WithSecure documentó el primer caso forense de un grupo de amenazas usando IA comercial en todas las fases de la kill chain. El grupo se llama GREYVIBE. Alineado con Rusia, activo contra Ucrania desde agosto de 2025. Y lo que hace diferente este caso no es la presencia de IA, es el hecho de que la IA no es experimental, es operacional. ChatGPT, Gemini e Ideogram integrados en cada fase del ataque.
La kill chain generada por IA
Según WithSecure, cada fase de la operación de GREYVIBE carga la firma de IA comercial. Los lures visuales fueron generados por Ideogram, las campañas PrincessClub y PhantomClick usaron imágenes sintéticas con marcas de agua de LLM identificables. El contenido de phishing en ucraniano fue producido por ChatGPT y Gemini. Los scripts de ofuscación, LOOKVALPS, LOOKVALJS, DAYLIGHT y TEASOUP, fueron desarrollados con asistencia de IA.
El malware central, LegionRelay, es un RAT en PowerShell que WithSecure evaluó como "sustancial o íntegramente desarrollado con asistencia de una IA de codificación". El backend C2, los comandos de poscompromiso y el tooling de infraestructura: todo generado por IA. No es un grupo que usa IA para escribir mejores correos electrónicos. Es un grupo que usa IA para construir toda la cadena ofensiva.
Según CiphersSecurity, en su análisis del informe de WithSecure, este es "el primer caso forense documentado de lures generados por IA y malware codificado por IA en el pipeline operativo activo de un único clúster de amenazas". Antes, los informes dependían del monitoreo de prompts. Aquí, los artefactos están en el código y en las imágenes.
Cinco campañas simultáneas, un modelo operacional
Según WithSecure, GREYVIBE operó cinco campañas simultáneas contra objetivos ucranianos y europeos:
- PhantomMail: spear-phishing vía Google Drive y 4sync, dirigido a militares y funcionarios gubernamentales
- PhantomClick: técnica ClickFix con CAPTCHA falso para llevar a las víctimas a ejecutar código malicioso
- PrincessClub: sitios falsos de clubes de adultos con streaming WebRTC en vivo como cebo
- DroneLink: sitios falsos de beneficencia militar que solicitan donaciones de drones FPV, explotando el esfuerzo de guerra ucraniano
- Nebo: imitación del inicio de sesión militar ruso para engañar a militares ucranianos y capturar credenciales
Los objetivos se concentran en militares ucranianos en la región de Járkov, pero también incluyen gobierno, energía, telecomunicaciones y servicios de emergencia. Organizaciones europeas también fueron afectadas. La diversidad de vectores, spear-phishing, ingeniería social, cebos temáticos de guerra, robo de credenciales, es inusual para un grupo que WithSecure clasifica como de sofisticación baja a moderada.
La ironía defensiva: la IA que habilitó también traicionó
LegionRelay, generado por IA, tenía fallas de diseño que dieron a WithSecure meses de visibilidad sobre las operaciones del grupo. El código generado por IA sin revisión humana introdujo imperfecciones explotables. Las marcas de agua de LLM en las imágenes de phishing proporcionaron prueba forense directa. Los patrones de código generado por IA en el malware dieron visibilidad sostenida a los defensores.
WithSecure documentó fallas de OpSec significativas: envío de artefactos de desarrollo a plataformas de análisis de malware antes de la operación, mineros de criptomonedas en máquinas de víctimas (posible motivación financiera paralela), nombres de artefactos con jerga de internet como "letsrollboyos", "totallyunsus" y "cuteuwu". Esto es ambición operacional con técnica aficionada: un grupo que logra sostener 5 campañas simultáneas pero no logra limpiar sus rastros digitales.
El significado es claro: la IA que bajó el piso de entrada también bajó el techo de OpSec. Un grupo de baja sofisticación produjo un resultado que no podría sin IA, pero las mismas herramientas que ampliaron su capacidad también dejaron firmas identificables por la defensa.
Qué significa esto para la defensa cibernética
Según WithSecure, la IA no hace que los buenos atacantes sean más rápidos. Hace que los atacantes mediocres sean peligrosos. Un grupo clasificado como de sofisticación baja a moderada sostuvo 5 campañas simultáneas con malware personalizado para Windows, Android y web. Ese es el resultado que antes exigía una APT con recursos significativos.
Pero la misma dinámica que democratizó el ataque también creó vulnerabilidades explotables. Las marcas de agua de LLM son identificables. Los patrones de código generado por IA son detectables. Las fallas de OpSec son más visibles cuando el atacante escala más allá de su capacidad nativa.
En Tech86 incorporamos esa lógica en nuestro EDR administrado: no buscamos solo firmas conocidas, sino patrones conductuales que indican código generado por IA, anomalías de OpSec y actividad que escala más allá de la sofisticación esperada del atacante. Cuando el piso de entrada baja, la detección conductual se convierte en la línea de defensa más importante, y las fallas que la IA introduce en el código del atacante son exactamente lo que nuestro monitoreo explota.