La Inteligencia Artificial es un arma de doble filo. No podemos negar que ha revolucionado el sector de la tecnología, ha ayudado a optimizar tiempos y flujos de trabajo, e incluso ha cambiado la forma en la que buscamos información por Internet. Sin embargo, los piratas informáticos también se están aprovechando de ella para reforzar su malware y dar con técnicas de ataque aún mucho más complejas. Hoy os vamos a hablar de Koske, un nuevo y peligroso malware para Linux que ha nacido gracias a la IA.
Según un informe técnico publicado por la empresa de ciberseguridad Aqua Security el 24 de julio de 2025, acabamos de conocer la existencia de una nueva amenaza que está causando verdaderos dolores de cabeza a los usuarios de Linux. Esta se caracteriza por apoyarse en la Inteligencia Artificial para crear una amenaza capaz de pasar totalmente desapercibida, tanto a la hora de descargarla y ejecutarla en el PC como una vez instalada en el PC para intentar detectarla.
Koske se esconde dentro de imágenes JPEG, de manera que, lo que aparentemente es una foto normal, en realidad se trata de un auténtico caballo de Troya. Este malware no utiliza la típica esteganografía (esconder mensajes o datos dentro del código de una foto), sino que se aprovecha de una técnica novedosa, polyglot file abuse, muy complicada de detectar.
| Enfoque | Razón técnica | Falla del sistema |
|---|---|---|
| Esteganografía | Altera bits del archivo (ej: en píxeles). | Scanners alertan ante inconsistencias en datos. |
| Polyglot file abuse | Mantiene la estructura legítima del archivo (headers válidos, metadatos). | Scanners no inspeccionan bytes posteriores a EOI. |
Este nuevo método lo que hace es añadir código ejecutable al final del archivo, lo que hace que, al abrir la foto, se ejecuten los scripts y binarios ocultos directamente en la memoria RAM.
Los piratas informáticos suben la foto a servidores de almacenamiento de fotos gratuitos, por lo que pueden distribuirla fácilmente a través de las redes sociales sin levantar sospecha. La firma de seguridad ha analizado el código del malware y se ha dado cuenta de que está diseñado de forma muy modular, usando código limpio, muy bien comentado, y con técnicas de programación defensiva, algo inusual en el malware que crean los piratas. Incluso tiene funciones para detectar, y corregir, problemas de red. Esto nos lleva a pensar que el malware se ha creado con la ayuda de una Inteligencia Artificial bastante avanzada.
Cómo funciona este malware
Los piratas informáticos están usando fotos de osos panda de diseño adorable como vía de transmisión del malware. Es cierto que se tienen que dar algunas condiciones, como que el visor de imágenes sea vulnerable, o que el usuario le haya dado permisos de ejecución a la foto. Pero, cuando el usuario abre una foto infectada, su sistema Linux automáticamente queda infectado.
Lo primero que hace Koske es asegurarse su persistencia. Para ello, modifica varios archivos del sistema, como .bashrc, rc.local o los cronjobs, y crea servicios de systemd. También esconde un rootkit dentro de LD_PRELOAD, y evita la detección al usar comandos como «ls» o «ps». Una vez en el sistema, lo siguiente es eliminar las reglas del cortafuegos iptables y cambiar la configuración de los DNS a los de Google y Cloudflare para evitar filtrados y detección de amenazas a través de ellos. Y, una vez está listo, empieza el ataque.
El siguiente paso es analizar el tipo de CPU y GPU que usa el sistema infectado, y calcula, de una lista total de 18 criptomonedas (incluidas Monero y Ravencoin), cuál es la que sale más rentable minar. Si el minado falla, automáticamente cambia el grupo de minería o de moneda.
Cómo protegernos de Koske
Koske es, probablemente, uno de los malware más peligros creados por IA que hemos visto hasta ahora. Y, aunque solo se centra en minar criptomonedas (y no roba datos de los usuarios ni cifra los datos), es una pista de lo que está por venir. Si eres usuario de Linux (Windows y macOS, por ahora, no son vulnerables) y quieres protegerte, te vamos a dejar una serie de consejos y recomendaciones:
- Mantén tu sistema operativo, y todos los paquetes, siempre actualizados.
- Usa herramientas, como AppArmor o SELinux, para limitar el alcance de cada proceso.
- No uses root siempre que no sea necesario. Cuantos menos permisos tenga el usuario, mejor.
- Monitoriza cambios en los archivos .bashrc, cron y rc.local, así como en los servicios de systemd. Puedes usar herramientas, como Auditd o Tripwire, para controlar estas modificaciones inesperadas.
- Configura bien tu firewall (iptables, ufw o nftables) para bloquear conexiones no deseadas. Establece políticas estrictas ante cambios de DNS.
- Evita ejecutar scripts sin verificar.
- Instala un software antivirus, como ClamAV, Chkrootkit o LMD.
- Usa la herramienta rkhunter para analizar el sistema y detectar posibles rootkits.