Axyom: La Plataforma del Gobierno de los Ciberriesgos para PyMes

La Gestión de la Seguridad de una empresa - no importa el tamaño que tenga - hay que hacerla por capas. Además, debe ser un proceso incremental donde el Plan Director va haciendo que el nivel de protección de la compañía suba constantemente - o que no se degrade -. Este plan debe incluir mejoras la Protección, en la Detección, y en la Respuesta. El trabajo de un CISO es siempre un trabajo de priorización continua de sus recursos para la gestión de la seguridad de la compañía dentro de un entorno de amenazas cambiantes, con el objetivo de mitigar los Riesgos, o en nuestro caso los Ciberriesgos. 

Figura 1: Axyom: La Plataforma del Gobierno de los Ciberriesgos para PyMes

Para eso, hay que hacer un Plan de Gestión de Riegos que es la estrella del norte de esta gestión, y que marca la evolución del Sistema de Gestión de la Seguridad de la empresa. Dentro de ese Plan de Gestión de Ciberriesgos, hay que hacer un trabaja constante para Identificarlos, Evaluarlos y Tratarlos, después elegir un Responsable de cada uno de ellos y Monitorizar la evolución en indicadores de cada uno de ellos. Algo muy básico para los que llevan la Ciberseguridad de una empresa hace tiempo, donde tienes que añadir el Cumplimiento Normativo. Es el trabajo y la responsabilidad de los CISOs, y por eso es un C-level y suele estar bien remunerado.

Figura 2: CISOs y herramientas de Ciberseguridad

Por desgracia, ni todas las empresas pueden permitirse tener CISOs, ni todas las empresas tienen los recursos necesarios para tener un Plan Director de Giberseguridad ambicioso, o un Sistema de Gestión de CiberRiesgos de gran alcance. No obstante, hay que hacerlo, porque si no les hace vulnerables - por desgracia, porque además dentro de esas fases en la gestión del ciberriesgo hay que hacer muchas tareas. 

Figura 3: Axyom: La Plataforma del Gobierno de los Ciberriesgos para PyMes

Con el objetivo de automatizar y ayudar a realizar todas estas tareas fundamental en la gestión de ciberriesgos, es en lo que Óscar Calvo Moldes y Marc Torrents llevan trabajando toda su vida profesional, y para lo que han fundado la empresa Axyom.

Figura 4: Axyom integra en una plataforma el Gobiernos de la Ciberseguridad completo

La misión de Axyom es lograr que cualquier empresa pequeña o mediana, pueda tener una plataforma para Gobernar la Ciberseguridad y  Gestionar sus CiberRiesgos de manera automatizada, con escaneos de ciberseguridad externos e internos, con la gestión de los elementos de seguridad, y permitiendo que cualquiera se pueda proteger de esos Ciberriesgos con un Ciberseguro, algo que, a pesar de ser fundamental en los plantes de seguridad de autónomos, PyMes y empresas en general, sigue siendo el debe de muchos planes de gestión de la ciberseguridad de la empresa.

Figura 5: Gestión de Riesgos asociados a impacto en costes

Como sabéis, yo soy socio de IronGate, donde nos focalizamos en dar un Security Operations Center para autónomos y PyMes, donde gestionamos sus EDR y MDR de manera constante. Ahora, IronGate y Axyom han llegado a un acuerdo de colaboración, así entre ambas empresas se expanden las capacidades de una PyME en seguridad con un coste muy adaptado a ellas, pero permitiéndoles que tengan un Plan de Gestión de Ciberriesgos, un SOC para gestión de su EDR y MDR, además de poder contratar sus Ciberseguros directamente desde la plataforma de Axyom.

Figura 6: El SOC de IronGate com MDR en Axyom

Para que pruebes el servicio, el equipo de Axyom, permite durante un tiempo limitado, hacer un escaneo de los Ciberriesgos de tu PyMe, con solo autenticarte con una cuenta del dominio de tu organización. Así, puedes ir a la web, hacer un análisis de Cbierriesgos de tu empresa - te sorprenderá la información si no lo has hecho nunca - y saber qué medidas mitigadoras puedes tomar para gestionar y controlar ese ciberriesgo.

