Chaos Ransomware / MuddyWater Espionage Campaign (Iranian State-Sponsored)

Chaos Ransomware / MuddyWater Espionage Campaign se refiere a una operación de intrusión cibernética híbrida descubierta por Rapid7, que vincula actividades inicialmente presentadas como un ataque convencional de ransomware Chaos (una operación de Ransomware-as-a-Service) con el grupo de amenazas persistentes avanzadas (APT) patrocinado por el Estado iraní MuddyWater, también conocido como Seedworm, con un grado moderado de certeza. Activo desde febrero de 2025, Chaos es un servicio de ransomware que se especializa en ataques de alto riesgo contra organizaciones de gran envergadura, con rescates que alcanzan los 300,000 dólares, y surgió poco después del desmantelamiento de la infraestructura de BlackSuit por parte de las fuerzas del orden en julio de 2025 durante la Operación Checkmate, probablemente compuesto por antiguos miembros de BlackSuit y/o Royal. Sin embargo, Rapid7 descubrió que en una intrusión específica, los atacantes utilizaron el ransomware Chaos como un señuelo de "falsa bandera" para ocultar los verdaderos objetivos de espionaje de la operación y dificultar la atribución. El informe identificó múltiples coincidencias técnicas que vinculan la campaña con la infraestructura de MuddyWater, incluyendo el uso del certificado de firma de código "Donald Gay" (previamente asociado con operaciones vinculadas al Ministerio de Inteligencia y Seguridad iraní - MOIS), así como infraestructura de comando y control vinculada a actividades anteriores de MuddyWater. Los atacantes obtuvieron acceso inicial mediante ingeniería social a través de Microsoft Teams, donde iniciaron conversaciones individuales con usuarios desde una cuenta controlada y establecieron sesiones de pantalla compartida. Durante estas interacciones, ejecutaron comandos básicos de detección, accedieron a archivos relacionados con la configuración de VPN de la víctima e instruyeron a los usuarios para que ingresaran sus credenciales en archivos de texto creados localmente. Posteriormente, implementaron herramientas de administración remota legítimas como AnyDesk y DWAgent para mantener la persistencia y robar datos, y utilizaron sesiones RDP para moverse lateralmente entre sistemas. En lugar de priorizar el cifrado a gran escala, los atacantes se centraron en la extracción de información confidencial y la manipulación de la autenticación multifactor, manteniendo al mismo tiempo el acceso a largo plazo a los sistemas de las víctimas. A pesar de la presencia de artefactos del ransomware Chaos, no se observó cifrado de archivos, lo que representa una desviación significativa del comportamiento típico del ransomware con fines lucrativos. La víctima confirmó la legitimidad de los datos filtrados que fueron publicados en el sitio web de filtración de datos (DLS) de Chaos. Esta operación refleja una tendencia más amplia de actores respaldados por estados que adoptan tácticas de ransomware y marcas criminales para enmascarar campañas de ciberespionaje, difuminando la línea entre el cibercrimen y el ciberespionaje.

Nombres Alternativos / Aliases

Chaos Ransomware Espionage Campaign (Por el ransomware utilizado como señuelo)
MuddyWater Chaos Operation (Por el grupo APT detrás del ataque)
Iranian State-Sponsored False Flag Ransomware (Por la naturaleza del engaño)
Seedworm Chaos RaaS Abuse (Por otro alias de MuddyWater)
Microsoft Teams Social Engineering Campaign (Por el vector de acceso inicial)

Fecha de Detección / Actividad

Inicio de la Actividad de Chaos Ransomware: Febrero de 2025
Fecha de Investigación de Rapid7: Publicación la semana del 11 de mayo de 2026
Período de Actividad de MuddyWater: Aumento significativo a principios de 2026, con operaciones de ciberespionaje y posible preposicionamiento en redes occidentales y de Oriente Medio
Antecedentes Históricos: MuddyWater fue vinculado a actividades de Qilin RaaS a finales de 2025 contra una organización israelí
Estado: Activo. MuddyWater continúa utilizando marcas de ransomware como señuelo para operaciones de espionaje.

