El panorama de la ciberseguridad ha cruzado un umbral hist\u00f3rico en el segundo semestre de 2025. Por primera vez, la inteligencia artificial ha sido empleada de forma demostrable y operativa en el n\u00facleo de un ataque de ransomware. ESET, una de las firmas de seguridad m\u00e1s reconocidas a nivel global, ha documentado y bautizado esta amenaza como PromptLock, el primer ransomware conocido con capacidades de IA generativa. Este hallazgo, detallado en el informe de amenazas H2 2025 de la compa\u00f1\u00eda, no representa un experimento de laboratorio, sino una herramienta de ataque real, capaz de generar scripts maliciosos sobre la marcha y evadir defensas tradicionales.<\/p>\n
PromptLock es, hasta la fecha, la primera muestra confirmada de ransomware que integra inteligencia artificial para automatizar la creaci\u00f3n de su propio c\u00f3digo malicioso. A diferencia de las variantes tradicionales, que utilizan un c\u00f3digo est\u00e1tico y predefinido, PromptLock puede generar scripts da\u00f1inos en tiempo real durante su ejecuci\u00f3n. Esto lo convierte en una amenaza din\u00e1mica, dif\u00edcil de detectar mediante firmas fijas o an\u00e1lisis de comportamiento basados en patrones conocidos. Se trata de un salto cualitativo que traslada la IA del campo de la ingenier\u00eda social \u2014donde ya se usa para crear estafas y phishing convincentes\u2014 al coraz\u00f3n t\u00e9cnico del ataque.<\/p>\n
Este desarrollo confirma los temores que la comunidad de seguridad ven\u00eda expresando desde la explosi\u00f3n de la IA generativa a finales de 2023. No se trata de que la IA haya inventado una nueva forma de cifrar archivos, sino de que ha automatizado la fase de personalizaci\u00f3n y evasi\u00f3n del ataque. Un ransomware operado por humanos puede ahora delegar en un modelo de lenguaje la tarea de escribir el c\u00f3digo necesario para sortear un antivirus concreto o para adaptar el ataque a un entorno de red espec\u00edfico, acelerando el ciclo de explotaci\u00f3n y reduciendo la barrera t\u00e9cnica para los ciberdelincuentes.<\/p>\n
Durante los primeros meses de 2025, el uso de la IA en el cibercrimen se concentr\u00f3 casi exclusivamente en la creaci\u00f3n de contenido fraudulento de alta calidad: redes de phishing m\u00e1s veros\u00edmiles, deepfakes de audio y v\u00eddeo para suplantaci\u00f3n de identidad y campa\u00f1as de desinformaci\u00f3n automatizadas. ESET confirma que esta tendencia no solo contin\u00faa, sino que se refina. En el segundo semestre, los investigadores observaron estafas de inversi\u00f3n Nomani con deepfakes de mayor calidad y se\u00f1ales de sitios de phishing generados \u00edntegramente por IA. Sin embargo, la aparici\u00f3n de PromptLock y de un pu\u00f1ado de otras amenazas basadas en IA se\u00f1alan el inicio de una nueva era donde el c\u00f3digo mismo es generado por algoritmos.<\/p>\n
Este cambio de paradigma plantea preguntas cr\u00edticas para los equipos de seguridad. Si el c\u00f3digo malicioso ya no es est\u00e1tico, \u00bfc\u00f3mo se protegen los sistemas? La respuesta est\u00e1 en la evoluci\u00f3n de la detecci\u00f3n basada en comportamiento (EDR) y en la inteligencia de amenazas proactiva. Las defensas deben pasar de buscar \u00abla cosa mala\u00bb a identificar \u00abel comportamiento malicioso\u00bb, incluso si la herramienta utilizada es nueva cada vez.<\/p>\n