Figura 7: Escanea gratis tus Ciberriesgos con Axyom

En el siguiente vídeo tienes una explicación detallada de cómo funciona la plataforma de Axyom. En sólo tres minutos puedes ver claramente las ventajas de Gobernar la Seguridad de una empresa desde una plataforma como esta, que permite Gestionar un mapa de Ciberriesgos con visión completa.

Figura 8: Explicación del funcionamiento de Axyom

La seguridad de tu organización es algo tan importante como la salud personal. Todos tenemos claro que cuando estamos enfermos lo primero es la salud. Los más inteligentes cuidan su salud constantemente. En el mundo de la empresa, todos tenemos claro que cuando hay un incidente de seguridad en la empresa, eso es lo más importante. Los más inteligentes cuidan su seguridad con un Plan de Gestión de Riegos, y un Gobierno de la Ciberseguridad constante. 

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

HP Wolf Security Threat Insights Report: Septiembre 2026

Hoy os voy a hablar del HP Wolf Security Threat Insights Report: Septiembre 2026 que pude leer ayer en un rato. No es un documento muy largo, ya que se centra en los Ingishts, pero me han llamado la atención algunas de las estratégicas que los malos utilizan para engañar a los usuarios, y por esto he querido dedicarle este artículo rápido, para que lo tengáis en la cabeza.

Figura 1: HP Wolf Security Threat Insights Report.

Septiembre 2026

Dentro de las técnicas que hay para cometer una ciberestafa a los usuarios con criptomonedas hay una que me ha hecho mucha gracia, porque lo que hacen es promocionar un Agente AI para gestionar tus estrategias de inversión.

Figura 2: Un Agente AI para gestionar tus criptomonedas

La gracia es que la única estrategia de inversión que tiene ese Agente AI es la de matar las extensiones de las wallets cripto que tengas en tu navegador instaladas, y reemplazarlas por unas extensiones maliciosas.

Figura 3: Busca tus wallets en extensiones de Google Chrome

... para matarlas y reemplazarlas.

Estas nuevas extensiones pretenden ser tus wallets, con el login perfecto para que pongas tus contraseñas, y luego, una vez puestas, pues ya sabes donde van a ir tus criptomonedas. Seguro que no es la estrategia de inversión que tú querías, pero sí la que ellos querían.

Figura 4: Te pone unas nuevas wallets para que le des tus claves

Me ha parecido curioso esto de tener un Agente AI para gestionar tus inversiones, pero que realmente sea para gestionar las suyas. Hay que reconocer que los tipos que se dedican al in-noble negocio de la ciberestafa son cada vez más ingeniosos.

Figura 5: "Ciberestafas: La historia de nunca acabar" (2ª Edición).por Juan Carlos Galindo en 0xWord.

El informe trae otra serie de trucos, pero he seleccionado estos que me han parecido muy chulos. Éste en concreto es una supuesta versión de Microsoft Office Word en Ruso, que tiene hasta su asistente de instalación perfectamente creado.

Figura 6: Un Microsoft Word en Ruso que es malware

Lógicamente, una vez que lo instalas, lo que te has comido es un malware que controla tu máquina, que lleva una bonita RAT incluida dentro de la instalación, como manda la ley de los ciberstafadores. También me ha gustado este que utiliza documentos PDF con QRCodes para hacer Phishing a dispositivos móviles.

Figura 7: QRCodes en PDFs que son phishing

No es nueva, pero sí me llama la atención lo sencillo que es. Genera PDFs, publícalos en todo repositorio que puedas, envíalo por email utilizando un Agente AI, y seguro que un porcentaje de los que lo reciban acabarán escaneando el QRDCode. No me cabe la menor duda de eso. Y con esta forma hacen más difícil la detección del malware...

Figura 8: El QRCode lleva a un Phishing de One Drive

Otro que también me llama la atención, por estar hecho en Español, es un malware de macros de Excel que instala una RAT. Un viejo truco de hace ya muchos años, que sigue funcionando, por lo que podemos ver en el mundo de los ciberestafadores.

Figura 9: Malware en Macros de Excel en Español

Cuánto me ha recordado a la charla que di con el gran Juanito Silverhack de "Bosses Love Excel, Hackers Too", puedes verla si no la has visto, sigue siendo muy chula de ver.

