CyberStrikeAI in the wild: the use of AI in real-world attacks on organizations

El equipo de Cyber Threat Intelligence de Kaspersky identificó una campaña que emplea CyberStrikeAI, una plataforma modular escrita en Go que combina un orquestador basado en modelos de lenguaje grande (LLM) y un servidor C2. Los atacantes la usaron para comprometer organizaciones del sector educativo en varios países de África y Latinoamérica, pasando de la fase de reconocimiento a la toma total del dominio.

El acceso inicial se obtuvo mediante un servidor SQL Server (versión 16.0.1000). El implante crea una tarea programada llamada «SystemUpdate» y, en Linux, añade una entrada @reboot al crontab o una línea al ~/.bashrc. Las comunicaciones usan un certificado TLS auto‑firmado generado en memoria y el encabezado HTTP X‑Implant‑Token, único por servidor. Los comandos se envían codificados en Base64 y se ejecutan mediante PowerShell, con movimiento lateral vía SMB, WMI y herramientas del Impacket toolkit.

Kaspersky recomienda crear reglas de detección que busquen el certificado TLS auto‑firmado, el encabezado X‑Implant‑Token y la tarea «SystemUpdate», así como la ejecución de PowerShell codificado en Base64. Se sugiere habilitar la monitorización de procesos y de creación de tareas programadas, y aplicar las firmas de detección de Kaspersky en sus soluciones EDR/SIEM.

Qué significa para una pyme colombiana y cucuteña: Revise esta semana los registros de PowerShell y de tareas programadas en busca de la tarea "SystemUpdate" y del encabezado X‑Implant‑Token; active en su EDR la detección de comandos codificados en Base64 y de certificados TLS auto‑firmados; implemente las reglas de detección de Kaspersky para bloquear agentes que usen este patrón y reduzca la superficie de ataque en sus sistemas.