CL-CRI-1163 y 1131 en LatAm

Resumen ejecutivo

Palo Alto Networks Unit 42 documentó dos clusters de intrusión en América Latina, CL-CRI-1131 y CL-CRI-1163, que combinaron modelos comerciales de lenguaje con infraestructura propia de los atacantes, phishing tradicional, scripts iterativos, RATs personalizados y tunelización SOCKS5. El primer cluster impactó a una empresa de transporte mexicana, ministerios federales de México y entidades de agua en Ecuador. El segundo apuntó al sector financiero brasileño mediante phishing con temática de empleo y adjuntos de currículum.

La novedad no fue un vector autónomo de IA, sino la integración operacional de LLMs comerciales dentro de campañas clásicas. Unit 42, y los resúmenes que citan su análisis, describen una instancia de NextChat autoalojada en 178.128.87[.]160, expuesta en el puerto TCP 3000, usada para consultar servicios como Claude y GPT-4.1. Esa interfaz habría servido para troubleshooting, generación de scripts y apoyo en tareas de exfiltración y explotación. El material también señala que el acceso inicial siguió dependiendo de phishing y servidores sin parchear.

En CL-CRI-1163, el componente más distintivo fue SockTz, un proxy SOCKS5 inverso escrito en Go. Unit 42 observó al menos nueve versiones sucesivas, con nombres de archivos como socktz_v1 a socktz_v9, desplegadas con cambios incrementales y en una ventana aproximada de dos horas. Varias fuentes secundarias, entre ellas Machine Speed, SecurityLab, daily.dev y CISOclub, interpretan esa cadencia como una señal de iteración asistida por IA, aunque esa conclusión es inferida y no una atribución formal del informe original.

La campaña CL-CRI-1131 se describe con una mezcla de living-off-the-land y scripts por lotes iterativos para manipular y exfiltrar datos confidenciales. CL-CRI-1163, en cambio, se apoyó en phishing de empleo, RATs personalizados y túneles SOCKS5 para pivoteo interno. SocDefenders mapea varias técnicas MITRE ATT&CK observadas en ambos clusters, entre ellas T1566.001, T1078, T1003.001, T1021.001, T1059 y T1219. MITRE ATT&CK también encaja funcionalmente con el uso de proxys multi-hop y de intérpretes de comandos para sostener la operación, aunque el informe de Unit 42 no emplea esa taxonomía de forma explícita.

El alcance regional es claro y acotado. México concentra la mayor superficie afectada, con víctimas en transporte, gobierno y agua. Ecuador aparece como extensión de esa misma oleada. Brasil concentra la campaña financiera, con un patrón de phishing de empleo que luego deriva en RATs y tunelización. El material público revisado coincide en que los clusters estaban activos al menos desde febrero de 2026 y que la actividad se extendió, como mínimo, hasta junio de 2026, pero no aporta una atribución geopolítica definitiva.

Contexto y antecedentes

El material consolidado permite reconstruir una secuencia técnica relativamente precisa, aunque no una atribución de autoría. Unit 42 publicó el 3 de septiembre de 2026 un informe en portugués sobre el uso continuo de herramientas de IA en ataques contra organizaciones latinoamericanas, y varias fuentes secundarias reutilizaron ese análisis en formatos de briefing, notas técnicas y resúmenes en distintos idiomas. El punto de convergencia es siempre el mismo, dos clusters, dos geografías principales de ataque y un patrón operacional compartido que mezcla automatización, LLMs y tooling personalizado.

El cluster CL-CRI-1131 se asocia con compromisos en México y Ecuador. Los resúmenes disponibles citan una empresa de transporte mexicana, múltiples ministerios federales y al menos una empresa municipal de agua en Ecuador. En una ampliación posterior, un medio ruso mencionó también empresas municipales de agua en México, lo que ensancha el inventario de víctimas de infraestructura hídrica, aunque no cambia el cuadro general. La campaña presenta una columna vertebral de living-off-the-land, scripts por lotes iterativos y uso de NextChat autoalojado para consultar modelos comerciales.

El cluster CL-CRI-1163 se concentra en Brasil y en el sector financiero. Aquí el acceso inicial habría llegado por phishing con temática de empleo y currículums, seguido por el despliegue de RATs personalizados y de SockTz. La herramienta SockTz aparece una y otra vez en los reportes porque permite conexiones SOCKS5 inversas y pivoteo hacia la red interna de la víctima. El detalle más relevante es la velocidad de iteración, v1 a v9, que varios resúmenes sitúan en menos de dos horas.