Figura 10 : Bosses love Excel, Hackers Too

Está claro que la inventiva no va a parar, porque sigue dando pingües beneficios a los ciberestafadores, así que hay que tener todas las defensas activas, y no relajarse nunca, que cuando menos te lo esperas te han colado una RAT.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

MyThreatIntel: Plataforma de Threat Intelligence desde la experiencia en DFIR y Respuesta a Incidentes

La inteligencia sobre amenazas se ha convertido en una pieza fundamental dentro de la ciberseguridad moderna. Sin embargo, el principal problema al que se enfrentan hoy los analistas no es la falta de información. Ocurre, de hecho, todo lo contrario: existen demasiadas fuentes, demasiados datos y demasiados contextos dispersos.

Figura 1: MyThreatIntel - Plataforma de Threat Intelligence desde

la experiencia en DFIR y Respuesta a Incidentes

Durante una investigación real, ya sea en un entorno SOC, en un servicio de DFIR, en tareas de Threat Hunting o en un proceso de Cyber Threat Intelligence, el analista necesita responder con rapidez a preguntas muy concretas: qué actor está detrás de una campaña, qué infraestructura mantiene activa, si una organización ya ha sido publicada en un portal de ransomware, si la extorsión sigue en negociación, si ya ha habido filtración, qué vulnerabilidades se están publicando, qué indicadores se conocen o qué artefactos de malware estánrelacionados.

Figura 2: Open Source INTelligence (OSINT): Investigar personas e Identidades en Internet 2ª Edición de 0xWord, escrito por Vicente Aguilera y Carlos Seisdedos

El problema es que esa información rara vez se encuentra en un único lugar. Normalmente está repartida entre Data Leak Sites, bases de datos de vulnerabilidades, repositorios de IoCs, servicios Onion, mercados de la Darknet, fuentes OSINT, catálogos de malware y repositorios de filtraciones. El resultado es un coste operativo claro: una parte muy importante del tiempo no se dedica a analizar, sino a buscar, ordenar y contextualizar. De esa necesidad nace MyThreatIntel, una plataforma pensada para reducir esa fricción y ayudar a que la inteligencia llegue al analista de una manera más estructurada, más rápida y más útil.

Una plataforma orientada al contexto

MyThreatIntel no se diseñó como un simple agregador de datos ni como un panel más de ciberseguridad. La idea era más ambiciosa: construir una plataforma capaz de obtener información desde fuentes heterogéneas, normalizarla, enriquecerla y ponerla en contexto. Fue precisamente esa necesidad operativa la que nos llevó a Javier Martí Sanz y a mí - Manuel Martínez Casasola -  a desarrollar MyThreatIntel. Tras trabajar en investigaciones forenses, respuesta a incidentes y servicios de inteligencia, la conclusión era clara: los datos existían, pero el esfuerzo necesario para convertirlos en conocimiento útil seguía siendo demasiado alto.

Figura 3: Contactar con Javier Marti Sanz

Actualmente, MyThreatIntel es una herramienta de Secure&IT, desarrollada para reforzar sus capacidades de Cyber Threat Intelligence y servir de apoyo en tareas de monitorización, análisis, investigación y respuesta ante incidentes. La plataforma permite centralizar y relacionar información que, de otro modo, tendría que localizarse y analizarse de forma independiente en múltiples fuentes.

Por eso, el valor de MyThreatIntel no reside únicamente en centralizar información, sino en relacionarla. Una víctima publicada por un grupo de ransomware puede vincularse con el actor responsable, su infraestructura Onion, el estado de la negociación, las filtraciones asociadas, posibles IoCs relacionados y, en determinados escenarios, incluso con las vulnerabilidades o artefactos de malware observados en una campaña.

Ese enfoque convierte la plataforma en algo más que una colección de secciones independientes: la convierte en un entorno de trabajo orientado a la investigación y al contexto.

Ransomware: visibilidad directa del ecosistema de extorsión

Uno de los pilares de la plataforma es la monitorización continua del ecosistema ransomware. MyThreatIntel sigue de forma directa los portales utilizados por los actores para publicar nuevas víctimas, manteniendo un histórico de actividad que permite observar tendencias, distribución geográfica, sectores afectados y volumen por actor.

Figura 4: Dashboard de ransomware con víctimas registradas,

distribución geográfica y actividad por actor.

