Descubren Slopoly, un malware creado con IA empleado por Hive0163 en campañas financieras
Investigadores especializados en ciberdelincuencia han identificado recientemente un nuevo programa malicioso denominado Slopoly, vinculado a un actor de amenazas con motivación económica conocido como Hive0163.
El descubrimiento fue detallado por analistas de seguridad que estudiaron una serie de incidentes recientes relacionados con ransomware y robo masivo de información.
Según los expertos, Slopoly se utiliza principalmente en etapas avanzadas de los ataques, cuando los atacantes ya han logrado acceder a la infraestructura de la víctima y buscan mantener el control del sistema comprometido.
Golo Mühr, investigador de IBM X-Force, explicó el alcance de este fenómeno emergente. «Aunque todavía relativamente poco espectacular, el malware generado por IA como Slopoly demuestra lo fácil que es que los actores amenazantes puedan convertir la IA en un arma para desarrollar nuevos marcos de malware en una fracción del tiempo que solía llevar», afirmó el analista en un informe técnico.
Hive0163 y su historial en campañas de ciberextorsión
El grupo Hive0163 lleva tiempo siendo monitorizado por empresas de ciberseguridad debido a su participación en ataques orientados a obtener beneficios económicos. Sus operaciones se basan en estrategias de extorsión digital que combinan robo de información, amenazas de filtración de datos y despliegue de ransomware.
Entre las herramientas vinculadas anteriormente a este actor se encuentran varias familias de software malicioso utilizadas para comprometer redes corporativas. Los investigadores han relacionado a Hive0163 con utilidades como NodeSnake, Interlock RAT, JunkFiction loader y el ransomware Interlock, un arsenal que demuestra un elevado grado de especialización técnica.
En un ataque detectado a comienzos de 2026, los analistas observaron que el grupo desplegaba Slopoly después de obtener acceso inicial a los sistemas de la víctima. Durante más de una semana, el malware permaneció activo en los servidores comprometidos, permitiendo a los atacantes mantener presencia dentro de la red afectada mientras preparaban otras acciones.
Cómo funciona Slopoly dentro de los sistemas comprometidos
Las investigaciones señalan que Slopoly se distribuye mediante un script de PowerShell que suele instalarse en la ruta C:ProgramDataMicrosoftWindowsRuntime. Este archivo se genera a través de un constructor o builder que permite crear múltiples variantes del malware con configuraciones distintas.
Una vez instalado, el programa establece mecanismos de persistencia para garantizar que el acceso al sistema no se pierda tras reinicios o cambios en el entorno informático.
Para lograrlo, el malware crea una tarea programada denominada Runtime Broker, lo que permite ejecutar el script de manera automática en intervalos definidos.
Este tipo de persistencia es una técnica común en operaciones de espionaje digital y ransomware, ya que ofrece a los atacantes una puerta de entrada estable desde la que pueden lanzar nuevas acciones dentro de la red corporativa.
Indicios de desarrollo asistido por modelos de lenguaje
Uno de los aspectos más llamativos del análisis técnico es la posibilidad de que Slopoly haya sido desarrollado con ayuda de un modelo de lenguaje avanzado. Los investigadores detectaron características inusuales en el código que apuntan a la utilización de herramientas de inteligencia artificial.
Entre estas pistas se encuentran comentarios muy detallados dentro del script, una estructura organizada del código, manejo exhaustivo de errores y variables con nombres muy descriptivos.
Este tipo de elementos suele aparecer en programas generados o asistidos por modelos de lenguaje de gran tamaño.
Además, los comentarios internos del script describen el malware como un Cliente de Persistencia C2 Polimórfico, lo que sugiere que forma parte de una arquitectura de comando y control destinada a gestionar múltiples equipos comprometidos.
A pesar de esta denominación, los expertos señalan que el programa no presenta capacidades de mutación en tiempo real. Según explicó Mühr, el malware no modifica su propio código durante la ejecución, por lo que técnicamente no puede considerarse polimórfico en sentido estricto.
No obstante, el constructor utilizado para generar nuevas instancias permite modificar parámetros, nombres de funciones y configuraciones internas. Esta técnica es frecuente entre desarrolladores de malware porque complica la detección por parte de los sistemas de seguridad.
Un canal permanente de comunicación con los atacantes
Desde el punto de vista operativo, Slopoly funciona como una puerta trasera completa capaz de comunicarse constantemente con un servidor remoto controlado por los atacantes. Este mecanismo es fundamental para mantener el control del sistema infectado.
El malware envía cada 30 segundos un mensaje de latido del corazón que contiene información del equipo comprometido, incluyendo detalles del sistema operativo y otros datos técnicos. De esta forma, el servidor de comando y control puede comprobar si el dispositivo sigue activo.
Además, el programa consulta cada 50 segundos si existen nuevas órdenes pendientes. En caso afirmativo, ejecuta los comandos mediante el intérprete cmd.exe y posteriormente envía los resultados al servidor remoto.
Este flujo constante de comunicación permite a los atacantes ejecutar instrucciones de forma remota, recopilar información adicional o preparar nuevas fases del ataque.
La inteligencia artificial empieza a cambiar el desarrollo del malware
El caso de Slopoly refleja una tendencia creciente en el ecosistema del cibercrimen: el uso de inteligencia artificial para acelerar el desarrollo de herramientas ofensivas. Aunque el malware analizado no presenta técnicas especialmente sofisticadas, su proceso de creación sugiere que la IA podría estar reduciendo drásticamente el tiempo necesario para producir nuevas variantes.
Esto significa que los grupos criminales podrían generar software malicioso a gran escala, adaptándolo rápidamente para evadir sistemas de detección y atacar diferentes infraestructuras.
