Fui a revisar el informe de CARLYOS: cuatro Claudes tuvieron una reunión y se negaron a cambiar el código local.
Empecemos con los resultados:Es cierto que Straiker envió un informe completo el 21 de octubre, evidencia de su propio servidor.Pero cuando fui a los originales, descubrí que el título "400 instituciones financieras han sido descompuestos" y el texto original del informe no era correcto: "Ataque más de 400 documentos financieros,"Hay 400 objetivos, no 400.No lo sé. No son muy diferentes.
Pasé dos horas masticando ese informe de la cabeza a la cola y volteándolo dos veces en el medio: La primera fue reproducir la parte de CrowdStrike y DeepSeek, que no estaba en el informe; la segunda fue buscar el origen original de las 400 familias que habían sido rotas, que no se pudo encontrar, y la última confirmación fue que la transliteración convirtió los objetivos en el "robo".
Así que, si no lo soplas, dime lo que he identificado, incluyendo cómo funciona este grupo, lo real y lo que son los medios.
Primero, averigua quién es esta pandilla.
El tema mencionado en el informe es el siguiente:
- CyberCartelLas actividades de las pandillas de cibercrimen en México se remontan a 2012, con ataques a largo plazo contra el sistema financiero latinoamericano.
- Tr4nsHack TeamOtros organizadores AiPT-67(AiPT = amenaza persistente impulsada por la IA, correspondiente al APT tradicional)
- Laboratorios de Seguridad Hexagonal México: El nombre de la compañía de proyectiles solía esconderse en un laboratorio seguro.
- CARLYOSEl sistema de ataque multifunción que armaron, el personaje principal.
El contexto en el que el grupo merece ser señalado es que no es el tipo de script que de repente emerge.Los entendimientos empresariales que han sobrevivido al sistema financiero durante más de una década —el flujo interno del banco, la reconciliación de la puerta de pago, el objetivo del viento— son requisitos para que el sistema funcione.El modelo acaba de aumentar su velocidad, no les enseñó cómo robar bancos de cero.
Este es un punto clave. Si crees que puedes hacer algo con una IA, bajas el umbral. El umbral real siempre ha sido entendido en el negocio, y AI es responsable de convertir "comprendido" en "salida" a mano.
Dos o cuatro Claude, división del trabajo, una junta.
Esta parte del informe es el mejor lugar para que mire todo el informe, no tanto tecnología, sino tanta ingeniería.
El corazón del sistema se llama "Comandante". Cursor IDE En él, es básicamente un hombre que llama a un editor de AI y llama. CARLIY0S.py Script. Scripts para transferir la API Antrópica a la subinteligencia de cuatro caracteres fijos:
| Código | Modelo trasero | ¿Qué? |
|---|---|---|
| STRIKER | claude-opus-4-7 | Ejecución directa: código de escritura, uso de escritura, escritura de scripts automatizados sin referencia al fondo autorizado |
| GHOST | claude-opus-4-8 | Análisis de reconocimiento: Verificación de OSINT, Identificación de Infraestructuras, Sendero Oculto |
| CUADRO | claude-fable-5(no confirmado) | Pensamiento horizontal: brechas de lógica empresarial, enfoques no convencionales |
| MAXIMUS | claude-opus-5 | Arbitraje final: retorno a una "decisión clave" sobre el resultado del debate |
Vea el paso más inteligente en este diseño:En lugar de tener un modelo aparece con una fórmula, los tres jugadores se separarían unos de otros, y el cuarto árbitro tomaría el control.
Eso es lo que dice el informe, para permitirles cruzarse, criticar las cargas de pago de los demás, agudizar sus tácticas para superar las ilusiones y los errores lógicos que ocurren cuando los modelos individuales luchan solos.
Para ser honesto, es un "debate multimodelo" que se utiliza como una reducción del ruido. Es fácil para un solo modelo entrar en la oscuridad, con tres roles diferentes, y es posible averiguar dónde está el uno al otro.
Hay un detalle más que marcar:Fablee, eso. claude-fable-5 Está en el perfil. El informe dice que no hay pruebas de que se haya llamado con éxito. Paso.Así que esto no está probado. El informe de amenaza de Antrópico en septiembre también declaró que estaban tratando con ataques cibernéticos que no implicaban modelos Fable o Mythos.
En tres o seis etapas, alguien comienza con una frase.