Esto no solo facilita saber quién está publicando más víctimas en un momento dado, sino también analizar la evolución de los grupos y entender mejor el comportamiento del ecosistema criminal. Tener esa visión agregada, pero también aterrizada en cada incidente, aporta un enorme valor para analistas CTI, equipos CSIRT y servicios de respuesta a incidentes.

Figura 5: Registro de incidentes en crudo, con filtrado

por fechas, países, actores y sectores.

Además, la plataforma permite consultar el “registro en crudo” de incidentes, filtrando por fechas, países, actores o sectores. Ese enfoque combina visualización ejecutiva y detalle técnico, algo especialmente útil cuando se necesita pasar rápidamente de una visión global a un caso concreto.

Negociaciones: seguir la extorsión más allá de la publicación

Si hay una capacidad especialmente diferencial dentro de MyThreatIntel, esa es la monitorización de negociaciones. La mayoría de soluciones se detienen en la publicación de la víctima dentro del Data Leak Site. Sin embargo, desde el punto de vista de la investigación, ese suele ser solo el comienzo de la historia. A partir de ahí empieza una fase crítica: el proceso de extorsión.

MyThreatIntel monitoriza directamente, desde los portales de los propios actores, el estado de esas negociaciones: si siguen activas, si ha habido filtración parcial o completa, si la víctima ha desaparecido del portal o si existen indicios públicos de que el rescate ha sido abonado. Esta capacidad aporta una visibilidad muy poco habitual y permite entender mejor el ciclo completo de una operación de ransomware.

Figura 6: Sección de Negociaciones (Beta), con distribución

por actor, eventos monitorizados y pagos detectados.

Más allá del interés analítico, este seguimiento tiene un valor operativo evidente. Permite estudiar el comportamiento real de los actores, comparar patrones entre grupos y observar cómo evolucionan las extorsiones en el tiempo.

Vulnerabilidades: monitorización continua desde fuentes oficiales

La inteligencia sobre amenazas no se limita a seguir actores o incidentes activos. También requiere una vigilancia constante sobre la exposición técnica del ecosistema. Por ello, MyThreatIntel incorpora una sección de vulnerabilidades alimentada a partir de fuentes oficiales como NIST y CVE.org. 

Figura 7: Dashboard de vulnerabilidades, con severidad, fabricantes y frecuencia de detección.

La plataforma permite consultar CVEs descubiertas, severidad, fabricantes, vectores de ataque y metadatos asociados, facilitando tanto la revisión rápida de nuevas publicaciones como la exportación de resultados para otros flujos de trabajo.

Figura 8: Vista detallada de CVEs individuales con descripción, vector y puntuación CVSS.

 

La utilidad aquí no está solo en mostrar una lista de CVEs, sino en integrarlas dentro de un entorno de investigación más amplio. La vulnerabilidad deja de ser un identificador aislado y pasa a formar parte del contexto que rodea una amenaza o una investigación concreta.

Indicadores de Compromiso: del dato técnico a la utilidad operativa

Los IoCs siguen siendo una pieza esencial en investigación, detección y respuesta. MyThreatIntel incorpora un repositorio de indicadores con clasificación por tipo, criticidad y telemetría, permitiendo realizar búsquedas, filtros y exportación de resultados.

Figura 9: Dashboard de IoCs con volumen total, criticidad y distribución por tipo.

Aquí el objetivo no es solo acumular artefactos, sino facilitar su consumo real por parte del analista. Hashes, dominios, archivos y otros indicadores aparecen organizados de forma que puedan emplearse con rapidez durante una investigación o integrarse en tareas de detección.

Figura 10: Telemetría de indicadores, con fichas detalladas por artefacto.

Este enfoque resulta especialmente útil cuando el volumen de datos es alto y el analista necesita reducir ruido para centrarse en aquello que tiene mayor relevancia operativa.

Darknet & Markets: seguir la infraestructura donde operan los actores

MyThreatIntel también incorpora una capa específica para la vigilancia de servicios Onion y mercados de la Darknet. Este componente permite observar qué servicios continúan activos, cuáles han caído, qué mercados siguen operando y cómo evoluciona su infraestructura con el tiempo.