Actor de Amenaza (Atribución)

Nombre del Actor: MuddyWater (también conocido como Seedworm, y vinculado al Ministerio de Inteligencia y Seguridad de Irán - MOIS)
Tipo de Actor: Grupo de amenazas persistentes avanzadas (APT) patrocinado por un estado-nación (Irán)
Sofisticación: Muy alta. MuddyWater demuestra capacidades avanzadas de ciberespionaje, incluyendo: (a) ingeniería social a través de plataformas de colaboración empresarial (Microsoft Teams), (b) uso de herramientas de administración remota legítimas (AnyDesk, DWAgent) para evasión, (c) manipulación de autenticación multifactor, (d) movimiento lateral mediante RDP, (e) robo de credenciales y datos confidenciales, (f) uso de certificados de código específicos ("Donald Gay") para firmar malware, (g) empleo de operaciones de "falsa bandera" utilizando marcas de ransomware criminal (Chaos, Qilin) para ocultar objetivos de espionaje y dificultar la atribución, y (h) adaptación continua de tácticas, técnicas y procedimientos (TTPs) para evadir la detección.
Vínculo con Chaos Ransomware: Chaos es un RaaS (Ransomware-as-a-Service) criminal no afiliado directamente a MuddyWater, pero MuddyWater utiliza su marca como señuelo. Chaos se especializa en ataques de alto riesgo con rescates de hasta $300,000, ofrece doble, triple y cuádruple extorsión, y anuncia su programa de afiliados en foros como RAMP y RehubCom.

Resumen Ejecutivo

Chaos Ransomware / MuddyWater Espionage Campaign es un ejemplo paradigmático de la creciente convergencia entre las actividades de intrusión patrocinadas por estados y las tácticas de los ciberdelincuentes, descubierto por Rapid7. La operación, vinculada con un grado moderado de certeza al grupo APT iraní MuddyWater (Seedworm, asociado al Ministerio de Inteligencia y Seguridad de Irán - MOIS), utilizó la marca del ransomware Chaos como un elaborado señuelo de "falsa bandera" para ocultar sus verdaderos objetivos de espionaje. Rapid7 identificó múltiples coincidencias técnicas que conectan la campaña con la infraestructura de MuddyWater, incluyendo el uso del certificado de firma de código "Donald Gay" (previamente asociado con operaciones del MOIS) e infraestructura de C2 vinculada a actividades anteriores del grupo. El ataque comenzó con un vector de acceso inicial altamente innovador: ingeniería social a través de Microsoft Teams. Los atacantes, utilizando una cuenta controlada, iniciaron conversaciones individuales con usuarios de la organización objetivo y establecieron sesiones de pantalla compartida, obteniendo visibilidad directa y acceso interactivo a los recursos del usuario. Durante estas sesiones, ejecutaron comandos básicos de detección, accedieron a archivos de configuración de VPN de la víctima e instruyeron a los usuarios para que ingresaran sus credenciales en archivos de texto creados localmente, efectivamente robándolas. En al menos un caso, implementaron la herramienta de administración remota legítima AnyDesk para facilitar el acceso persistente. Una vez dentro del entorno, los atacantes utilizaron sesiones RDP (Remote Desktop Protocol) para moverse lateralmente entre sistemas, ampliando su acceso y accediendo a recursos adicionales dentro de la red. Para mantener la persistencia, utilizaron herramientas de administración remota como DWAgent y continuaron robando datos confidenciales. En lugar del cifrado masivo de archivos típico del ransomware, la operación se centró en la extracción de información confidencial y la manipulación de la autenticación multifactor, con el objetivo de mantener acceso a largo plazo a los sistemas de las víctimas con fines de espionaje. A pesar de que se encontraron artefactos del ransomware Chaos (como notas de rescate y referencias al sitio de filtración de datos del grupo), no se observó cifrado de archivos, una desviación significativa del comportamiento típico del ransomware con fines lucrativos. Esta inconsistencia llevó a Rapid7 a concluir que el componente de ransomware funcionó principalmente como un mecanismo de facilitación u ofuscación, no como el objetivo principal de la intrusión. Los atacantes, siguiendo las tácticas de extorsión modernas, distribuyeron correos electrónicos a los usuarios alegando una exfiltración de datos exitosa y proporcionaron un enlace .onion para la negociación. La víctima confirmó la legitimidad de los datos filtrados que fueron publicados en el sitio web de filtración de datos (DLS) de Chaos, aunque la nota de rescate y las credenciales de acceso a un chat seguro mencionadas en los correos no pudieron ser localizadas. Esta operación refleja una tendencia más amplia de actores respaldados por estados (como MuddyWater) que adoptan tácticas de ransomware y se apropian de marcas criminales (Chaos, Qilin) para enmascarar campañas de ciberespionaje, generando ambigüedad, retrasando la respuesta defensiva y dificultando la atribución.

