Microsoft llama la atención sobre una nueva campaña de suplantación de identidad dirigida principalmente a organizaciones con sede en EE. UU., que probablemente hayan utilizado código generado mediante modelos lingüísticos grandes (LLM) para ofuscar las cargas útiles y evadir las defensas de seguridad.
«La actividad, que parecía contar con la ayuda de un modelo lingüístico de gran tamaño (LLM), ocultó su comportamiento en un archivo SVG, aprovechando la terminología empresarial y una estructura sintética para disfrazar su intención maliciosa», dijo el equipo de Threat Intelligence de Microsoft dijo en un análisis publicado la semana pasada.
La actividad, detectada el 28 de agosto de 2025, muestra cómo los actores de amenazas adoptan cada vez más herramientas de inteligencia artificial (IA) en sus flujos de trabajo, a menudo con el objetivo de crear señuelos de suplantación de identidad más convincentes, automatizar la ofuscación del malware y generar código que imite el contenido legítimo.
En la cadena de ataques documentada por el fabricante de Windows, se ha observado que personas malintencionadas aprovechan una cuenta de correo electrónico empresarial ya comprometida para enviar mensajes de suplantación de identidad con el fin de robar las credenciales de las víctimas. Los mensajes aparecen como señuelos disfrazados de notificaciones de intercambio de archivos para incitarlos a abrir lo que aparenta ser un documento PDF, pero que en realidad es un archivo de gráficos vectoriales escalables (SVG).
Lo destacable de los mensajes es que los atacantes utilizan una táctica de correo electrónico con dirección propia, en la que las direcciones del remitente y del destinatario coinciden, y los objetivos reales se ocultan en el campo BCC para eludir la heurística de detección básica.
«Los archivos SVG (gráficos vectoriales escalables) son atractivo para los atacantes porque se basan en texto y se pueden programar, lo que les permite incrustar JavaScript y otro contenido dinámico directamente en el archivo», afirma Microsoft. «Esto permite ofrecer cargas de suplantación de identidad interactivas que parecen benignas tanto para los usuarios como para muchas herramientas de seguridad».
Además de eso, el hecho de que el formato de archivo SVG admita funciones como elementos invisibles, atributos codificados y ejecución retrasada de scripts lo hace ideal para los adversarios que buscan eludir el análisis estático y el sandboxing, añadió.
El archivo SVG, una vez lanzado, redirige al usuario a una página que contiene un CAPTCHA para la verificación de seguridad, tras lo cual es probable que sea llevado a una página de inicio de sesión falsa para recopilar sus credenciales. Microsoft dijo que la próxima etapa exacta no está clara debido a que sus sistemas detectan y neutralizan la amenaza.
Sin embargo, el ataque destaca por su inusual enfoque de ofuscación, que utiliza un lenguaje empresarial para disfrazar el contenido de suplantación de identidad del archivo SVG, una señal de que puede haberse generado mediante un LLM.
«En primer lugar, el principio del código SVG se estructuró para que pareciera un panel de análisis empresarial legítimo», afirma Microsoft. «Esta táctica está diseñada para engañar a cualquiera que inspeccione el archivo de manera casual, haciendo que parezca que el único propósito del SVG es visualizar datos empresariales. Sin embargo, en realidad es un señuelo».
El segundo aspecto es que la funcionalidad principal de la carga útil (que consiste en redirigir a los usuarios a la página inicial de suplantación de identidad, activar la toma de huellas dactilares del navegador e iniciar el seguimiento de la sesión) también se oculta mediante una larga secuencia de términos relacionados con la empresa, como ingresos, operaciones, riesgo, trimestral, crecimiento o acciones.
Microsoft dijo que comparó el código con su Security Copilot, que descubrió que el programa «no era algo que un humano normalmente escribiera desde cero debido a su complejidad, verbosidad y falta de utilidad práctica». Algunos de los indicadores que utilizó para llegar a esta conclusión incluyen el uso de -
- Denominación excesivamente descriptiva y redundante para funciones y variables
- Estructura de código altamente modular y sobrediseñada
- Comentarios genéricos y verbosos
- Técnicas formulaicas para lograr la ofuscación utilizando terminología empresarial
- Declaración CDATA y XML en el archivo SVG, probablemente en un intento de imitar ejemplos de documentación
«Si bien esta campaña tuvo un alcance limitado y se bloqueó de manera efectiva, una variedad de actores de amenazas utilizan cada vez más técnicas similares», dijo Microsoft.
La revelación se produce cuando Forcepoint detalló una secuencia de ataque en varias etapas que utiliza correos electrónicos de suplantación de identidad con archivos adjuntos.XLAM para ejecutar un código de shell que, en última instancia, implementa XWorm RAT mediante una carga útil secundaria y, al mismo tiempo, muestra un archivo de Office en blanco o dañado a modo de artimaña. La carga útil secundaria funciona como un conducto para cargar un archivo.DLL en la memoria.
«El archivo DLL de memoria de la segunda etapa utiliza técnicas de empaquetado y cifrado muy confusas», Forcepoint dijo . «Este archivo.DLL de la segunda etapa volvió a cargar otro archivo.DLL en la memoria mediante una inyección de DLL reflexiva, que además fue responsable de la ejecución final del malware».
«El siguiente y último paso consiste en inyectar un proceso en su propio archivo ejecutable principal, manteniendo la persistencia y filtrando los datos a sus servidores de comando y control. Se descubrió que los C2 en los que se filtraban los datos estaban relacionados con la familia XWorm».
En las últimas semanas, los ataques de suplantación de identidad también han empleado señuelos relacionados con la Administración del Seguro Social de los Estados Unidos y la infracción de derechos de autor para distribuir ScreenConnect ConnectWise y a ladrones de información como Lone None Stealer y PureLogs Stealer, respectivamente, según Cofense.
«La campaña suele engañar a varias firmas legales que afirman solicitar la eliminación del contenido que infringe los derechos de autor del sitio web o la página de redes sociales de la víctima», dijo la empresa de seguridad del correo electrónico dijo de la segunda serie de ataques. «Esta campaña destaca por el novedoso uso de una página de perfil de un bot de Telegram para entregar su carga útil inicial, la ofuscada carga útil de los scripts de Python compilados y confusos y la complejidad evolutiva, tal y como demuestran las múltiples iteraciones de ejemplos de campañas».