Figura 11: Vista global de Darknet & Markets, con servicios Onion,

mercados activos y distribución por grupos.

No se trata únicamente de listar URLs. El valor real está en mantener un histórico de disponibilidad, relaciones con actores y capturas o notas asociadas. En entornos donde la infraestructura cambia rápidamente, esa trazabilidad resulta especialmente valiosa.

Figura 12: Detalle de mercados Darknet, mostrando estado operativo y URLs monitorizadas.

De esta forma, la plataforma aporta una visión mucho más estable sobre un ecosistema que, por naturaleza, es altamente volátil.

Figura 13: Detalle de servicios Onion asociados a actores, con enlaces activos y caídos.

Filtraciones y grupos: conocimiento estructurado sobre el adversario

El repositorio de filtraciones añade una perspectiva distinta: la exposición histórica de organizaciones. Los registros pueden buscarse por nombre, fecha o tamaño, lo que ayuda a comprobar si una entidad, dominio o conjunto de datos ya apareció en una filtración conocida. Este componente puede utilizarse tanto en investigaciones de terceros como en análisis de exposición, procesos de ciberinteligencia y respuesta a incidentes. La información deja de estar distribuida entre referencias aisladas y pasa a formar parte de un catálogo consultable desde el mismo entorno.

Figura 14: Repositorio de filtraciones y catálogo histórico.

La sección Grupos funciona como una base de conocimiento sobre actores de amenazas. Incluye descripciones, aliases, infraestructura Onion, capturas y notas, permitiendo contextualizar rápidamente a un grupo sin depender de búsquedas dispersas.

Figura 15 Inteligencia de amenazas: fichas de grupos,

enlaces Onion y documentación asociada.

La relación entre actores, víctimas, portales, notas de rescate e infraestructura es uno de los puntos donde MyThreatIntel deja de comportarse como un agregador y empieza a funcionar como una herramienta de investigación. Al analizar una víctima, el investigador puede acceder al contexto del actor, revisar sus canales e infraestructura y observar su actividad documentada desde una única interfaz.

Malware y artefactos técnicos

El repositorio de malware reúne muestras con sus hashes, nombre, firma, tamaño, tipo y etiquetas técnicas. Esta clasificación permite localizar artefactos por familia o característica y relacionarlos con los indicadores utilizados durante una investigación.

Figura 16: Repositorio de muestras de malware, hashes, firmas y etiquetas.

El apoyo de MITRE ATT&CK aporta contexto sobre técnicas, tácticas y comportamientos, especialmente cuando una muestra forma parte de una cadena de intrusión más amplia. De este modo, el repositorio no actúa únicamente como almacén de archivos, sino como fuente de apoyo para análisis de malware, Threat Hunting y construcción de hipótesis durante una investigación.

Permutaciones DNS para investigar suplantaciones

La consulta DNS amplía la plataforma hacia la detección de typosquatting, phishing e infraestructura sospechosa. A partir de un dominio, el motor genera permutaciones y comprueba su registro utilizando diferentes TLD y palabras clave asociadas a accesos corporativos, identidad, Microsoft 365, VPN, correo, servicios cloud o soporte técnico.

Figura 17: Consulta de permutaciones DNS, TLD, palabras clave y dominios registrados.

El resultado permite distinguir entre dominios generados y registrados, revisar fechas de creación, aplicar filtros y exportar el análisis. Integrar esta capacidad dentro de MyThreatIntel facilita conectar una posible suplantación con el resto del contexto disponible, en lugar de tratarla como una consulta independiente.

Consumo mediante Web y API

La interfaz web está orientada a la investigación manual, pero la inteligencia también debe poder salir de la plataforma. MyThreatIntel dispone de una API con autenticación mediante Bearer Token, respuestas JSON estandarizadas, búsqueda de texto y filtrado por fuentes y categorías. Esto permite consumir vulnerabilidades, IoCs, muestras de malware, víctimas de ransomware, infraestructura Tor, mercados, grupos, negociaciones y filtraciones desde plataformas SIEM, herramientas SOAR, scripts o automatizaciones desarrolladas en PowerShell, Python, JavaScript y otros lenguajes.

