Los hackers siempre están buscando formas de hacer sus ataques más rápidos y efectivos, y la inteligencia artificial les está dando justo lo que necesitan. Según el Grupo de Inteligencia de Amenazas de Google (GTIG), varios grupos de amenazas persistentes avanzadas (APT), algunos vinculados a gobiernos, han estado experimentando con Gemini AI. Sin embargo, en lugar de usarla para lanzar ataques con IA sofisticada, por ahora la están aprovechando principalmente para aumentar su productividad y hacer investigaciones sobre posibles objetivos e infraestructuras vulnerables.
Eso no significa que la situación sea menos preocupante. Los actores maliciosos llevan tiempo probando herramientas de IA para mejorar sus tácticas, y aunque los resultados varían, está claro que la tecnología les está acortando el tiempo de preparación de sus ataques. Google ya ha detectado cómo los ciberdelincuentes usan Gemini AI para optimizar su trabajo, hacer phishing más convincente y analizar redes en busca de puntos débiles.
Antes, ejecutar un ciberataque requería conocimientos avanzados y mucha paciencia. Ahora, con la IA de su lado, los atacantes pueden hacer en minutos lo que antes tomaba días o semanas. La pregunta es clara: ¿estamos preparados para esta nueva generación de amenazas?
Hackers de Irán y China Usan Gemini AI para Mejorar sus Ataques
Google ha detectado que hackers de más de 20 países están usando Gemini AI para sus operaciones, pero los casos más llamativos vienen de Irán y China.
¿Para qué la están usando? Principalmente para hacer su trabajo más fácil y rápido. La IA les ayuda con tareas como escribir código para herramientas y scripts, investigar vulnerabilidades conocidas, traducir y entender tecnologías específicas, y recopilar información sobre sus objetivos. Pero eso no es todo: también la usan para buscar formas de evadir la detección, escalar privilegios y moverse dentro de una red una vez que logran entrar. Básicamente, Gemini se ha convertido en un asistente de productividad para los hackers, ayudándolos a preparar ataques con menos esfuerzo y en menos tiempo.
Podría interesarte leer: Identificación de Amenazas Persistentes con Wazuh: APT
¿Cómo los Grupos de APTs usan Gemini AI?
Google ha detectado que grupos de hackers respaldados por los gobiernos de Irán, China, Corea del Norte y Rusia han estado probando Gemini AI para ver cómo puede ayudarles en sus ataques. Aunque su uso varía según el país, el objetivo es el mismo: descubrir brechas de seguridad, evadir la detección y planificar sus próximos movimientos dentro de redes comprometidas.
Irán: los más activos en el uso de Gemini
Los hackers iraníes han sido los que más han experimentado con Gemini, usándolo para todo tipo de actividades, desde investigar vulnerabilidades hasta diseñar ataques de phishing. También lo han aprovechado para:
- Recolectar información sobre organizaciones de defensa y expertos en seguridad.
- Traducir y entender documentos técnicos sobre ciberseguridad y tecnología militar.
- Crear contenido para operaciones de influencia, como desinformación o propaganda.
- Analizar sistemas de defensa y drones militares, buscando posibles puntos débiles.
China: enfoque en espionaje y ataques contra EE. UU.
Los hackers chinos han utilizado Gemini principalmente para investigar organizaciones militares y gubernamentales en EE. UU. y fortalecer sus ataques. Sus actividades incluyen:
- Buscar vulnerabilidades en sistemas críticos.
- Crear scripts para moverse dentro de redes comprometidas y escalar privilegios.
- Investigar cómo evadir la detección y mantenerse dentro de las redes por más tiempo.
- Intentar acceder a Microsoft Exchange usando hashes de contraseñas.
- Analizar herramientas de seguridad como Carbon Black EDR para encontrar debilidades.
Corea del Norte: usando Gemini para infiltrarse en empresas occidentales
Los hackers norcoreanos han usado Gemini en varias etapas de sus ataques, incluyendo la investigación de empresas y el desarrollo de malware. Pero lo más llamativo es que lo han usado para suplantar identidades y conseguir empleo en empresas occidentales. Entre sus actividades destacan:
- Buscar proveedores de hosting gratuito para alojar contenido malicioso.
- Realizar reconocimiento sobre empresas objetivo.
- Mejorar su malware y técnicas de evasión.
- Redactar solicitudes de empleo, cartas de presentación y propuestas para infiltrarse en compañías occidentales bajo identidades falsas.
Rusia: uso limitado, pero enfocado en malware
Los grupos rusos han sido los que menos han experimentado con Gemini, posiblemente porque prefieren usar modelos de IA desarrollados dentro de Rusia o evitan plataformas occidentales por seguridad. Sin embargo, han utilizado Gemini para:
- Escribir scripts y mejorar cargas maliciosas.
- Reescribir malware existente en otros lenguajes de programación.
- Agregar cifrado a su código malicioso para hacerlo más difícil de detectar.
- Comprender el funcionamiento de malware público para adaptarlo a sus ataques.
Hackers intentaron "hacer jailbreak" a Gemini (sin éxito)
Google también ha detectado intentos de burlar las restricciones de Gemini para obtener información más peligrosa. Algunos hackers han tratado de engañar a la IA reformulando sus preguntas, pero, según Google, estos intentos no han funcionado.
Conoce más sobre: Descubre las 5 Estafas más Avanzadas con IA que Debes Evitar
Modelos de IA con Poca Seguridad: Un Riesgo en Manos de Hackers
OpenAI ya había advertido sobre esto en octubre de 2024, y ahora el informe de Google lo confirma: los hackers están aprovechando la IA generativa a gran escala para potenciar sus ataques. No importa si son grupos patrocinados por gobiernos o ciberdelincuentes independientes, todos están buscando la manera de sacarle partido a estas herramientas.
Uno de los principales problemas es que, aunque muchas IA tienen medidas de seguridad para evitar el abuso, no todas están bien protegidas. De hecho, cada vez hay más modelos en el mercado con restricciones débiles o fáciles de burlar, y, para empeorar las cosas, estos modelos están ganando popularidad entre los actores maliciosos.
Recientemente, la firma de ciberseguridad KELA reveló que modelos como DeepSeek R1 y Qwen 2.5 de Alibaba tienen medidas de seguridad bastante laxas, lo que los hace vulnerables a ataques de inyección rápida. Esto significa que los hackers pueden engañar fácilmente a la IA para que genere respuestas que los ayuden en sus ataques.
Por si fuera poco, los investigadores demostraron que es posible hacer jailbreak en modelos como DeepSeek R1 y V3 con técnicas bastante simples. En pocas palabras, algunos de estos sistemas de IA son demasiado fáciles de manipular, lo que los convierte en herramientas ideales para quienes buscan explotar su potencial con fines maliciosos.