Vectores de Ataque / Métodos de Distribución

Ingeniería Social a través de Microsoft Teams: El atacante inició conversaciones individuales con usuarios desde una cuenta controlada, aprovechando la confianza inherente en las herramientas de comunicación interna.
Compartición de Pantalla Interactiva (Screen Sharing): Durante las conversaciones de Teams, el atacante estableció sesiones de pantalla compartida, obteniendo visibilidad directa y acceso interactivo a los recursos del usuario.
Robo de Credenciales Mediante Ingeniería Social: El atacante instruyó a los usuarios para que ingresaran sus credenciales en archivos de texto creados localmente, robándolas efectivamente mediante manipulación directa.
Implementación de Herramientas de Administración Remota Legítimas: El atacante desplegó AnyDesk y DWAgent, herramientas legítimas de acceso remoto, para establecer persistencia y canales de control sin levantar sospechas.
Movimiento Lateral mediante RDP: Utilizando cuentas comprometidas, el atacante utilizó sesiones de Remote Desktop Protocol (RDP) para moverse entre sistemas dentro de la red de la víctima.
Falsa Bandera con Ransomware Chaos: El atacante utilizó la marca Chaos RaaS (notas de rescate, sitio de filtración de datos) para hacer parecer la intrusión como un ataque de ransomware criminal, ocultando los verdaderos objetivos de espionaje.

Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK

Táctica (MITRE ATT&CK)	Técnica / Subtécnica	Descripción / Implementación
Initial Access (TA0001)	Phishing: Spearphishing via Service (T1566.003)	Ingeniería social a través de Microsoft Teams, no mediante correo electrónico tradicional.
Initial Access (TA0001)	Valid Accounts (T1078)	Uso de credenciales robadas mediante archivos de texto para acceso inicial.
Execution (TA0002)	User Execution: Malicious Link (T1204.001)	Interacción del usuario durante la sesión de pantalla compartida en Teams.
Persistence (TA0003)	External Remote Services (T1133)	Uso de AnyDesk y DWAgent como servicios de acceso remoto persistentes.
Privilege Escalation (TA0004)	Valid Accounts (T1078)	Uso de cuentas comprometidas para movimiento lateral y acceso a recursos adicionales.
Defense Evasion (TA0005)	Masquerading (T1036) - Match Legitimate Name or Location (T1036.005)	Uso de herramientas legítimas (AnyDesk, DWAgent) y marca de ransomware Chaos como señuelo.
Defense Evasion (TA0005)	Subvert Trust Controls: Code Signing (T1553.002)	Uso del certificado de firma de código "Donald Gay" para firmar malware, previamente vinculado al MOIS.
Credential Access (TA0006)	Brute Force (T1110) / Input Capture (T1056)	Robo de credenciales mediante instrucción directa al usuario para escribir en archivos de texto.
Discovery (TA0007)	Account Discovery (T1087)	Comandos básicos de detección ejecutados durante la sesión de pantalla compartida.
Discovery (TA0007)	File and Directory Discovery (T1083)	Acceso a archivos de configuración de VPN y otros directorios.
Collection (TA0009)	Data from Local System (T1005)	Extracción de información confidencial de los sistemas comprometidos.
Lateral Movement (TA0008)	Remote Services: Remote Desktop Protocol (T1021.001)	Movimiento lateral mediante sesiones RDP entre sistemas.
Command and Control (TA0011)	Remote Access Software (T1219)	Uso de AnyDesk y DWAgent como canales C2 legítimos.
Exfiltration (TA0010)	Exfiltration Over C2 Channel (T1041)	Exfiltración de datos robados a través de canales de acceso remoto.
Impact (TA0040)	Data Encrypted for Impact (T1486)	No se observó cifrado, a pesar de la presencia de artefactos de Chaos Ransomware.
Impact (TA0040)	Data Manipulation (T1565) / Financial Theft	Publicación de datos robados en el sitio de filtración de Chaos (DLS) como extorsión.