MyThreatIntel puede utilizarse directamente desde https://mythreatintel.secureit.es/, donde centraliza toda esta información en una única interfaz. Además, como la plataforma dispone de API, lo que permite integrarla en flujos de trabajo, herramientas SIEM y SOAR, scripts de investigación o procesos de automatización propios. Este punto es importante porque la inteligencia no siempre termina en el panel. En muchos casos, su verdadero valor aparece cuando puede integrarse en otros procesos de seguridad y respuesta.

Conclusión

MyThreatIntel no nace para sustituir fuentes, sino para darles sentido conjunto. En un escenario donde la información está cada vez más fragmentada, el verdadero reto no consiste en recopilar más datos, sino en reducir el tiempo necesario para convertirlos en contexto útil. Ransomware, negociaciones, vulnerabilidades, IoCs, Darknet, filtraciones, grupos, malware y DNS no son piezas aisladas. En una investigación real suelen formar parte de una misma historia. La utilidad de MyThreatIntel está precisamente en ayudar a contar esa historia con menos fricción, más contexto y una mejor capacidad de respuesta.

Saludos,

Autor: Manuel Martínez, founder de The Hackers Lab

Contactar con Manuel Martínez

¿Cómo solucionas las vulnerabilidades del software de tu PYME? Haz un diagnóstico gratuito con ironGate CyberSecurity

Cuando hablamos con responsables de PYMEs sobre ciberseguridad, casi todos me dicen lo mismo: "tenemos antivirus" o incluso "tenemos un EDR". Y me alegra escucharlo, porque hace unos años eso ni se planteaba. Pero cuando rascas un poco más y preguntas "¿y las vulnerabilidades de tus equipos, quién las cierra?", la respuesta casi siempre es un silencio.

Figura 1: ¿Cómo solucionas las vulnerabilidades del software de tu PYME?

Haz un diagnóstico gratuito con ironGate CyberSecurity

Y ahí está el problema. La inmensa mayoría de los incidentes que se producen en pequeñas empresas no nacen de un ataque sofisticado ni de un 0-day exótico. Nacen de una vulnerabilidad conocida, publicada, con parche disponible desde hace semanas o meses, que sencillamente nadie ha instalado. Un sistema operativo sin actualizar, una versión de un software ofimático con un CVE crítico por el que se te va a colar un ransomware, un firmware que lleva dos años igual con un bug que permite ejecución de código remoto, etcétera. La puerta estaba ahí, abierta, y nadie la cerró

Figura 2: "Ciberestafas: La historia de nunca acabar" (2ª Edición).por Juan Carlos Galindo en 0xWord.

Esto, con el nuevo Crimeware que usan los cibercriminales empoderados con Agentes de IA para encontrar las vulnerabilidades de las empresas, hacen que muchas empresas se estén convirtiendo en carne de cañón, y estemos viendo un repuntar de ataques e infecciones en las empresas con menos madurez en la gestión de seguridad.

Escanear no es lo mismo que remediar

Aquí es donde muchas soluciones de seguridad se quedan a medias. Hacen un escaneo de vulnerabilidades, generan un informe en PDF con una lista de CVEs ordenados por gravedad… y ahí termina el servicio. El informe se queda en una bandeja de entrada, y la responsabilidad de parchear, priorizar y comprobar que el cambio no rompe nada, recae sobre un departamento de IT que, en una PYME, normalmente no existe, o es una sola persona con otras cien cosas que hacer.

Figura 3: Gestión de parches y vulnerabilidades en ironGate Cybersecurity

Ese hueco entre "sabemos que hay un problema" y "el problema está resuelto" es exactamente donde se cuelan la mayoría de los atacantes. En ironGate Cybersecurity no nos quedamos en el informe: Remediamos vulnerabilidad a vulnerabilidad, hasta dejar el equipo a cero.

Figura 4: ironGate Cybersecurity - Security Operations Center (SOC)

para PyMes, Autónomos y Particulares

Esto es algo que en IronGate Cybersecurity hacemos de forma distinta a lo que he visto en el mercado: cuando detectamos las vulnerabilidades de un equipo, no nos limitamos a generar un aviso. Nos ponemos en contacto con el cliente y empezamos a remediar, vulnerabilidad a vulnerabilidad, hasta que ese equipo se queda completamente a cero. No es un informe que alguien tiene que interpretar y ejecutar por su cuenta: es un trabajo de remediación activa, dispositivo por dispositivo, dentro del mismo servicio de MDR que ya vigila esos equipos 24x7.