Para entender el salto que supone PromptLock, es \u00fatil compararlo con el ransomware tradicional. Un ataque convencional despliega un binario compilado que contiene todo su repertorio: rutinas de cifrado, comandos de comunicaci\u00f3n con el servidor de control (C2) y m\u00e9todos de propagaci\u00f3n. Este binario puede ser analizado y firmado. PromptLock, en cambio, funciona de manera diferente. Seg\u00fan el an\u00e1lisis de ESET, el ransomware utiliza un modelo de lenguaje (LLM) para generar scripts en tiempo real. Esto significa que el c\u00f3digo malicioso no est\u00e1 predefinido; se escribe en el momento del ataque, adapt\u00e1ndose a las condiciones del entorno o a las instrucciones del atacante.<\/p>\n
Este enfoque presenta una ventaja t\u00e1ctica enorme para los delincuentes: la capacidad de evadir la detecci\u00f3n basada en firmas. Cada ejecuci\u00f3n de PromptLock puede generar un c\u00f3digo ligeramente diferente, haciendo que las bases de datos de amenazas conocidas sean ineficaces. La investigaci\u00f3n de ESET indica que, aunque la IA se utiliza principalmente para la creaci\u00f3n de scripts maliciosos, este es el primer caso confirmado en un ransomware de producci\u00f3n, validando los escenarios de mayor riesgo que se hab\u00edan teorizado.<\/p>\n
Mientras la IA irrumpe en la escena, uno de los actores m\u00e1s prol\u00edficos de 2024 y principios de 2025 ha sufrido un colapso. Lumma Stealer, un infostealer muy popular entre los ciberdelincuentes, experiment\u00f3 una ca\u00edda dr\u00e1stica en su actividad tras una interrupci\u00f3n global ocurrida en mayo de 2025. Los datos de telemetr\u00eda de ESET muestran que las detecciones de Lumma Stealer se desplomaron un 86% en la segunda mitad del a\u00f1o en comparaci\u00f3n con la primera.<\/p>\n
El principal vector de distribuci\u00f3n de Lumma, un troyano conocido como HTML\/FakeCaptcha utilizado en los ataques ClickFix, pr\u00e1cticamente ha desaparecido de la telemetr\u00eda global. Aunque Lumma intent\u00f3 resurgir en un par de ocasiones, las evidencias apuntan a que sus d\u00edas de gloria han terminado. La infraestructura que sosten\u00eda su operaci\u00f3n masiva fue desmantelada, y la confianza de los criminales en el servicio parece haberse evaporado. Este caso demuestra que, aunque el ecosistema de malware es resiliente, las operaciones a gran escala no son inmunes a los golpes policiales y t\u00e9cnicos.<\/p>\n
El vac\u00edo dejado por Lumma Stealer no ha permanecido vac\u00edo. CloudEyE, tambi\u00e9n conocido como GuLoader, ha emergido como la amenaza dominante en la categor\u00eda de descargadores y criptores de malware como servicio (MaaS). Seg\u00fan ESET, la actividad de GuLoader se ha disparado casi treinta veces en su telemetr\u00eda durante el H2 2025. Este aumento explosivo se debe a su eficacia como veh\u00edculo de entrega para otras cargas maliciosas.<\/p>\n
Distribuido principalmente a trav\u00e9s de campa\u00f1as de correo electr\u00f3nico malicioso, GuLoader act\u00faa como un polivalente \u00abdropper\u00bb. No roba datos ni cifra archivos por s\u00ed mismo, sino que se encarga de evadir las defensas iniciales de la v\u00edctima y descargar la carga \u00fatil final. Los investigadores de ESET han observado que GuLoader se utiliza para desplegar ransomware y algunos de los infostealers m\u00e1s peligrosos del mercado, como Rescoms, Formbook y Agent Tesla. Su \u00e9xito radica en su capacidad para ofuscar el c\u00f3digo y dificultar su an\u00e1lisis, convirti\u00e9ndose en la navaja suiza del ciberdelincuente moderno.<\/p>\n
El negocio del ransomware no solo no se ha debilitado, sino que ha alcanzado nuevas cotas. A finales de 2025, el n\u00famero de v\u00edctimas ya hab\u00eda superado el total de 2024, y las proyecciones de ESET Research apuntan a un incremento interanual del 40%. El mercado de ransomware como servicio (RaaS) est\u00e1 dominado por dos pesos pesados: Akira y Qilin, que han consolidado su infraestructura y su red de afiliados. Pero la innovaci\u00f3n no se detiene.<\/p>\n
