Redazione RHC : 6 agosto 2025 07:16
La infraestructura ShadowSyndicate, también conocida como Infra Storm, ha atraído la atención de los investigadores de seguridad tras identificar una importante superposición con algunos de los programas de ransomware más grandes. Activo desde mediados de 2022, el grupo está asociado con marcas como AlphaV/BlackCat, LockBit, Royal, Play, Cl0p, Cactus y RansomHub. A diferencia de los intermediarios de primer acceso (IaB) tradicionales, opera más como participante en RaaS de alto nivel, proporcionando servicios o infraestructura a diversos socios delictivos.
Según Intrinsec, las conexiones de ShadowSyndicate se extienden mucho más allá del panorama típico del cibercrimen, con tácticas y herramientas en su arsenal que imitan los enfoques de grupos como TrickBot, Ryuk/Conti, FIN7 y TrueBot, todos conocidos por sus sofisticadas técnicas de infiltración, su capacidad para evadir la detección y el uso de una variedad de Exploits.
El punto de partida de la investigación fueron dos direcciones IP que utilizaban la misma huella SSH. Utilizando Shodan y Fofa, el estudio se amplió a 138 servidores con características similares. Las intersecciones identificadas incluyen la participación en un ataque que explotó la vulnerabilidad Citrix Bleed (CVE-2023-4966), cuyos servidores fueron explotados por LockBit y ThreeAM.
También se encontraron coincidencias con la infraestructura utilizada en los ataques MOVEit y ScreenConnect; este último exploit atacaba simultáneamente dos vulnerabilidades: CVE-2024-1708 y CVE-2024-1709. Los servidores individuales de ShadowSyndicate corresponden a hosts previamente asociados con UAC-0056 (también conocido como Cadet Blizzard) y Cl0p.
El panorama técnico general también reveló vínculos con otros grupos que colaboran con los programas Black Basta y Bl00dy, así como actividad sospechosa relacionada con Cicada3301, un posible cambio de nombre de BlackCat. Los ladrones de información AMOS y Poseidon, distribuidos a través de anuncios falsos de Google y señuelos de phishing LLM, también demuestran una conexión con esta infraestructura.
La configuración técnica de la red también es de interés. El estudio destaca la presencia de hosting a prueba de balas (BPH), disfrazados de servicios VPN, VPS y proxy legítimos, pero que en realidad proporcionan una plataforma sólida para operaciones cibernéticas criminales. Se mencionan los sistemas autónomos AS209588 (Flyservers), AS209132 (Alviva Holding) y la gran estructura AS-Tamatiya, que une a 22 ASN. El alojamiento opera al amparo de jurisdicciones offshore, como Panamá, Seychelles y las Islas Vírgenes.
Si bien el informe de Intrinsec evalúa vínculos confirmados con actores estatales con un nivel moderado de seguridad, las referencias a figuras de alto nivel y operaciones híbridas de manipulación de información indican un papel mucho más amplio para esta infraestructura.
El estudio entonces menciona intersecciones con DecoyDog (una variante de PupyRAT a través de tunelización DNS), así como el uso de los descargadores maliciosos Amadey y Nitol. En mayo de 2025, la red permanecía activa, buscando vulnerabilidades e implementando componentes maliciosos.
En general, estos hallazgos presentan un panorama de un ecosistema altamente tecnológico, resiliente y multicapa que no solo respalda los esquemas de extorsión tradicionales, sino que también está estrechamente vinculado a actores que operan a nivel nacional.
ShadowSyndicate demuestra no solo un enfoque comercial, sino una estructura capaz de coordinar acciones con diferentes segmentos de ciberamenazas, desde ladrones de información y botnets hasta complejas cadenas de ataque que utilizan cero vulnerabilidades y cargadores especiales.
RedazioneLa cita, “Definitivamente construiremos un búnker antes de lanzar AGI”, que inspiró el artículo, fue atribuida a un líder de Silicon Valley, aunque no está claro exactamente a quién se refer...
En Estados Unidos, una campaña de botnets coordinada a gran escala tiene como objetivo servicios basados en el Protocolo de Escritorio Remoto (RDP). La escala y la estructura organizativa de esta cam...
La semana pasada, Oracle advirtió a sus clientes sobre una vulnerabilidad crítica de día cero en su E-Business Suite (CVE-2025-61882), que permite la ejecución remota de código arbitrario sin aut...
Cuando Nick Turley se unió a OpenAI en 2022 para liderar el equipo de ChatGPT, se le encomendó la tarea de transformar la investigación empresarial en un producto comercial. Ha cumplido esta misió...
Del 6 al 9 de octubre de 2025, Varsovia albergó la 11.ª edición del Desafío Europeo de Ciberseguridad (CECA) . En una reñida competición entre 39 equipos de Estados miembros de la UE, países de...