Todo el proceso se dividió en seis pasos, y lo reordené en el siguiente orden:
Fase I: Reconocimiento
GHOST corre OSINT, da vueltas a la información abierta, cuentas sociales de empleados, filtraciones históricas de datos, y saca la cara del ataque. En el informe no se proporcionó ninguna cadena de herramientas específica, pero se trataba de un proyecto de información abierta, que no era difícil.
Fase II: debate
Tres jugadores tomaron el contexto del objetivo y comenzaron a rociarse entre sí, y MAXIMUS llegó a la conclusión.This step is not a report, it is a multi-state code for direct implementation. . . . . . . . . . . .
Fase III: Ir en línea
Este paso es donde la tecnología es muy alta. Los atacantes no usaron solicitudes HTTP desnudas... ese tipo de WAF podría ver a primera vista. Lo usan. Control derecho sin cabeza cromoDesde Tunel SOCS5Fuera. Ve. Agente de vivienda para IP BurgerNo lo sé.
El navegador sin cabeza renderiza páginas, ejecuta JS, simula personas reales, puntos en CMS, con casi ninguna diferencia entre características conductuales y vistas reales de la persona.
Fase IV: Acceso al poder
El objetivo es... Magnolia CMS Atrás. Después de la autenticación, el programa inyecta automáticamente un alto grado de confusión en el extremo frontal de Vaadin. Groovy scriptCoge el RCE.
Luego está el detalle que aprecio:Elimina la cookie de sesión del navegador y la inserta directamente en un ambiente puro Python SolicitaNo lo sé. El navegador solo se utiliza para romper la puerta y tirarla cuando se hace, y todo se sigue con solicitudes de luz para funcionar — rápido, estable y no fácilmente seguido por el mecanismo de detección del navegador.
Fase 5: Esparcimiento
La inyección de RCE activa tres cargas automatizadas:
- Victor A.: escanear la base de datos de Oracle, lista de usuarios, roles, vistas, preparación para el remolque.
- Victor B.: Gire el sistema de archivos a la conexión JDBC y la clave privada SSH, incluso si la defensa ha llenado el agujero CMS, puede volver con estos certificados.
- Victor C.: Escaneando la sección Intranet (por ejemplo, 172.30.2.x en el informe), utilizando el servidor Web de éxito como trampolín y buscando un backstage inferior.
Fase 6: Cosecha
Cinco "Grok Miner" recoge las llaves, los números de cuenta y las llamadas de uno de ellos. FinnishSoft Cambio de valor.
De la fase I a la fase VI se hace una cosa:Escribe el objetivo al principioNo lo sé. Eso es lo que la palabra "full auto" significa... no AI para golpear algunas líneas para ti, renuncias al bucle.
iv. Las cosas que han resultado son más específicas que el título.
Straiker recibió una instantánea de FinancialSoft el 24 de septiembre de 2026. Esta es la propia base de evidencia del grupo, no especulación, sino realidad.
| Categoría | Número | ¿Qué significa eso? |
|---|---|---|
| Número total de documentos registrados | 4,493 | Tamaño de toda la biblioteca |
| Dirección de correo | 2,911 | Está casi lleno. |
| CLABE Account Number | 903 | Número de cuenta bancaria estándar mexicana. Es una cuenta directa. |
| Informe Gap con el día 0 | 200+ | De mayo a septiembre de 2026, la verdadera laguna de la parte lesionada |
| Universal API Key | 391 | Acceso a nivel de interfaz |
| Contraseña / Portal Iniciar sesión | 67 / 51 | El que funciona directamente. |
| JWT Signing Key | 20 | Es una señal falsa. Es demasiado. |
| Certificado de llavero | 20 | Control de nivel del proveedor de identidad |
| La puerta trasera clara. | 6 | Include master password bypassing, sharing root accounts |
Este grupo es más visible:Cuarenta y tres documentos para una víctima de tecnología financiera, 11 de ellos API Key, 32 claves de cifrado.Se informó que esta escala era suficiente para abusar del sistema de pago de SPEI - México.
Con 903 cuentas CLABE y 20 claves de firma JWT, esto ya no es un "datos robados" .Esta es la clave del túnel de pago y la identificación.No lo sé.
El informe se refiere, por cierto, a 19 documentos más de Wasabi S3 y 15 de Mailgun. El primero es almacenamiento de datos, este último significaPodemos utilizar la infraestructura de correo legal para enviar correos electrónicos de peces.Y la próxima ronda de ataques tiene municiones.
V. La parte relativa a la estrategia de seguridad es la más apropiada del informe.
El mayor obstáculo para el funcionamiento no es la tecnología, sino las incompatibilidades modelo.