Un nuevo actor de perfil bajo, llamado Warlock, ha llamado la atenci\u00f3n de los analistas por sus t\u00e9cnicas de evasi\u00f3n novedosas. Aunque no ha alcanzado el volumen de ataques de Akira o Qilin, su aparici\u00f3n indica que los desarrolladores de ransomware est\u00e1n invirtiendo constantemente en nuevas formas de eludir las defensas.<\/p>\n
El H2 2025 trajo consigo un sobresalto para los investigadores de seguridad: el regreso de una vieja pesadilla. El ransomware Petya\/NotPetya, que caus\u00f3 estragos globales en 2017, ha resurgido en una nueva variante bautizada como HybridPetya. El hallazgo de ESET es particularmente grave porque HybridPetya es capaz de comprometer sistemas modernos basados en UEFI (Unified Extensible Firmware Interface), el firmware que reemplaza al antiguo BIOS y que controla el arranque del sistema.<\/p>\n
Atacar el UEFI es el santo grial de la persistencia. Un malware que logra infectar este nivel puede sobrevivir a un formateo del disco duro y a la reinstalaci\u00f3n del sistema operativo. HybridPetya demuestra que los atacantes est\u00e1n invirtiendo en sofisticaci\u00f3n t\u00e9cnica para lograr un impacto m\u00e1ximo, reviviendo t\u00e9cnicas que se cre\u00edan superadas y adapt\u00e1ndolas a las plataformas de hardware m\u00e1s recientes.<\/p>\n
El informe de ESET dedica una atenci\u00f3n especial a un fen\u00f3meno en crecimiento: la proliferaci\u00f3n de herramientas dise\u00f1adas para desactivar o eludir los sistemas de detecci\u00f3n y respuesta en endpoints (EDR). Los llamados \u00abEDR killers\u00bb se han convertido en un accesorio casi obligatorio en los kits de herramientas de los operadores de ransomware. Esto subraya una verdad inc\u00f3moda: los atacantes perciben los EDR como el principal obst\u00e1culo para el \u00e9xito de sus operaciones. No buscan solo ser invisibles antes del ataque; buscan dejar ciegas a las defensas en el momento cr\u00edtico. Esta tendencia obliga a las organizaciones a adoptar un enfoque de seguridad en capas, donde la monitorizaci\u00f3n del comportamiento del sistema no dependa \u00fanicamente del software de endpoint.<\/p>\n
El ecosistema de amenazas m\u00f3viles, especialmente en Android, ha experimentado una transformaci\u00f3n significativa. El fraude mediante Near Field Communication (NFC) ha crecido un 87% en la telemetr\u00eda de ESET durante el H2 2025, y las t\u00e9cnicas se han vuelto m\u00e1s refinadas.<\/p>\n
NGate, un pionero en el mundo de las amenazas NFC que fue descrito por primera vez por ESET en 2024, ha recibido una actualizaci\u00f3n peligrosa. Los investigadores han observado que ahora es capaz de robar contactos de la agenda telef\u00f3nica de la v\u00edctima, una funcionalidad que probablemente sienta las bases para ataques de ingenier\u00eda social m\u00e1s dirigidos en el futuro.<\/p>\n
Pero la verdadera novedad es RatOn, un malware completamente nuevo en la escena del fraude NFC. RatOn combina, de forma inusual, capacidades completas de acceso remoto (RAT, por sus siglas en ingl\u00e9s) con ataques de relay NFC. Esta fusi\u00f3n h\u00edbrida permite a los atacantes no solo interceptar comunicaciones NFC (como las de pagos sin contacto), sino tambi\u00e9n tomar el control del dispositivo Android de la v\u00edctima para realizar otras acciones maliciosas. La aparici\u00f3n de RatOn demuestra la determinaci\u00f3n de los ciberdelincuentes por explorar y monetizar nuevas v\u00edas de ataque en el mundo m\u00f3vil.<\/p>\n