Flujo de Ataque (Cyber Kill Chain)

Reconocimiento: MuddyWater identifica organizaciones objetivo en Oriente Medio y Asia, con un enfoque en el espionaje de información confidencial.
Armamento: El grupo desarrolla o adquiere acceso a cuentas de Microsoft Teams controladas, prepara herramientas de administración remota legítimas (AnyDesk, DWAgent), y utiliza el certificado "Donald Gay" para firmar componentes maliciosos. También prepara la infraestructura de ransomware Chaos (notas de rescate, sitio DLS) como señuelo.
Entrega: El atacante inicia conversaciones individuales con usuarios objetivo a través de Microsoft Teams, aprovechando la confianza en la plataforma.
Explotación: Durante la conversación, el atacante establece una sesión de pantalla compartida, obteniendo visibilidad directa del sistema del usuario. Luego, manipula al usuario para que ejecute comandos, revele archivos de configuración de VPN, y escriba sus credenciales en archivos de texto locales.
Instalación: El atacante despliega AnyDesk y DWAgent en los sistemas comprometidos para establecer persistencia y canales de acceso remoto continuos. Utiliza RDP para moverse lateralmente a otros sistemas dentro de la red.
Comando y Control (C2): Los atacantes utilizan las herramientas de administración remota legítimas (AnyDesk, DWAgent) como canales C2, lo que dificulta la detección por parte de soluciones de seguridad tradicionales.
Acción sobre Objetivos:
- Espionaje: Extracción de información confidencial de los sistemas comprometidos.
- Falsa Bandera: Los atacantes distribuyen correos electrónicos alegando una exfiltración de datos y proporcionan un enlace .onion al sitio de filtración de Chaos (DLS). Publican los datos robados en el DLS para que parezca una operación de ransomware con fines lucrativos.
- No se realiza cifrado: A pesar de la presencia de artefactos de Chaos, no se cifran archivos, lo que confirma que el objetivo principal no es la extorsión económica sino el espionaje.

Infraestructura Utilizada

Tipo	Indicador / Característica	Propósito
Plataforma de Ingeniería Social	Microsoft Teams (cuentas controladas por el atacante)	Vector de acceso inicial mediante interacción directa con usuarios.
Herramientas de Administración Remota	AnyDesk, DWAgent	Persistencia, acceso remoto y canales C2 encubiertos.
Movimiento Lateral	RDP (Remote Desktop Protocol)	Desplazamiento entre sistemas dentro de la red de la víctima.
Certificado de Firma de Código	"Donald Gay" (previamente vinculado al MOIS de Irán)	Firma de malware para eludir controles de seguridad.
Ransomware Señuelo	Chaos Ransomware (marca RaaS)	Falsa bandera para ocultar objetivos de espionaje.
Sitio de Filtración de Datos (DLS)	Chaos DLS (dominio .onion)	Publicación de datos robados como parte de la extorsión.
Foros de Ciberdelincuencia	RAMP (antes de desmantelamiento), RehubCom	Chaos anuncia su programa de afiliados (no utilizado directamente por MuddyWater).

Objetivos y Sectores Afectados

Objetivo Principal: Organizaciones en Oriente Medio y Asia, con un enfoque en ciberespionaje y posible preposicionamiento para operaciones disruptivas en redes occidentales y de Oriente Medio.
Sectores Prioritarios: No se especifica, pero MuddyWater históricamente ha atacado sectores gubernamentales, tecnológicos, energéticos y de telecomunicaciones en la región.
Organizaciones Afectadas: Organizaciones de gran envergadura (Chaos se especializa en ataques de alto riesgo).
Distribución Geográfica: Oriente Medio, Asia, y potencialmente redes occidentales.
Tipo de Datos Robados: Información confidencial, credenciales, archivos de configuración de VPN, datos corporativos sensibles.