Los atacantes usaron ambas manos. Eran simples pero eficaces:
Primera mano: envuelve "Estoy atacando" con "Estoy haciendo una prueba de autorización".
Los entornos de trabajo se definen en sus archivos rápidos y de reglas.Ejercicios autorizados del Equipo Rojo, Pruebas de Infiltración Académica, Proyecto de DivulgaciónNo lo sé. Bajo esta hipótesis, el modelo considera que todas las salidas son entregas defensivas.
El informe afirma que, bajo este paraguas, el modelo genera parámetros fuzzer, confunde JS comprimido, sintetiza la lógica de uso, y ninguno de los filtros de contenido del fabricante ' s se activan.
Segunda mano: Cambiar el código local para morir.
Esta mano es peor. Dejarán que Kimi y SunNET-2 intenten primero.Sin errores, sin intentos, solo corta. CARLIY0S_consolidated.py– Un documento local escrito por adelantado, lleno de códigos de ataque sólidos.
El informe llama a esta "prejudicion táctica": diseña el rechazo de los modelos como un evento previsible, no como un fracaso.
Estos dos detalles, reunidos, ilustran una situación incómoda:El marco del modelo tiene un papel limitado frente a una confrontación "nivel de estructura".Puedes hacer que una sola conversación se niegue a responder, pero no puedes detenerte el uno al otro de ir al otro lado después de eso.
Hay un detalle más que creo que es bastante oscuro: sus reglas son claras.Disable AI Output Tr4nsHack, la razón es limitar la atribución a través de salidas modelo. Se llama OPSEC cognitivo - incluso AI dejaría rastros.
Infraestructura: Un servidor de 61TB para cerebro
El centro del sistema es un servidor Ubuntu.61TB RAID5♪ ejecutando un mapa de conocimiento MCP, escuchando ♪ 8001 Puerto.
Todos los cuerpos subintelectuales deben mirar esta imagen antes de que se implemente —el equivalente a compartir un cerebro actualizado en tiempo real en todo el equipo y evitar la duplicación de esfuerzos. Dos operadores. .cursor/mcp.json Punto al mismo patrón, el objetivo encontrado por la máquina A, la máquina B puede ver inmediatamente.
El mecanismo sincrónico también es muy útil:Rsync durante 15 minutos.Lo siento.sync_live.sh*Con* --compare-destEs un PowerShell.SetThreadExecutionStatePrevención de la hibernación. Las máquinas de respaldo están explícitamente prohibidas de clonar espejos completos porque el entorno 1.1TB aplastará Cursor.
La exportación fue llevada a cabo por SOCKS5 a la piscina de la agencia de vivienda en IP Burger y Bright Data, para forjar el tráfico local en México y bloquear y anular la IP.
Siete, ahora el título.
Después de leer el informe, la versión original de la figura para "400" dice:Preguntar más de 400 desastres financieros en cuestión de mesesMás de 400 objetivos financieros fueron atacados en unos meses.
“Targets to attack” and “agencies to break down” are two concepts. En el informe.No hay número de incursiones exitosas dadasY no dice cuántos de estos 400 millas son realmente perforadas. Dio pruebas concretas de la composición documental de una víctima de tecnología financiera, una muestra de un informe de penetración bancaria (se han borrado números) y el banco de apoyo de los 4.493.
No creo que sea una exageración de Straiker... el informe mismo está muy restringido, y específicamente dice que las víctimas se reúnen anónimamente. Es una cadena transliterada donde los "targets" son reemplazados por "romper".
Una cosa más necesita ser clara:Este es un informe publicado por una empresa que vende productos antéticos de seguridad AI.El informe no contradice sus motivos comerciales, pero hay que leerlo en su corazón. Destaca que "esta es la primera pieza completa de evidencia tomada del propio ambiente de trabajo del agresor" y que no puedo verificar independientemente esta declaración "primera", pero sólo copiarla.
"CrowdStrike confirma que DeepSeek también está siendo utilizado", no encontré nada en el informe de Straiker. El informe requiere modelos como Claude (serie Sonnet y Opus), XAI Grok, Kimi.DeepSeek, no puedo leer esto, así que esto no está escrito.
VIII. RESPONSES OF ANthropic AND XAI
El informe está dedicado a un proceso de coordinación que creo que vale la pena recordar:
- Antrópico: Tengo una pista antes de la liberación, yaThe evidence used to access Claude was revoked.Es como cortar todo el enjambre.