El tiempo para explotar una vulnerabilidad cada vez es más corto

Con la llegada de modelos de IA cada vez más capaces —no es necesario que sea Mythos, que está generando preocupación en la banca a nivel mundial, porque cualquiera de los que uttilizan los ciberscriminales son un buen ejemplo de ello— el tiempo que pasa entre que se publica una vulnerabilidad y que alguien la explota de forma automatizada se ha reducido muchísimo. 

Figura 5: Gestión de seguridad profesional para PYMEs

Ya no hablamos de semanas de margen. A veces son horas, por eso estamos viendo un aumento de las demandas en nuestros servicios de Gestión de Seguridad. Dejar una vulnerabilidad sin cerrar durante meses, en este contexto, es jugar con fuego.

Por dónde empezar

Si no sabes cuántas vulnerabilidades tiene tu empresa ahora mismo, en ironGate Cybersecurity ofrecemos un Diagnóstico de Seguridad Gratuito que te dice exactamente eso: Qué vulnerabilidades tienen tus equipos y qué riesgo suponen. A partir de ahí, nosotros nos encargamos de cerrarlas, una por una.

Figura 6: Haz un diagnóstico gratuito con ironGate CyberSecurity

Cerrar una vulnerabilidad cuesta minutos. Recuperarte de que alguien la haya explotado, cuesta mucho más —en dinero, en tiempo y en disgustos—. Si tu PYME es tu forma de vida, no dejes la puerta abierta. Además, si luego quieres este servicio, es 100% Financiable con el Kit Digital.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Contactar con Chema Alonso

Virus y Gusanos Informáticos "Powered with LLMs" infectando redes

Hoy os iba a hablar de otra cosa, pero saqué ayer una hora tonta después de comer mientras esperaba para una reunión, y decidí leerme este paper que tenía marcado en mi RSS para lectura, y me ha gustado tanto que os he hecho este artículo. El trabajo de investigación está centrado en lo que os pongo en el título, que no es más que tener un Agente IA para crear un Worm que infecte y controle el mayor número de máquinas en una organización.

Figura 1: Virus y Gusanos Informáticos "Powered with LLMs" infectando redes

Al final se trata de mezclar dos cosas, por un lago, un Agente AI que es capaz de hackear una organización completa, como ya vimos en el trabajo de "On the Feasibility of Using LLMs to Execute Multistage Network Attacks" del que os hablé hace tiempo, junto con las capacidades de infectar con un código mutante que cambia y se reescribe para tener un malware controlando una máquina que elude todas las protecciones de seguridad.

Figura 2: AI Agents enable adaptative computer worms

El trabajo, que ha sido publicado la semana pasada habla de Agentes de AI utilizando LLMs para ayudar a las fases de explotación, infección, y replicación, que es la base de cualquier virus de tipo gusano. Es decir, explotar una vulnerabilidad, conseguir ejecutarse en la máquina infectada de manera permanente, y replicarse para infectar otras máquinas. Y para todas esas fases vamos a utilizar un Agente AI soportado por LLMs.

Figura 3: El AI-Driven Worm es el Agente AI que usa LLMs

Como se puede ver en la imagen anterior, el Agente AI utiliza un LLM para tomar sus decisiones - un LLM de pesos abiertos, es decir, modelos OpenSource -, que le da la inteligencia para luego utilizar las herramientas y elegir qué hacer en cada momento. Por supuesto, con Memory para poder avanzar correctamente en el proceso completo.

Figura 4: Hacking & Pentesting con Inteligencia Artificial.

En 0xWord, escrito por Pablo González, Fran Ramírez,

Rafael Troncoso, Javier del Pino y Chema Alonso.

A partir de ese momento, el AI-Worm - que no quiere decir que se una Worm para modelos de AI, sino "Worms Powered by AI" - primero busca explotar una vulnerabilidad en la superficie de la red expuesta desde su situación actual, para luego infectar la máquina vulnerada utilizando técnicas de persistencia y mutación, con el objetivo siguiente de replicarse a otros nuevos objetivos.

