Redazione RHC : 6 agosto 2025 07:16
La infraestructura ShadowSyndicate, también conocida como Infra Storm, ha atraído la atención de los investigadores de seguridad tras identificar una importante superposición con algunos de los programas de ransomware más grandes. Activo desde mediados de 2022, el grupo está asociado con marcas como AlphaV/BlackCat, LockBit, Royal, Play, Cl0p, Cactus y RansomHub. A diferencia de los intermediarios de primer acceso (IaB) tradicionales, opera más como participante en RaaS de alto nivel, proporcionando servicios o infraestructura a diversos socios delictivos.
Según Intrinsec, las conexiones de ShadowSyndicate se extienden mucho más allá del panorama típico del cibercrimen, con tácticas y herramientas en su arsenal que imitan los enfoques de grupos como TrickBot, Ryuk/Conti, FIN7 y TrueBot, todos conocidos por sus sofisticadas técnicas de infiltración, su capacidad para evadir la detección y el uso de una variedad de Exploits.
El punto de partida de la investigación fueron dos direcciones IP que utilizaban la misma huella SSH. Utilizando Shodan y Fofa, el estudio se amplió a 138 servidores con características similares. Las intersecciones identificadas incluyen la participación en un ataque que explotó la vulnerabilidad Citrix Bleed (CVE-2023-4966), cuyos servidores fueron explotados por LockBit y ThreeAM.
También se encontraron coincidencias con la infraestructura utilizada en los ataques MOVEit y ScreenConnect; este último exploit atacaba simultáneamente dos vulnerabilidades: CVE-2024-1708 y CVE-2024-1709. Los servidores individuales de ShadowSyndicate corresponden a hosts previamente asociados con UAC-0056 (también conocido como Cadet Blizzard) y Cl0p.
El panorama técnico general también reveló vínculos con otros grupos que colaboran con los programas Black Basta y Bl00dy, así como actividad sospechosa relacionada con Cicada3301, un posible cambio de nombre de BlackCat. Los ladrones de información AMOS y Poseidon, distribuidos a través de anuncios falsos de Google y señuelos de phishing LLM, también demuestran una conexión con esta infraestructura.
La configuración técnica de la red también es de interés. El estudio destaca la presencia de hosting a prueba de balas (BPH), disfrazados de servicios VPN, VPS y proxy legítimos, pero que en realidad proporcionan una plataforma sólida para operaciones cibernéticas criminales. Se mencionan los sistemas autónomos AS209588 (Flyservers), AS209132 (Alviva Holding) y la gran estructura AS-Tamatiya, que une a 22 ASN. El alojamiento opera al amparo de jurisdicciones offshore, como Panamá, Seychelles y las Islas Vírgenes.
Si bien el informe de Intrinsec evalúa vínculos confirmados con actores estatales con un nivel moderado de seguridad, las referencias a figuras de alto nivel y operaciones híbridas de manipulación de información indican un papel mucho más amplio para esta infraestructura.
El estudio entonces menciona intersecciones con DecoyDog (una variante de PupyRAT a través de tunelización DNS), así como el uso de los descargadores maliciosos Amadey y Nitol. En mayo de 2025, la red permanecía activa, buscando vulnerabilidades e implementando componentes maliciosos.
En general, estos hallazgos presentan un panorama de un ecosistema altamente tecnológico, resiliente y multicapa que no solo respalda los esquemas de extorsión tradicionales, sino que también está estrechamente vinculado a actores que operan a nivel nacional.
ShadowSyndicate demuestra no solo un enfoque comercial, sino una estructura capaz de coordinar acciones con diferentes segmentos de ciberamenazas, desde ladrones de información y botnets hasta complejas cadenas de ataque que utilizan cero vulnerabilidades y cargadores especiales.
RedazioneSe ha descubierto una falla crítica de día cero, clasificada como CVE-2025-6543, en los sistemas Citrix NetScaler. Esta vulnerabilidad ha sido explotada activamente por hackers maliciosos desde mayo...
Una falla de seguridad en las apps de mensajería de WhatsApp para iOS y macOS de Apple ha sido corregida, según informó la compañía, tras ser probablemente explotada ampliamente junto con una vul...
NetScaler ha alertado a los administradores sobre tres nuevas vulnerabilidades en NetScaler ADC y NetScaler Gateway, una de las cuales ya se está utilizando en ataques activos. Hay actualizaciones di...
Un Jueves Negro para millones de usuarios de Microsoft Teams en todo el mundo. Una función clave de la plataforma de colaboración, la apertura de documentos incrustados de Office, ha sido repentinam...
Mientras que el auge de los robots en China, el mayor mercado y productor mundial de robots, atrae la atención de la industria global de las tecnologías de la información (TI), la aparición de un ...
