Аналітики Rapid7 виявили незахищений сервер доставки шкідливого ПЗ, залишений хакерами у відкритому доступі. Фахівці завантажили повний інструментарій зловмисників із 1048 файлів, який містив створені ШІ фішингові текстові приманки, засоби маскування імен файлів, логи тестування та нотатки розробників. Доступ до інфраструктури дозволив детально вивчити хронологію побудови фішингової мережі та автоматизацію її процесів за допомогою штучного інтелекту.

Активна гілка атак була націлена на користувачів у Мексиці. Через фейковий урядовий сайт та мережевий протокол WebDAV на системи жертв завантажувався інфостілер для викрадення паролів і криптогаманців. Хакери застосовували генеративний ШІ для швидкого написання коду й тестування шляхів доставки вірусів, що дозволило їм діяти подібно до легітимних команд розробників ПЗ, значно прискорюючи випуск нових версій шкідливих програм.