Figura 5: Estructura de infección del AI-Worm dentro de una red

Como se puede ver en el gráfico anterior, el AI-Worm instala también los modelos LLMs en aquellas máquinas en las que hay capacidad para hacerlo, crea un cliente de infección en cada máquina y dispositivo infectado, teniendo en cuenta el hardware y el sistema operativo en el que está, pudiendo crear en tiempo real una versión especial para impresoras, dispositivos IoT, o servidores de cualquier sistema operativo.

Figura 6: Replicación del AI-Worm con LLM o con Proxy-LLM

Y, además, para evitar los problemas de segmentación y tráfico, cada uno de los bots hace de nodo de interconexión de mensajes con los que ha replicado cada uno, permitiendo tener un servicio de Proxy encadenado que llevé las necesidades de inteligencia en forma de Prompt que cada agente tenga, hasta un LLM disponible dentro de la red. Precioso.

Figura 7: Porcentaje de éxito en las fases de cada AI-Worm

En el gráfico anterior tenéis los datos de éxito de este proceso en las pruebas experimentales, pero sobre todo es importante ver el ciclo de trabajo. Primero se identifica la vulnerabilidad, para después explotarla, y conseguir replicarse. 

Figura 8:"Hacking IA: Jailbreak, Prompt Injection, Hallucinations & Unalignment"

escrito por Chema Alonso con la colaboración de Pablo González, Fran Ramírez, Amador Aparicio, Manuel S. Lemos y José Palanco en 0xWord

En un escenario de ejemplo, si viéramos estas fases encadenadas, teniendo en cuenta que cada vez que se produce una replicación el AI-Worm comienza otra vez el ciclo para replicarse en una nueva víctima, lo veríamos como se ve en el la siguiente tabla, donde se ve su evolución temporal.

Figura 9: Evolución temporal de las fases en el despliegue del AI-Worm en una red

Viendo esta gráfica, de forma agrupada en todas las pruebas realizadas en todos los escenarios, podemos ver cómo en varias iteraciones (Gen-erations) se consigue la infección completa de los equipos de la red, detectando las vulnerabiliades existentes en todos los equipos de los escenarios.

Figura 10: Agregado de evoluciones de las fases en los escenarios por Generations

Claro, si pensamos en que con la llegada de modelos de IA cada vez más inteligentes, y más hábiles en la búsqueda y explotación de vulnerabilidades conocidas, de 1-Day en base a CVEs, e incluso en la búsqueda de debilidades y 0-Days, como el caso de Mythos, el escenario se pone peligroso. En el siguiente gráfico se puede ver cómo cada equipo se ha ido infectando desde un equipo distinto, como las versiones de los sistemas operativos son diferentes, y cómo las vulnerabilidades explotadas son cada vez diferentes.

Figura 11: Gráfico de evolución del AI-Worm por una red en 6 Generaciones

En cada escenario el AI-Worm va buscando su camino, explotando diferentes vulnerabilidades, pero además adapta cada equipo para tener nuevos objetivos desde ese nuevo equipo infectado. Esto muestra diferentes rutas según las fases de explotación, la velocidad, el tipo de sistema, la vulnerabilidad, etcétera. El gráfico siguiente muestra otra infección de red en un proceso de cinco generaciones.

Figura 12: Otro ejemplo de infección del sistema

Para cada infección, el AI-Worm debe utilizar la inteligencia del Agente AI usando el LLM para crear un proceso que permita realizar las tres fases de cada infección. El siguiente gráfico - haz clic sobre él para hacerlo más grande - permite ver cómo explota una vulnerabilidad en un objetivo.

Figura 13: Ejemplo de una fase completa de infección

Y el último gráfico muestra otra variación de otro escenario, con sistemas operativos, dispositivos, y elementos de la red totalmente diferentes, heterogéneos y con capacidades distintas, que fuerzan al AI-Worm a adaptarse a cada escenario. Espectacular.

Figura 14: Otro escenario. Haz clic en la imagen para ver en grande.

El trabajo este deja claro que con la llegada de la IA, los Virus y Gusanos van a evolucionar a unos "bichos" mucho más adaptados y adaptables a cualquier objetivo. Los Gusanos y Virus centrados en un único código, un único vector de infección, y un único proceso de replicación van a pasar a la historia de la informática como reliquias, con la llegada de estos AI-Worms.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)