SecFlow coordinó Claude, Qwen y DeepSeek en una campaña de ciberespionaje asistida por IA

La investigación de Hunt.io describe una operación de ciberespionaje asistida por IA en la que un marco denominado SecFlow distribuía objetivos amplios entre trabajadores especializados. La clave es no confundir coordinación con autonomía: la capa de IA ordenaba y documentaba el trabajo, pero los operadores humanos escogían los blancos y los métodos, mientras las intrusiones dependían de herramientas ofensivas ya conocidas. 2

Qué hacía SecFlow

Según Hunt.io, SecFlow podía transformar una meta de alto nivel en tareas separadas de reconocimiento, validación de vulnerabilidades, explotación, recopilación de datos y generación de informes. Los distintos trabajadores compartían la configuración de los objetivos, archivos, historial de sesiones, rutas de proxy, evidencias generadas y resultados, creando un espacio de trabajo reutilizable en vez de una sucesión de consultas aisladas. 2

La configuración recuperada permitía alternar entre perfiles etiquetados como Claude, Qwen y DeepSeek sin cambiar la interfaz de tareas. El tráfico de los modelos incluía puntos de acceso privados en el dominio niestools.com, además de rutas directas hacia DeepSeek y DashScope/Qwen de Alibaba. Esa combinación es relevante: no prueba que todas las acciones pasaran por puntos de acceso oficiales de los proveedores. 2

Hunt.io reportó actividad contra objetivos en Taiwán, Indonesia, China continental y Vietnam, entre ellos entornos gubernamentales, educativos, consulares e industriales. 2

La IA no sustituyó las herramientas de intrusión

SecFlow parece haber funcionado como una capa de orquestación sobre actividad ofensiva convencional, no como un sistema que ideaba y ejecutaba ataques inéditos por sí solo. La investigación observó flujos de trabajo con clases de vulnerabilidades conocidas, pruebas de concepto públicas, uso de credenciales, scripts, componentes ASPX accesibles por web, cargas útiles e implantes personalizados. 2

Entre los componentes posteriores a la intrusión estaba SecBox, un implante desarrollado en Go que Hunt.io identificó junto a webshells y otras herramientas. La evidencia indica que esos recursos convencionales proporcionaban acceso y capacidad operativa; SecFlow ayudaba a secuenciar, asignar y registrar las tareas alrededor de ellos. 2

Por ello, resulta más preciso hablar de ciberespionaje asistido por IA que de «hackeo autónomo». La IA puede reducir el tiempo de coordinación y acelerar investigaciones o comprobaciones repetitivas, pero la operación puede seguir dependiendo de decisiones humanas, exploits existentes y técnicas habituales de malware.

Los vínculos de infraestructura y sus límites de atribución

Hunt.io conectó cinco espacios de trabajo expuestos de los atacantes mediante un punto SOCKS autenticado compartido. Entre las conexiones reportadas había coincidencias de contenido de archivos, artefactos comunes de SecFlow y GLUTTON, cuentas reutilizadas y una relación de entrega entre un entorno de MySQL falso y un servidor de cargas útiles de segunda fase. La firma evaluó que los entornos cumplían funciones distintas, como orquestación de IA, pruebas de explotación, deserialización mediante MySQL falso, pruebas de credenciales y distribución de cargas útiles. 2

Notas y artefactos en chino simplificado, junto con el uso recurrente del identificador Nie en cuentas de servicios privados de modelos y de proxy, llevaron a Hunt.io a valorar una conexión con operadores de habla china. Son indicios útiles para una investigación, pero por sí solos no identifican a una persona, grupo concreto ni patrocinador estatal. 2

El fallo de Apache Shiro: cuando un error se multiplica

El caso expone un riesgo central de los sistemas multiagente: una conclusión intermedia errónea puede pasar a ser un supuesto aceptado por todos los trabajadores posteriores.

Hunt.io informó de que un trabajador afirmó, sin respaldo suficiente, haber logrado explotar Apache Shiro. Después, tareas de GLUTTON trataron esa afirmación como un hecho y produjeron más de 27 pruebas de seguimiento fallidas. 2

La lección para equipos defensivos y para quienes diseñan flujos de agentes en contextos sensibles es clara: el enrutamiento de tareas y la memoria compartida aceleran el sistema, pero también amplifican hallazgos sin verificar. Hacen falta controles de confirmación independientes antes de escalar de la detección a decisiones de explotación, recopilación o remediación.

Lo confirmado en el entorno gubernamental de Fengtai

Hunt.io calificó un entorno gubernamental del distrito de Fengtai como el compromiso confirmado más amplio de su investigación. Reportó ejecución de comandos, acceso a registros gubernamentales y sanitarios, recopilación de memoria LSASS y de colmenas del Registro de Windows, además del despliegue de varios implantes para Windows. 2

Los investigadores describieron también un volcado de LSASS de aproximadamente 75,8 MB depositado en un repositorio de adjuntos de una aplicación OA y recuperado mediante manejadores ASPX a través de la ruta de proxy compartida. Los manejadores accesibles por web y los implantes desplegados, incluido SecBox, cuentan con respaldo como componentes de acceso o persistencia en la evidencia disponible. Sin embargo, el material reportado no establece un mecanismo exacto de arranque automático —como un servicio específico, una tarea programada o una clave Run del Registro— para cada implante. 2

Relación con campañas anteriores

Hunt.io describió explícitamente la actividad de SecFlow como una segunda campaña separada de su informe de julio de 2026 sobre presuntos operadores de habla china que emplearon Claude Code y DeepSeek contra objetivos gubernamentales y financieros en cuatro países. Las campañas tenían infraestructura, herramientas y objetivos diferentes, aunque ambas habrían usado modelos comerciales como componentes operativos. 220

El caso guarda asimismo similitudes operativas con la divulgación de Anthropic de noviembre de 2025 sobre una campaña de espionaje orquestada con IA que la empresa atribuyó a un grupo chino patrocinado por el Estado, al que denominó GTG-1002. Anthropic afirmó que aquella operación utilizó Claude Code para intentar intrusiones contra alrededor de 30 objetivos y empleó IA en fases de reconocimiento, trabajo sobre vulnerabilidades, explotación, acceso a credenciales, análisis de datos, exfiltración y documentación. 46

La similitud es operativa, no atributiva. La información disponible no demuestra que los operadores de SecFlow fueran GTG-1002 ni que el servicio oficial de Claude de Anthropic facilitara directamente la actividad de SecFlow. Precisamente las pasarelas privadas y la configuración mixta de API obligan a conservar esa distinción. 246

La conclusión

SecFlow apunta a un patrón inmediato y práctico: los atacantes pueden usar varios modelos como trabajadores intercambiables para planificar y coordinar actividades, sin renunciar a infraestructura tradicional de explotación y malware. Al mismo tiempo, el caso muestra por qué no debe exagerarse la idea de una automatización sin supervisión. La ventaja puede estar en dividir tareas e iterar más rápido; el riesgo es que una premisa débil se propague con la misma rapidez si una persona o un proceso riguroso de validación no la detecta. 2