Diferencia entre revisiones de «Chaos Ransomware / MuddyWater Espionage Campaign (Iranian State-Sponsored)»

Chaos Ransomware / MuddyWater Espionage Campaign se refiere a una operación de intrusión cibernética híbrida descubierta por Rapid7, que vincula actividades inicialmente presentadas como un ataque convencional de ransomware Chaos (una operación de Ransomware-as-a-Service) con el grupo de amenazas persistentes avanzadas (APT) patrocinado por el Estado iraní MuddyWater, también conocido como Seedworm, con un grado moderado de certeza. Activo desde febrero de 2025, Chaos es un servicio de ransomware que se especializa en ataques de alto riesgo contra organizaciones de gran envergadura, con rescates que alcanzan los 300,000 dólares, y surgió poco después del desmantelamiento de la infraestructura de BlackSuit por parte de las fuerzas del orden en julio de 2025 durante la Operación Checkmate, probablemente compuesto por antiguos miembros de BlackSuit y/o Royal. Sin embargo, Rapid7 descubrió que en una intrusión específica, los atacantes utilizaron el ransomware Chaos como un señuelo de "falsa bandera" para ocultar los verdaderos objetivos de espionaje de la operación y dificultar la atribución. El informe identificó múltiples coincidencias técnicas que vinculan la campaña con la infraestructura de MuddyWater, incluyendo el uso del certificado de firma de código "Donald Gay" (previamente asociado con operaciones vinculadas al Ministerio de Inteligencia y Seguridad iraní - MOIS), así como infraestructura de comando y control vinculada a actividades anteriores de MuddyWater. Los atacantes obtuvieron acceso inicial mediante ingeniería social a través de Microsoft Teams, donde iniciaron conversaciones individuales con usuarios desde una cuenta controlada y establecieron sesiones de pantalla compartida. Durante estas interacciones, ejecutaron comandos básicos de detección, accedieron a archivos relacionados con la configuración de VPN de la víctima e instruyeron a los usuarios para que ingresaran sus credenciales en archivos de texto creados localmente. Posteriormente, implementaron herramientas de administración remota legítimas como AnyDesk y DWAgent para mantener la persistencia y robar datos, y utilizaron sesiones RDP para moverse lateralmente entre sistemas. En lugar de priorizar el cifrado a gran escala, los atacantes se centraron en la extracción de información confidencial y la manipulación de la autenticación multifactor, manteniendo al mismo tiempo el acceso a largo plazo a los sistemas de las víctimas. A pesar de la presencia de artefactos del ransomware Chaos, no se observó cifrado de archivos, lo que representa una desviación significativa del comportamiento típico del ransomware con fines lucrativos. La víctima confirmó la legitimidad de los datos filtrados que fueron publicados en el sitio web de filtración de datos (DLS) de Chaos. Esta operación refleja una tendencia más amplia de actores respaldados por estados que adoptan tácticas de ransomware y marcas criminales para enmascarar campañas de ciberespionaje, difuminando la línea entre el cibercrimen y el ciberespionaje.

[[Categoría:CAMPAÑAS|CAMPAÑAS]]