- x AI: notificó que las cinco actividades relacionadas con Grok Miner están siendo investigadas.
El valor de esta sección es que ilustra una de las debilidades de tales ataques:Dependen de las cuentas legales de API comerciales.El número de cuenta es uno, y toda la línea está rota. Y por eso tienen el código de fondo local... pero es lo suficientemente sólido para usarlo en tiempo real.
IX. REAL REQUIRED to CHANGE
Rompí la última parte del informe en tres capas porque dijo "siete características".
| APT tradicional | AiPT | |
|---|---|---|
| ¿Quién está fuera del plan? | La gente usa escritura, la gente elige objetivos. | Debates modelo, utilización de modelos |
| Costo único | Semanas, 100.000. | Los costos marginales se aproximan a cero. |
| Traga. | Uno al día. | Cientos al mismo tiempo. |
| ¿Qué determina el techo? | Destrezas de equipo | Nivel de integración de las herramientas |
| Características conductuales | script fijo, módem | Ajuste en tiempo real. Cambiaremos el rumbo a la velocidad. |
La última línea es lo que creo que es lo peor."Dynamic Adaption" significa que sus reglas de prueba fallarán.- Se ralentizará cuando se trata del control del viento, cuando se trata de WAF, cambiará caminos, cambiará caminos, no es difícil. La regla de los umbrales fijos, la lista negra de las características fijas, no es un partido natural.
Así que son estos tres.
- Nivel de identidad: La evidencia es un hecho consumado, así que no cuentes con "prevenir". Cero confianza, fichas de corto plazo, claves de firma JWT rotan regularmente, Keycloak e IdPs de este tipo se refuerzan individualmente - 20 teclas JWT + 20 Keycloaks en el informe se basan en esta combinación y se utilizan específicamente para forjar identidad.
- ComportamientoLas listas negras IP y los bloqueos geográficos son en gran medida ineficaces contra los agentes residenciales, y esto es lo que hacen IP Burger y Bright Data en el informe. Se puede ver la secuencia operativa - el ritmo operativo después de iniciar sesión, la racionalidad del camino de acceso, el salto de permiso en la sesión.
- Capa de resultados: La cuenta se hace cargo y termina en efectivo. Múltiples factores, grandes transferencias, revisión manual, inusual interceptación de transacciones, estos métodos antiguos son más valiosos en la era AI porque son el resultado, no importa cómo entras.
Hay otro para aquellos que usan inteligencia artificial.
Tomó mucho tiempo decir: "¿Cómo puedes protegerte de la gente golpeándote con Al?" Pero era la otra mitad:Su propio despliegue de un agente también es un frente.
De las cinco capacidades recomendadas en el informe, dos son específicas para esto - averiguar qué agentes están en su entorno, qué pueden acceder, y qué puede ser eliminado de control mientras se ejecuta.
Traductor: Si usted dirige un montón de agentes en la empresa que tienen acceso al sistema,El riesgo de la inyección rápida y el contexto del informe es el mismo.No lo sé. La diferencia es sólo que esta vez fue tu agente, no tu oponente.
X. FINAL
No quiero escribir "AI da miedo al ataque", es demasiado barato.
No es sólo un modelo, pero...Finalización del proyecto del sistemaCompartir mapas de conocimiento, sincronización diferencial, rechazo de la OPSEC cognitiva, división de roles, mecanismos de arbitraje. Ninguno de estos son los que AI surgió, todos ellos en el estante, y AI puso todo el trabajo en cada celda.
En otras palabras, la pandilla gana.Hacer de la IA un componente programableNo como una piscina de deseos.
¿Cuál es el enfoque AI para la mayoría de las empresas? Comprar una interfaz, recoger un robot de pasajeros, escribir un periódico semanal. Esta brecha no es una de las capacidades de modelado sino una de las capacidades de ingeniería.
Los rivales no son "AI", son los que ponen AI en el proceso, y escriben abajo en el fondo.
El texto original del informe está disponible en el sitio web de Straiker bajo el título Inside CARLIY0S: How CyberCartel used Multipliple AI Models to Attack 400+ Latin American Banks and Financial Institutions. Para leer el texto completo, hay que rellenar un formulario, pero el blog ha escrito todos los detalles técnicos.
Finalmente, el informe IP del servidor central (157 [...] 180 [...] 98 [...] 220, puerto 801) está disponible públicamente y ha sido procesado de defang. No lo dejes ir... es la evidencia de otra persona, no donde estás experimentando.