La IA se descontrola: “Dust Specter”, vinculado a Irán, desata malware sofisticado contra funcionarios iraquíes

En una fría mañana de enero de 2026, las redes del gobierno iraquí zumbaban con una amenaza nueva e invisible. Un adversario, conocido por los investigadores como “Dust Specter”, se infiltraba silenciosamente en los pasillos oficiales - no con fuerza bruta, sino con un astuto cóctel de inteligencia artificial, ingeniería social y malware personalizado. Lo que comenzó como un correo sospechoso que se hacía pasar por una comunicación del Ministerio de Asuntos Exteriores, rápidamente se transformó en una de las operaciones de ciberespionaje más intrincadas que la región haya visto jamás.

Anatomía de una campaña moderna de espionaje

Según Zscaler ThreatLabz, la campaña de Dust Specter comenzó con un archivo RAR aparentemente inofensivo, “mofa-Network-code.rar”, camuflado como una comunicación oficial. Una vez abierto, un binario WinRAR falsificado (SPLITDROP) descifraba y extraía componentes maliciosos, preparando el terreno para una sofisticada cadena de infección. El malware dependía de software legítimo - como el reproductor VLC media player - para cargar DLLs maliciosas, una táctica diseñada para evadir controles de seguridad y mimetizarse con la actividad normal del sistema.

En el corazón de la operación estaban módulos personalizados en .NET - SPLITDROP, TWINTASK y TWINTALK - cada uno desempeñando un papel en la persistencia, ejecución de comandos y comunicación encubierta con servidores controlados por los atacantes. TWINTASK, por ejemplo, consultaba comandos del atacante cada 15 segundos, ejecutando scripts de PowerShell y exfiltrando datos silenciosamente. TWINTALK, por su parte, utilizaba identificadores únicos y tokens débilmente firmados para distinguir víctimas reales de investigadores de seguridad y entornos de prueba, una señal de la madurez operativa de los atacantes.

La segunda ola de la campaña reemplazó este enfoque modular con GHOSTFORM, un troyano de acceso remoto todo en uno que aumentó el sigilo y el engaño al usuario. Las víctimas eran atraídas a completar una falsa encuesta del Ministerio de Asuntos Exteriores alojada en Google Forms, una artimaña ingeniosa que ocultaba la verdadera intención del malware. GHOSTFORM utilizaba un formulario de Windows casi invisible para cronometrar sus acciones, haciendo aún más difícil la detección para los defensores.

Quizás lo más preocupante es la evidencia de desarrollo asistido por IA. Los analistas encontraron señales reveladoras - emojis, Unicode extraño y “constantes mágicas” - que coincidían con patrones de código generado por IA generativa, reflejando una tendencia más amplia de los APT iraníes a adoptar IA para potenciar la creación de malware y técnicas de evasión.

La reutilización de infraestructura vinculó esta operación con una campaña previa de 2025, donde un cebo temático de Webex (a través de meetingapp[.]site) entregó cargas útiles similares. Es un recordatorio escalofriante de que los adversarios cibernéticos actuales no solo son persistentes, sino que evolucionan rápidamente sus tácticas con cada avance tecnológico.

Mirando al futuro: la doble cara de la IA

A medida que la inteligencia artificial se convierte en un elemento básico de la ciberdefensa, también potencia a atacantes como Dust Specter. Las líneas entre amenazas creadas por humanos y por máquinas se difuminan, haciendo que la atribución y la defensa sean cada vez más complejas. Para Irak - y gobiernos de todo el mundo - el mensaje es claro: la vigilancia, la seguridad en capas y una mirada atenta a la carrera armamentista de la IA son ahora la nueva normalidad en la guerra cibernética.

WIKICROOK

• Carga lateral de DLL: La carga lateral de DLL ocurre cuando los atacantes engañan a programas de confianza para que carguen archivos auxiliares maliciosos (DLLs) en lugar de los legítimos, permitiendo ataques ocultos.
• Troyano de acceso remoto (RAT): Un troyano de acceso remoto (RAT) es un malware que permite a los atacantes controlar en secreto la computadora de una víctima desde cualquier lugar, facilitando el robo y el espionaje.
• Comando y Control (C2): Comando y Control (C2) es el sistema que los hackers usan para controlar remotamente dispositivos infectados y coordinar ciberataques maliciosos.
• PowerShell: PowerShell es una herramienta de scripting de Windows utilizada para automatización, pero los atacantes suelen explotarla para realizar acciones maliciosas de forma sigilosa.
• Ingeniería social: La ingeniería social es el uso del engaño por parte de hackers para engañar a las personas y hacer que revelen información confidencial o permitan acceso no autorizado a sistemas.