Impacto y Riesgo

Nivel de Riesgo: Alto para organizaciones gubernamentales y del sector privado en Oriente Medio, Asia y Occidente, especialmente aquellas que utilizan Microsoft Teams y tienen una postura de seguridad menos madura.
Impacto Potencial (Espionaje):
- Robo de Información Confidencial: Exfiltración de datos corporativos, gubernamentales y militares.
- Compromiso de VPN y Acceso Remoto: Robo de archivos de configuración de VPN puede permitir acceso a redes internas.
- Manipulación de MFA: Capacidad de manipular la autenticación multifactor para mantener acceso persistente.
- Preposicionamiento: MuddyWater podría estar estableciendo acceso a largo plazo en redes occidentales y de Oriente Medio para futuras operaciones disruptivas.
Impacto Potencial (Confusión Estratégica):
- Atribución Retrasada: El uso del ransomware Chaos como señuelo dificulta la atribución, retrasando las decisiones estratégicas de respuesta.
- Respuesta de Incidentes Inadecuada: Los equipos de seguridad pueden tratar la intrusión como un crimen con fines lucrativos en lugar de una operación de inteligencia a largo plazo, llevando a respuestas inadecuadas.
- Ambigüedad Estratégica: El actor mantiene un grado de negación plausible sobre su participación.
Contexto Más Amplio (Tendencia):
- Convergencia de Cibercrimen y Ciberespionaje: Este caso es un ejemplo de una tendencia más amplia donde actores patrocinados por estados adoptan tácticas de ransomware (doble, triple, cuádruple extorsión) y marcas criminales (Chaos, Qilin) para ocultar operaciones de espionaje.
- Evolución de MuddyWater: El grupo ha intensificado su actividad operativa a principios de 2026, centrándose en ciberespionaje y posible preposicionamiento, y ha aumentado su dependencia de operaciones de falsa bandera.

Recomendaciones de Mitigación

Securización de Plataformas de Colaboración (Microsoft Teams, Slack) (M1017, M1040):
- Tratar Teams, Slack y similares como superficies de ataque de alto riesgo, aplicando las mismas estrategias de monitorización, concienciación del usuario y protección de la identidad que para correo electrónico y VPN.
- Restringir las comunicaciones externas en Teams para evitar que actores maliciosos inicien conversaciones con usuarios internos.
- Educar a los usuarios sobre los riesgos de compartir pantalla con personas no verificadas y de ejecutar comandos o revelar credenciales durante sesiones de soporte técnico no solicitado.
Control y Monitorización de Herramientas de Administración Remota (M1038, M1040):
- Restringir la instalación y ejecución de herramientas de administración remota (AnyDesk, DWAgent, TeamViewer) mediante políticas de control de aplicaciones (AppLocker, WDAC).
- Monitorear el uso de estas herramientas y alertar sobre instalaciones no autorizadas o conexiones desde IPs inusuales.
Protección de Credenciales y Autenticación Multifactor (M1032, M1027):
- Implementar MFA resistente al phishing (FIDO2, WebAuthn) en lugar de métodos basados en SMS o aplicaciones de autenticación estándar.
- Educar a los usuarios para que nunca compartan credenciales con nadie, incluso si la solicitud parece provenir de soporte técnico interno.
- Monitorear intentos de manipulación de MFA (cambios en métodos de autenticación, registros de nuevos dispositivos).
Segmentación de Red y Movimiento Lateral (M1030):
- Segmentar redes para limitar el movimiento lateral (RDP) entre sistemas críticos y no críticos.
- Restringir el uso de RDP a cuentas y sistemas específicos, y monitorear sesiones RDP anómalas.
Detección de Falsa Bandera y Respuesta a Incidentes (M1040, M1019):
- No asumir que un ataque de ransomware es solo un ataque de ransomware. Investigar siempre el ciclo de vida completo de la intrusión.
- Buscar discrepancias entre las tácticas observadas y el comportamiento típico del ransomware (ej., ausencia de cifrado, enfoque en robo de credenciales y movimiento lateral).
- Correlacionar indicadores con inteligencia de amenazas sobre actores estatales (certificados de código, infraestructura C2 anterior).

