Agentes de IA ARTEX automatizan ataques a Active Directory

El problema central es que ARTEX no necesita explotar una falla: usa cuentas válidas y herramientas administrativas normales, a un ritmo que ningún operador humano puede igualar. En varios casos reportados por Google, los intrusos entregaron credenciales válidas al agente y le indicaron ejecutar las etapas posteriores del ataque.

Las cifras explican la presión sobre los defensores. En un caso el agente extrajo más de 110.000 objetos de Active Directory. La actividad llegaba en ráfagas cortas de entre 2 y 25 segundos, y un caso registró 27 eventos en 23 segundos. Algunas intrusiones pasaron de la primera cuenta comprometida a un acceso profundo en unas cuatro horas, y una lo hizo en 15 minutos. En otro caso la herramienta generó 240 eventos de registro al intentar instalar web shells.

¿Por qué fallan las defensas tradicionales? Los indicadores de compromiso estáticos detectan archivos y direcciones conocidos, pero un agente que inicia sesión con una cuenta real y consulta el directorio parece un administrador haciendo su trabajo. Una revisión semanal de registros, o un ticket que espera al siguiente día hábil, no alcanza a un ataque de cuatro horas, o de 15 minutos.

Dos hechos más elevan el riesgo. El autor original retiró el código de GitHub en octubre de 2026, pero ya existen bifurcaciones, entre ellas ScopeWeaver y una edición de pago llamada ARTEX PRO. Cuando una capacidad se copia y se comercializa, no desaparece con el repositorio original. Es de esperar que más grupos, incluso menos sofisticados, la usen.

Una intrusión tipo ARTEX sigue la ruta clásica de ataque a Active Directory, con agentes que gestionan cada etapa de forma automática.

1. Acceso inicial con una cuenta válida. El operador obtiene un acceso funcional, por ejemplo mediante credenciales robadas de herramientas de administración remota, y se lo entrega al framework.
2. Mapeo del dominio. Los agentes consultan Active Directory y enumeran usuarios, grupos, equipos y relaciones de confianza. Así un caso llegó a más de 110.000 objetos.
3. Kerberoasting. El agente solicita tickets de servicio de cuentas que ejecutan servicios e intenta descifrarlos sin conexión para recuperar las contraseñas de las cuentas de servicio. Las cuentas con contraseñas débiles y antiguas, y con permisos amplios, son el objetivo habitual.
4. DCSync. Con privilegios suficientes, el atacante imita a un controlador de dominio y pide que se repliquen los datos de contraseñas, con lo que obtiene credenciales de todo el dominio.
5. Movimiento lateral hacia los controladores de dominio. Los agentes reutilizan las credenciales recolectadas para llegar a los sistemas que controlan la identidad.
6. Persistencia y limpieza. Los reportes mencionan web shells, instancias persistentes en la nube usadas como salto y salida de comandos enviada mediante el servicio público webhook.site.

¿Qué pueden buscar los defensores? Google y el artículo listan algunas huellas concretas: el dominio webhook.site recibiendo salida de comandos mediante URL rotativas, nombres de archivo con el patrón artex-probe-*, web shells JSP llamados cl1217.jsp, f1219a.jsp y z1219.jsp, una cuenta llamada ArtexProbe marcada como administradora y comandos SQL que activan el registro general de consultas. No se publicaron hashes de archivos. Como el comportamiento usa herramientas legítimas, la detección debe centrarse en patrones como ráfagas de consultas al directorio, solicitudes de tickets inusuales y peticiones de replicación desde equipos que no son controladores de dominio.

El diseño de red también cuenta. Las redes planas permiten que un agente llegue a los controladores de dominio en pocos saltos, mientras que una conectividad multioperador segmentada, con políticas entre sedes y niveles de servidores, hace cada salto más difícil y más ruidoso.