La literatura secundaria agrega piezas útiles. Machine Speed subraya que los operadores consultaron ChatGPT y Claude como herramientas de trabajo durante las intrusiones. SecurityLab reporta archivos de trabajo como exploit_creative.py, exploit_careful.py y rce_focused.py, lo que sugiere un proceso de generación y ajuste rápido de código. CISOclub y daily.dev describen la progresión de SockTz desde un sitio WordPress comprometido hacia infraestructura controlada por los atacantes. SocDefenders agrega dominios y un binario concreto asociado a SockTz v9.

Ese conjunto de fuentes no cambia una conclusión central. Los atacantes no parecen haber necesitado un exploit de IA para entrar. Usaron phishing, artefactos adjuntos, servidores sin parchear y técnicas post-explotación convencionales. La IA aparece después, como multiplicador operativo, no como puerta de entrada.

Tabla de hechos clave

Timeline de la operación

Cadena de ataque y TTPs

La cadena de ataque observada en los dos clusters comparte una secuencia básica, acceso inicial por phishing o aprovechando sistemas sin parchar, ejecución de artefactos adjuntos o de scripts, uso de LLMs comerciales para acelerar troubleshooting y creación de tooling, y después persistencia o pivoteo mediante RATs y SOCKS5. No hay evidencia en el material de un exploit de IA en la fase inicial. La IA aparece como soporte de explotación, generación de código y ajuste rápido de herramientas.

CL-CRI-1131 se apoya más en técnicas de sistema y scripts. El material dice que los operadores usaron living-off-the-land, ejecutaron scripts en lote de manera iterativa y manipularon y exfiltraron datos confidenciales desde los sistemas comprometidos. Eso encaja bien con la familia T1059 de MITRE ATT&CK, y con técnicas de evasión asociadas al uso de herramientas nativas, aunque el informe original no etiqueta así cada paso. La capa de infraestructura crítica fue NextChat autoalojado, sobre la IP 178.128.87[.]160.

CL-CRI-1163 tiene un componente más nítido de post-explotación y pivotado. El phishing con temática de empleo y adjuntos de currículum derivó en despliegue de RATs personalizados y en SockTz. SocDefenders, MITRE y otras fuentes secundarias permiten mapear T1566.001 para el acceso inicial, T1219 para el uso de RATs, T1090.003 para el uso de proxies multi-hop y T1059 para scripts y comandos. El hecho de que SockTz sea un proxy SOCKS5 inverso en Go hace que su lectura técnica sea bastante directa.

La pieza más atípica es la iteración del tooling. Unit 42 observó al menos nueve versiones sucesivas de SockTz, y varias fuentes señalan que los archivos socktz_v1 a socktz_v9 se desplegaron en un lapso de dos horas. Esa cadencia no prueba por sí sola asistencia de IA, pero sí sugiere un ciclo de prueba y error rápido, con modificaciones menores y redeploy repetido. SecurityLab y daily.dev incluso describen nombres de scripts de exploit con adjetivos variables, como exploit_creative.py y exploit_careful.py, lo que fortalece la idea de generación asistida.

La operación, en ambos clusters, no depende de una técnica exótica sino de la combinación de varias piezas conocidas, phishing, LotL, scripts, RATs, proxies y LLMs. El aporte de la investigación es mostrar que esa combinación ya está activa en la región y que se está usando con suficiente disciplina como para cubrir cadenas de intrusión completas.

Impacto regional

Panorama regional

El impacto regional confirmado se concentra en tres países, México, Ecuador y Brasil, con diferencias claras entre la campaña de transporte y gobierno de CL-CRI-1131 y la campaña financiera de CL-CRI-1163. México absorbe la mayor parte de las víctimas públicas citadas. Ecuador aparece como extensión de la misma operación, y Brasil como el foco del segundo cluster, en una campaña orientada a bancos e instituciones financieras.