Herramientas de Detección

EDR (Endpoint Detection and Response): Soluciones como CrowdStrike, SentinelOne, Microsoft Defender for Endpoint pueden detectar la instalación de AnyDesk/DWAgent, sesiones RDP anómalas, y la presencia del certificado "Donald Gay".
SIEM: Correlacionar logs de Microsoft Teams (actividad de cuentas externas, solicitudes de pantalla compartida), logs de autenticación (creación de archivos de texto con credenciales), y logs de red (conexiones RDP, tráfico a herramientas de administración remota).
Monitoreo de Microsoft Teams (APIs de Graph): Herramientas de seguridad de colaboración (ej., Varonis, AvePoint) pueden detectar cuentas externas iniciando conversaciones con usuarios internos.
Análisis de Certificados de Código: Monitorear la aparición de ejecutables firmados con el certificado "Donald Gay" en los endpoints.
Threat Intelligence Feeds: Utilizar IOCs de MuddyWater y Chaos Ransomware para bloqueo proactivo y correlación.

Referencias y Fuentes

Ahmed, D. (2026, 11 de mayo). Rapid7 vincula la campaña de ransomware Chaos con la operación de espionaje MuddyWater, patrocinada por el Estado iraní. Hackread.com. (Artículo proporcionado por el usuario).
Blia, A. (2026, mayo). Chaos Ransomware vs. MuddyWater Espionage Campaign Analysis. Rapid7 Threat Intelligence. (Informe de investigación citado en el artículo).
Seker, E. (2026). SOCRadar CISO Commentary on MuddyWater Chaos Campaign. (Declaración citada en el artículo).
MITRE ATT&CK Framework. Enterprise Matrix. (Para mapeo de TTPs).

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-05-12	1.0	Fernando Vargas Hincapié	Creación inicial de la entrada basada en el análisis de Rapid7 sobre Chaos Ransomware y MuddyWater.

Indicadores de Compromiso (IOCs)

Tipo	Valor
Grupo APT	MuddyWater (Seedworm, vinculado al MOIS - Irán)
Ransomware Señuelo	Chaos Ransomware (RaaS, activo desde febrero 2025)
Certificado de Firma de Código	"Donald Gay" (previamente vinculado al MOIS)
Herramientas de Administración Remota	AnyDesk, DWAgent
Vector de Acceso Inicial	Microsoft Teams (ingeniería social, pantalla compartida)
Movimiento Lateral	RDP (Remote Desktop Protocol)
Rescate Máximo (Chaos)	$300,000 USD
Foros de Chaos	RAMP (antes de desmantelamiento), RehubCom
Tácticas de Extorsión	Doble, triple (DDoS) y cuádruple extorsión
Sitio de Filtración de Datos	Chaos DLS (dominio .onion)
Regiones Objetivo	Oriente Medio, Asia, potencialmente Occidente
Actividad Previa de MuddyWater	Qilin RaaS (finales de 2025, contra organización israelí)
Comportamiento Anómalo	Conversaciones no solicitadas en Microsoft Teams desde cuentas externas
Comportamiento Anómalo	Solicitudes de compartir pantalla en Teams sin contexto de soporte legítimo
Comportamiento Anómalo	Instalación de AnyDesk/DWAgent sin autorización
Comportamiento Anómalo	Ausencia de cifrado en un incidente que presenta artefactos de ransomware
Comportamiento Anómalo	Instrucciones a usuarios para escribir credenciales en archivos de texto

Etiquetas / Categorías

muddywater seedworm iran mois chaos-ransomware raas false-flag ransomware espionage state-sponsored microsoft-teams social-engineering anydesk dwagent rdp donald-gay code-signing qilin blacksuit royal double-extortion triple-extortion quadruple-extortion rapid7 socradar cyber-espionage ciberwiki deeba-ahmed alexandra-blia ensar-seker hackread muddywater-chaos iranian-cyber apt seedworm microsoft-teams-phishing

CAMPAÑAS