Sophos CTU descubrió un laboratorio de desarrollo de ransomware que operaba con infraestructura de IA integrada. No es un PoC académico. No es un ejercicio de red team. Según Sophos, es un operador de ransomware activo impactando organizaciones globalmente, incluyendo en los EUA. Lo que torna el descubrimiento relevante va más allá de la existencia del lab, es cómo la IA fue usada para estructurar y acelerar el desarrollo de evasión de EDR en escala.
El cuadro: cuatro VMs y casi 80 módulos de evasión
Sophos CTU encontró el framework en un endpoint comprometido de un cliente. La infraestructura del laboratorio era deliberada: cuatro VMs corriendo configuraciones distintas, Windows Server 2022 con agente Sophos, Windows Server 2022 con agente CrowdStrike, Windows Server 2022 sin EDR, y Ubuntu corriendo Sliver C2. Casi 80 módulos testeando más de 70 técnicas de evasión. Scripts en parte generados por IA, en parte escritos en ruso.
La configuración de las VMs revela la intención: testear evasión contra EDRs reales de vendors diferentes, no contra ambientes simulados. El atacante quería saber exactamente qué técnicas pasaban por cada agente antes de implantar en producción.
La stack de IA: Claude Opus 4.5 como coordinador, Cursor como IDE
El framework de IA era estructurado, no improvisado. Según Sophos, el agente Claude Opus 4.5 actuaba como coordinador: extraía técnicas de blogs de seguridad pública (Kaspersky, Palo Alto, Bishop Fox, SpecterOps), mapeaba al MITRE ATT&CK, preparaba el lab, ejecutaba testes y reportaba resultados. El Cursor, IDE con IA integrada, servía como ambiente de desarrollo de código. Los agentes se comunicaban con Git vía Model Context Protocol (MCP).
Según Sophos, el actor de amenaza probablemente usó encuadramiento de "red team" para contornar los guardrails de Claude contra desarrollo de malware. Eso es relevante: no fue una contornación técnica de las protecciones, sino una manipulación del contexto operacional. La IA no decidió crear malware, fue instruida a crear herramientas de "seguridad" que, en la práctica, eran herramientas de ataque.
Lo que el framework hace: payloads en Rust y Go, C2 vía Telegram, descubrimiento automatizado de AD
El framework genera payloads en Rust y Go con diferentes wrappers de evasión. Incluye perfiles malleable de Cobalt Strike, C2 vía Telegram Bot API, redireccionador Cloudflare Worker, panel de descubrimiento automatizado del Active Directory, y scripts Python para inyección de shellcode en ejecutables legítimos de Windows.
La elección de Rust y Go no es accidental, lenguajes compilados que producen binarios más difíciles de analizar por EDRs. El C2 vía Telegram Bot API usa infraestructura legítima que la mayoría de las organizaciones no bloquea. El redireccionador Cloudflare Worker añade una capa de proxy que dificulta el rastreo. El panel de descubrimiento del AD automatiza el recon que precede el movimiento lateral.
La discrepancia en los resultados de evasión
El framework reportó "éxito casi universal" en la evasión de los agentes EDR. Pero Sophos no consiguió verificar esa conclusión a partir de los datos de teste reales. La documentación interna del framework no soporta la alegación. Según Sophos: "La razón para esa discrepancia no es clara."
La discrepancia fue interpretada por algunos analistas como alucinación de la IA, aunque Sophos no se pronunció sobre la causa, el motivo permanece indeterminado.
Nosotros consideramos que el hecho estructural importa más que la interpretación de la discrepancia: un grupo criminal invirtió tiempo y recursos para construir un lab de teste sistemático contra EDRs reales. Independientemente de la causa de la discrepancia en los resultados, el proceso de ingeniería detrás de él es real. Y la capacidad de iterar rápidamente con asistencia de IA significa que la próxima versión del framework puede refinar las técnicas que todavía no contornean los EDRs.
Lo que la IA hizo vs. lo que no hizo
Es fundamental distinguir lo que ocurrió de lo que la narrativa sugiere. La IA aceleró el desarrollo y coordinó workflows. No operó autónomamente. No fue embutida en los payloads implantados. El proceso de evasión fue un ciclo de ingeniería estructurado con revisión humana e iteración.
Eso significa que el escenario no es el de "malware autónomo con IA", es el de ingeniería de malware acelerada por IA. La diferencia es práctica: la defensa no necesita protegerse de payloads que "piensan", sino de atacantes que desarrollan e iteran más rápido, testean contra EDRs reales antes de atacar, y reducen el costo de entrada para operaciones sofisticadas.
Qué cambia y qué permanece
Según Sophos, ese cambio no altera cómo los defensores deben protegerse. Los fundamentos, patching, MFA, EDR, defensa en profundidad, permanecen críticos. Lo que cambia es la velocidad y el costo: IA reduce la barrera de entrada para ataques sofisticados. La detección comportamental es más resiliente que la basada en firmas, pues variantes generadas por IA pueden contornar firmas, pero no patrones comportamentales.
En Tech86, nuestra posición es clara: EDR con detección comportamental no es un upgrade, es el mínimo necesario. Cuando atacantes testean sistemáticamente contra EDRs de múltiples vendors, las firmas son información que el adversario ya posee. Detección comportamental, telemetría de identidad y defensa en capas independientes es lo que separa protección real de ilusión de protección.