El tipo de víctima también cambia según el cluster. CL-CRI-1131 toca infraestructura pública y servicios críticos, transporte, gobierno federal y agua. CL-CRI-1163 apunta a una vertical financiera más acotada, pero técnicamente más elaborada en post-explotación, con RATs personalizados, tunelización y una cadena de versiones de SockTz que sugiere un ciclo de refinamiento acelerado. Esa combinación importa porque muestra que el uso de IA no se limitó a generar texto, sino a sostener una operación de intrusión multietapa.

En el plano operacional, ambos clusters comparten infraestructura de interacción con LLMs comerciales, especialmente NextChat autoalojado. Eso eleva el valor de ese host como activo crítico en la cadena de ataque. Si se corta ese nodo, se interrumpe el acceso de los operadores a Claude, GPT-4.1 y otros servicios usados para scripting y troubleshooting, aunque el material no afirma que ese sea el único punto de falla posible.

México

México concentra el grueso del daño atribuido a CL-CRI-1131. El informe de Unit 42, y los resúmenes que lo citan, mencionan una empresa de transporte mexicana, ministerios federales y empresas municipales de agua. Esa última capa es relevante porque el material en ruso amplía la exposición de agua a entidades mexicanas además de las ecuatorianas. La campaña se apoyó en living-off-the-land, scripts por lotes iterativos y una instancia de NextChat alojada por los atacantes en 178.128.87[.]160.

La señal técnica más importante para México es que la infraestructura de chat servía para consultar modelos comerciales de lenguaje durante la intrusión. Unit 42 y Machine Speed sitúan a ChatGPT, Claude y GPT-4.1 como herramientas de trabajo dentro de la operación. Eso convierte a NextChat en un nodo de coordinación, no en un accesorio menor. El uso de scripts en lote para manipular y exfiltrar datos confidenciales indica además que el objetivo no era solo acceso, sino también extracción sistemática.

Ecuador

Ecuador aparece como extensión de CL-CRI-1131 y, según el material consolidado, al menos una empresa municipal de agua fue comprometida allí. Los resúmenes de fuentes secundarias también hablan de ministerios, agua y transporte en un mismo clúster regional, lo que sugiere una campaña más amplia que un único objetivo aislado. El patrón técnico no cambia, living-off-the-land, scripts iterativos, NextChat autoalojado y explotación apoyada por LLMs.

La documentación disponible no da un inventario exhaustivo de víctimas ecuatorianas. Sí fija una superficie crítica, agua municipal, que es suficiente para entender el tipo de interés operativo. En términos de defensa, eso obliga a tratar la campaña como una intrusión con potencial de impacto en servicios esenciales, no como un simple incidente de phishing corporativo.

Brasil

Brasil es el centro de CL-CRI-1163 y la parte más nítida del estudio para análisis de post-explotación. El acceso inicial llegó por phishing con currículum o temática de empleo, con un adjunto que sirvió de artefacto malicioso. Después vinieron RATs personalizados y SockTz, el proxy SOCKS5 inverso en Go. Unit 42 y las fuentes secundarias coinciden en que el cluster impactó entidades del sector financiero, incluidos bancos.

La pieza crítica aquí es SockTz. CISOclub, daily.dev y Deniz.in describen el intento de desplegar socktz_v1 a socktz_v8 desde un sitio WordPress comprometido, usando certutil, para luego pasar a socktz_v9 desde infraestructura controlada por los atacantes cuando las versiones anteriores fallaron. Ese tipo de retroalimentación operativa deja ver una campaña muy iterativa. También muestra que la red de alojamiento no era estable, sino adaptativa.

Estados Unidos

Estados Unidos no figura como país víctima en el research consolidado, pero sí aparece como punto de publicación, soporte y contacto. Unit 42, con base en Palo Alto Networks, publicó el material principal, y el informe en portugués incluye un número gratuito de contacto para América del Norte. Palo Alto Networks también publicó entradas corporativas sobre el uso de modelos de OpenAI y Anthropic para defensores, útiles como contraste con el abuso ofensivo de LLMs observado en estos clusters.

Ese dato no agrega una víctima estadounidense, pero sí ayuda a situar la capacidad de respuesta y el ecosistema de proveedores. En el material, Estados Unidos funciona como centro editorial y de soporte comercial, no como blanco de CL-CRI-1131 o CL-CRI-1163.

Países sin hechos verificables adicionales en el research para este bloque, Argentina, Chile, Paraguay, Bolivia, Perú, Colombia y Uruguay.

Indicadores técnicos