El fraude financiero sigue siendo uno de los motores principales del cibercrimen. Las estafas de inversi\u00f3n bajo la marca Nomani han evolucionado para esquivar a las autoridades y a las plataformas de verificaci\u00f3n. ESET ha observado un refinamiento notable en sus t\u00e1cticas. Ahora utilizan deepfakes de mayor calidad para suplantar a figuras p\u00fablicas y anuncios generados por IA con una vida \u00fatil cada vez m\u00e1s corta.<\/p>\n
Esta estrategia de campa\u00f1as \u00abultrashort\u00bb (muy cortas) dificulta la detecci\u00f3n por parte de las plataformas publicitarias y las fuerzas de seguridad. Aunque las detecciones de estafas Nomani crecieron un 62% interanual, la tendencia mostr\u00f3 un ligero descenso en el H2 2025, lo que sugiere que los estafadores podr\u00edan estar movi\u00e9ndose hacia m\u00e9todos a\u00fan m\u00e1s ef\u00edmeros y dif\u00edciles de rastrear.<\/p>\n
El informe de ESET para el H2 2025 pinta un panorama de un sector en ebullici\u00f3n. La confirmaci\u00f3n de PromptLock como el primer ransomware con IA en producci\u00f3n es el titular m\u00e1s impactante, pero no es el \u00fanico punto de preocupaci\u00f3n. La convergencia de la IA generativa con el malware tradicional, el resurgimiento de t\u00e9cnicas de persistencia profunda como atacar el UEFI, la explosi\u00f3n de descargadores como GuLoader y la sofisticaci\u00f3n del fraude m\u00f3vil configuran un escenario de alta complejidad.<\/p>\n
Para las organizaciones, la conclusi\u00f3n es clara: la ciberseguridad basada \u00fanicamente en la detecci\u00f3n de firmas o en la perimetral ha quedado obsoleta. La capacidad de los atacantes para generar c\u00f3digo \u00fanico sobre la marcha exige un modelo de defensa basado en la prevenci\u00f3n, la segmentaci\u00f3n de redes, la monitorizaci\u00f3n continua del comportamiento (XDR), la higiene de parches y, sobre todo, en una inteligencia de amenazas que anticipe los movimientos del adversario. La era del ransomware artesanal ha dado paso a la era del ransomware industrializado por la IA. Quien no haya empezado a adaptar sus defensas, ya est\u00e1 rezagado.<\/p>\n","protected":false},"excerpt":{"rendered":"
El panorama de la ciberseguridad ha cruzado un umbral hist\u00f3rico en el segundo semestre de 2025. Por primera vez, la inteligencia artificial ha sido empleada de forma demostrable y operativa en el n\u00facleo de un ataque de ransomware. ESET, una de las firmas de seguridad m\u00e1s reconocidas a nivel global, ha documentado y bautizado esta […]<\/p>\n","protected":false},"author":2,"featured_media":68378,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/pub-4d4fc17555de4152be07eaf2a416a31e.r2.dev\/es\/ocie_1789132701915.jpg","fifu_image_alt":"ESET descubre PromptLock, el primer ransomware con IA en 2025","footnotes":""},"categories":[5],"tags":[],"class_list":["post-68111","post","type-post","status-publish","format-standard","has-post-thumbnail","category-tecnologia"],"fifu_image_url":"https:\/\/pub-4d4fc17555de4152be07eaf2a416a31e.r2.dev\/es\/ocie_1789132701915.jpg","fifu_image_alt":"ESET descubre PromptLock, el primer ransomware con IA en 2025","_links":{"self":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/68111","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/comments?post=68111"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/68111\/revisions"}],"predecessor-version":[{"id":68112,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/68111\/revisions\/68112"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media\/68378"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media?parent=68111"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/categories?post=68111"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/tags?post=68111"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}