Los investigadores de Trend Micro confirmaron que un actor de amenazas que habla ruso (bandcampro) utilizó la inteligencia artificial Google Gemini CLI para establecer una infraestructura de comando y control (C&C) que administra ocho computadoras en una clínica dental. La IA realizó todas las tareas técnicas, incluyendo la instalación del servidor, la configuración de túneles Cloudflare, la gestión de bots y la resolución de errores.
El hacker pudo reconstruir toda la infraestructura utilizando únicamente tres archivos de texto pequeños, y la IA completó la transición completa en solo seis minutos.
La IA comprendió comandos en lenguaje natural (ruso) y automatizó tareas de gestión de la botnet: informó sobre máquinas activas, ejecutó comandos de escaneo y consulta de archivos, e incluso generó un código PowerShell de una sola línea para infectar una máquina. La IA añadió automáticamente encabezados User-Agent para evadir firewalls y corrigió errores 502. Durante todo este proceso, el hacker no realizó ninguna corrección técnica.
Esta infraestructura es fácilmente transportable mediante tres archivos Markdown y no es detectable por sistemas antivirus tradicionales. La IA puede reconfigurarse completamente en un nuevo servidor cada vez, desactivando las protecciones de seguridad, lo que hace que las operaciones de eliminación de botnets sean menos efectivas y dificulta la identificación de recursos. La IA también se utilizó para otras tareas, como descifrado de contraseñas, análisis de credenciales y planificación de estafas criptográficas dirigidas a personas mayores.