El Hackeo de LiteLLM Desencadena una de las Mayores Brechas de Suministro de IA de 2026

SOC Prime Team

Seguir

El Hackeo de LiteLLM Desencadena una de las Mayores Brechas de Suministro de IA de 2026

Detection stack

AIDR
Alert
ETL
Query

Informe de Amenazas
Flujo de Ataque
Detecciones
Simulaciones

Resumen

PasteSwitch es una campaña de malvertising a gran escala que abusó de una cuenta verificada de Reddit para distribuir cargas maliciosas a través de ClickFix, un tipo de ingeniería social. La operación utiliza comandos de terminal engañosos para persuadir a los usuarios a ejecutar código que instala ladrones de macOS, cargadores de Windows y clippers de criptomonedas. Su infraestructura es altamente resistente, confiando en rotación de C2 basada en blockchain y falsificación de TLS SNI para evadir la detección.

Investigación

Investigadores de Hudson Rock y ADAMnetworks identificaron la campaña después de que un usuario reportara anuncios sospechosos de HBO Max en Reddit. La investigación descubrió un marco de entrega complejo con ramas específicas para cada plataforma que apuntan a macOS y Windows. Los analistas también identificaron dominios rotativos y contratos inteligentes en la Binance Smart Chain utilizados para gestionar la infraestructura de Comando y Control.

Mitigación

Las organizaciones deben aplicar controles estrictos en torno a la ejecución de comandos en terminales y monitorear comportamientos sospechosos de copia-pega en ingeniería social. Los equipos de seguridad deben detectar la creación no autorizada de tareas programadas y la ejecución de shellcode en memoria. Monitorear desajustes de TLS SNI y conexiones de salida inusuales a direcciones IP directas también puede mejorar la detección.

Respuesta

Si se detecta actividad maliciosa, los endpoints afectados deben aislarse de inmediato y debe restablecerse las credenciales de las cuentas accedidas desde el dispositivo comprometido. Los respondedores deben realizar análisis forenses de memoria para identificar cargas inyectadas como Amatera. También se debe revisar la actividad en blockchain y la telemetría de red en busca de conexiones con la infraestructura de C2 conocida de PasteSwitch.

Flujo de Ataque

15 Sep 2026

Detección de actividad maliciosa usando comandos MSHTA y PowerShell [Windows Powershell]

Reglas de IA de SOC Prime

15 Sep 2026

Ejecución de Simulación

Narrativa del Ataque y Comandos: Un atacante ha obtenido acceso inicial a través de un enlace de phishing. Para evitar la detección básica basada en firmas, utilizan mshta.exe para ejecutar un script HTA malicioso alojado en un directorio temporal local. Una vez dentro, el atacante utiliza un comando PowerShell codificado para descargar una carga de segunda etapa, intentando ocultar la intención del script. Finalmente, para asegurarse de que mantienen el acceso incluso después de un reinicio, crean una tarea programada que ejecuta un script de PowerShell cada vez que el sistema se inicia.

Script de Prueba de Regresión:

# 1. Simular ejecución de MSHTA (T1218.005)
# Creando un archivo HTA de prueba
$htaContent = "<html><body><script>alert('HTA Malicioso');</script></body></html>"
$htaPath = "$env:TEMPmalicious.hta"
$htaContent | Out-File -FilePath $htaPath -Encoding ascii

# Ejecutando MSHTA (Esto debería activar la regla)
Start-Process "mshta.exe" -ArgumentList "`"$htaPath`""

# 2. Simular PowerShell Codificado (T1027.017)
# La siguiente es una versión codificada de 'Write-Host "Carga Maliciosa Ejecutada"'
$encodedCommand = "V3JpdGUtSG9zdCAiTWFsaWNpb3VzIFBheWxvYWQgRXhlY3V0ZWQi"

# Ejecutando PowerShell con ComandoCodificado (Esto debería activar la regla)
powershell.exe -NoProfile -EncodedCommand $encodedCommand

# 3. Simular Persistencia de Tarea Programada (T1053)
# Creando una tarea que ejecuta un comando PowerShell
$taskName = "WindowsUpdateCheck"
$action = New-ScheduledTaskAction -Execute "powershell.exe" -Argument "-ExecutionPolicy Bypass -WindowStyle Hidden -Command 'Write-Host Malicious Task'"
Register-ScheduledTask -Action $action -Trigger (New-ScheduledTaskTrigger -AtLogOn) -TaskName $taskName -Description "Persistencia Simulada"

Comandos de Limpieza:

# Eliminar el archivo HTA de prueba
Remove-Item -Path "$env:TEMPmalicious.hta" -Force

# Eliminar la tarea programada
Unregister-ScheduledTask -TaskName "WindowsUpdateCheck" -Confirm:$false

Únete a la plataforma Detection as Code de SOC Prime para mejorar la visibilidad de las amenazas más relevantes para tu negocio. Para ayudarte a comenzar y obtener valor inmediato, programa una reunión ahora con los expertos de SOC Prime.

Contactar con ventas