Endurecer Active Directory y acortar el tiempo de detección reduce la probabilidad de que un login robado se convierta en un incidente que alcance todo el dominio. Las recomendaciones de Google son prácticas y se traducen en controles que la mayoría de las empresas puede iniciar este trimestre.

Aísle los sistemas administrativos. Los administradores de dominio deben iniciar sesión solo desde estaciones y servidores dedicados y reforzados, nunca desde equipos cotidianos donde abundan el phishing y los infostealers. Esto rompe el camino entre una sesión de usuario robada y el administrador de dominio.

Use credenciales de corta duración. Cuanto menos vive una credencial, menos tiempo tiene un agente para usarla. Prefiera el acceso privilegiado justo a tiempo, rote las contraseñas de las cuentas de servicio y reemplace las cuentas de servicio antiguas por cuentas de servicio administradas, con contraseñas largas, aleatorias y cambiadas automáticamente. Esto también reduce el impacto del Kerberoasting.

Limite el acceso. Aplique el mínimo privilegio a las cuentas de servicio y a quién puede solicitar la replicación del directorio, de modo que DCSync no esté disponible para cuentas que no lo necesitan.

Segmente las redes. Separe las redes de usuarios, las de servidores y los controladores de dominio, y controle el tráfico entre ellas. Una WAN dedicada y bien diseñada con una política de tráfico clara da a los equipos de seguridad la visibilidad que necesitan.

Vigile el comportamiento anómalo. Genere alertas ante ráfagas de consultas al directorio, solicitudes de tickets Kerberos inusuales, nuevas cuentas de administrador y peticiones de replicación desde equipos que no son controladores de dominio. La detección 24 horas al día importa porque estos ataques no esperan al horario laboral.

El beneficio para el negocio es concreto: menos interrupciones y eventos de ransomware, menor exposición regulatoria y de notificación, y recuperaciones más rápidas porque los respaldos y los sistemas de identidad quedan fuera del alcance del atacante. Una estrategia de infraestructura TI y respaldo resiliente completa el cuadro.

HIT Communications aporta más de 30 años de experiencia operando conectividad empresarial y servicios de TI en América Latina, Estados Unidos y Europa, y reúne red, seguridad e infraestructura bajo un solo aliado.

Frente a los ataques a Active Directory impulsados por IA, tres capacidades de HIT trabajan en conjunto. Nuestros servicios gestionados de ciberseguridad, con centro de operaciones de seguridad 24/7, SIEM y detección y respuesta gestionadas, vigilan los comportamientos descritos y dan a su equipo una respuesta humana cuando la alerta es real. Nuestro diseño de conectividad multioperador y SD-WAN segmenta sedes y tráfico para que una cuenta comprometida no tenga un camino plano hacia sus controladores de dominio. Nuestros servicios gestionados de TI y respaldo en la nube refuerzan servidores, gestionan parches y mantienen respaldos limpios y aislados para que pueda recuperarse si ocurre lo peor.

Comenzamos con una evaluación práctica: dónde están expuestos sus controladores de dominio y cuentas de servicio, qué rutas de administración siguen abiertas, con qué rapidez notaría su monitoreo actual una ráfaga de consultas al directorio y hasta dónde llegaría en su entorno un ataque de cuatro horas. A partir de ahí priorizamos primero los cambios que más riesgo reducen.

ARTEX demuestra que los agentes de IA ya forman parte del arsenal del atacante, y que Active Directory es el primer objetivo al que apuntan. Las técnicas son antiguas, la velocidad es nueva, y una detección que depende de que una persona lea registros después del hecho no alcanzará.

Empiece esta semana con tres acciones: revise quién tiene derechos de administrador de dominio y de replicación y retire los que no sean necesarios, localice y rote las contraseñas antiguas de cuentas de servicio, y confirme que alguien vigila sus controladores de dominio las 24 horas con alertas ajustadas a ráfagas de consultas al directorio y a solicitudes de tickets inusuales. Si desea apoyo con la evaluación, la segmentación o el monitoreo 24/7, hable con el equipo de HIT Communications.