas.
Amadey y StealC funcionan en conjunto: la primera abre el acceso a los dispositivos infectados, mientras que la segunda extrae la información. Entre los datos que puede robar se encuentran contraseñas, billeteras de criptomonedas, datos de navegadores, correos electrónicos, mensajes y más. Tan solo en las dos primeras semanas de mayo, ambas herramientas infectaron más de 140.000 ordenadores en todo el mundo.
«Es como si alguien tuviera las llaves de tu casa», dijo Richard Boscovich, asesor legal de Microsoft. «Aún no han entrado, no han robado nada, pero tienen acceso total a tu casa. Una vez que lo consiguen, venden el acceso a tus datos a cualquiera interesado.»
Según el blog de seguridad de Microsoft, los ingenieros crearon agentes de IA para examinar funciones del malware, desensamblar código y detectar patrones. Una vez hecho esto, Copilot analizó el código y localizó direcciones C2 que permitieron identificar los servidores activos.
Copilot aceleró la identificación de vínculos entre herramientas de malware
El vínculo entre Amadey y StealC fue clave para que Microsoft presentara una demanda civil bajo la Ley RICO, una legislación estadounidense diseñada para perseguir el crimen organizado. Al tratar ambas herramientas como parte de unaa conspiración, la empresa pudo ir contra múltiples actores a la vez en lugar de litigar de forma separada.
Microsoft trabajó con la Europol, la Oficina Federal de Investigación Criminal de Alemania, las policías nacionales de Países Bajos y Dinamarca, IBM y Proofpoint. El operativo también apuntó a SocGholish, un tercer malware vinculado al grupo ruso de cibercrimen Evil Corp. SocGholish se distribuía a través de falsas actualizaciones de navegador en sitios web comprometidos, principalmente construidos con WordPress.
Según la Europol, el operativo consiguió desactivar 326 servidores y 142 dominios. Las autoridades recuperaron hasta 27 millones de credenciales de acceso robadas y se bloquearon criptoactivos por un valor superior a los 41 millones de euros. Además, se sanearon más de 14.000 sitios web infectados, entre los que había restaurantes, talleres mecánicos y otros negocios cotidianos.
La acción forma parte de la Operación Endgame, descrita como la mayor intervención nunca antes realizada contra vendedores de ransomware. Coordinada por Europol y Eurojust, esta campaña involucró a fuerzas policiales de Australia, Bélgica, Canadá, Dinamarca, Francia, Alemania, Países Bajos, Reino Unido y Estados Unidos, además de más de 30 organizaciones públicas y privadas.
«Ya no puedes hacer esto solo», dijo Boscovich, quien añade que no hay un único atacante que realice todo el trabajo. El proceso de hackeo, acelerado en parte por la IA, obliga a las autoridades a desarticular toda la cadena y no solo a actores individuales, como ocurría hace algunos años.
Seguir leyendo: Microsoft usó su inteligencia artificial para tumbar dos de los programas maliciosos más usados del mundo