Un tribunal federal de Indiana condenó a un ciberdelincuente ruso a 81 meses de prisión por cargos relacionados con su papel como intermediario de acceso inicial para grupos de ransomware.

Aleksei Volkov, de 26 años, de San Petersburgo, Rusia, se declaró culpable en noviembre de 2025 de seis cargos federales derivados de su trabajo con el grupo de ransomware Yanluowang y otras organizaciones cibercriminales entre julio de 2021 y noviembre de 2022. Fue arrestado en Roma y posteriormente extraditado a Estados Unidos.

Volkov, también conocido como “chubaka.kor”, operaba como intermediario de acceso inicial, una función especializada en la que identificaba y explotaba vulnerabilidades en redes corporativas y vendía ese acceso a operadores de ransomware. La función se ha vuelto cada vez más común en el ecosistema de ransomware, lo que permite a los delincuentes beneficiarse de los ataques sin implementar malware directamente ni ejecutar demandas de extorsión.

Según documentos judiciales, Volkov facilitó docenas de ataques que resultaron en más de 9 millones de dólares en pérdidas confirmadas para las víctimas y más de 24 millones de dólares en pérdidas previstas. Los fiscales identificaron siete empresas estadounidenses específicas que fueron objeto de ataques durante el período de 16 meses, entre ellas una empresa de ingeniería y un banco. Dos víctimas pagaron un total de 1,5 millones de dólares en pagos de rescate.

El grupo de ransomware Yanluowang empleó tácticas que van más allá del simple cifrado de datos. Las víctimas informaron haber recibido llamadas telefónicas de acoso y haber experimentado ataques distribuidos de denegación de servicio después de que les robaron sus datos, lo que representa una evolución en la forma en que los operadores de ransomware aplican presión a los objetivos.

Volkov recibió una compensación a través de tarifas fijas por proporcionar acceso a la red o porcentajes de los pagos de rescate cobrados a las víctimas. Cuando las víctimas se negaron a pagar, los conspiradores publicaron datos robados en sitios web de filtración diseñados para avergonzar a las empresas y potencialmente alentar a futuras víctimas a cumplir con las demandas.

Su declaración de culpabilidad cubrió cargos presentados en dos jurisdicciones separadas que luego se consolidaron, incluida la transferencia ilegal de un medio de identificación, tráfico de información de acceso, fraude de dispositivos de acceso, robo de identidad agravado, conspiración para cometer fraude informático y conspiración para cometer lavado de dinero.

Como parte de su sentencia, Volkov debe pagar una restitución total a las víctimas, incluidos al menos 9,1 millones de dólares a empresas identificadas, y confiscar el equipo utilizado en sus actividades delictivas.

Los grupos de amenazas norcoreanos están utilizando herramientas de inteligencia artificial para acelerar y expandir el plan de larga duración del país para contratar trabajadores técnicos remotos en empresas globales por períodos más prolongados, dijo Microsoft Threat Intelligence en un informe Viernes.

Los servicios de inteligencia artificial están empoderando a los agentes norcoreanos durante todo el ciclo de vida del ataque. Los atacantes han convertido la IA en un “multiplicador de fuerza” que refuerza y ​​automatiza sus esfuerzos para realizar investigaciones sobre objetivos, desarrollar recursos maliciosos, lograr y mantener el acceso, evadir la detección y utilizar herramientas como armas para ataques y actividades posteriores al compromiso, dijeron los investigadores.

Microsoft dijo que un trío de grupos a los que rastrea, como Coral Sleet, Sapphire Sleet y Jasper Sleet, están utilizando IA para acortar el tiempo que lleva crear personajes digitales para roles y mercados laborales específicos. Estos grupos frecuentemente aprovechan oportunidades financieras o señuelos con temas de entrevistas para obtener acceso inicial.

Jasper Sleet está utilizando herramientas de inteligencia artificial generativa para investigar ofertas de trabajo en plataformas como Upwork e identificar habilidades en demanda o requisitos de experiencia para alinear personas falsas con roles específicos, dijo Microsoft en el informe.

Los investigadores advirtieron que los grupos de amenazas también están «mejorando significativamente la escala y la sofisticación de su ingeniería social y sus operaciones de acceso inicial» con la creación de medios impulsada por IA para suplantaciones y modulación de voz en tiempo real.

Los grupos de amenazas norcoreanos han utilizado servicios de inteligencia artificial para generar señuelos que imitan las comunicaciones internas en varios idiomas con fluidez nativa.

«Estas tecnologías permiten a los actores de amenazas crear señuelos y personajes altamente personalizados y convincentes a una velocidad y un volumen sin precedentes, lo que reduce la barrera para que se produzcan ataques complejos y aumenta la probabilidad de un compromiso exitoso», escribieron los investigadores en el informe.

Microsoft ha observado a Jasper Sleet utilizando la aplicación de inteligencia artificial Faceswap para insertar rostros de trabajadores de TI de Corea del Norte en documentos de identidad robados, en algunos casos reutilizando la misma foto generada por inteligencia artificial en varias personas.

Jasper Sleet también se apoya en las comunicaciones habilitadas por IA después de que una organización de víctimas contrató con éxito a un agente para evadir la detección y mantener un empleo a largo plazo. Microsoft ha observado a los trabajadores de TI remotos de Corea del Norte utilizar herramientas de inteligencia artificial para elaborar respuestas profesionales, responder preguntas técnicas o generar fragmentos de código para cumplir con las expectativas de rendimiento en entornos desconocidos.

Los grupos de amenazas norcoreanos están utilizando la IA para perfeccionar las actividades posteriores al compromiso observadas previamente, reduciendo el tiempo y la experiencia necesarios para la toma de decisiones, dijo Microsoft. Estas tareas impulsadas por IA aceleran el análisis de entornos comprometidos desconocidos, identifican rutas viables para el movimiento lateral y permiten a los agentes mezclarse con la actividad legítima.

Los grupos de amenazas norcoreanos también están utilizando IA para escalar privilegios, localizar y robar registros o credenciales confidenciales y minimizar el riesgo de detección mediante el análisis de controles de seguridad.

La IA generativa constituye la mayor parte de las actividades de amenazas relacionadas con la IA, pero Microsoft dijo que está en marcha una transición a la IA agente.

«Para los actores de amenazas, este cambio podría representar un cambio significativo en el oficio al permitir flujos de trabajo semiautónomos que refinen continuamente las campañas de phishing, prueben y adapten la infraestructura, mantengan la persistencia o monitoreen la inteligencia de código abierto en busca de nuevas oportunidades», escribieron los investigadores en el informe.

«Microsoft aún no ha observado el uso a gran escala de IA agente por parte de actores de amenazas, en gran parte debido a la confiabilidad continua y las limitaciones operativas», agregaron los investigadores. Sin embargo, advirtió Microsoft, los experimentos ilustran el potencial que los sistemas de IA agentes representan para actividades más avanzadas y dañinas.