Un grupo patrocinado por el estado ruso ha estado atacando dispositivos de borde de red en infraestructuras críticas occidentales desde 2021, con operaciones que se intensificaron a lo largo de 2025. La campaña, vinculada a la Dirección Principal de Inteligencia de Rusia (GRU) y al notorio grupo Sandworm, representa un cambio importante en las tácticas. En lugar de centrarse en la explotación de vulnerabilidades de día cero, los hackers ahora atacan dispositivos mal configurados

Un grupo respaldado por el estado ruso ha estado apuntando a dispositivos de borde de red en infraestructuras críticas occidentales desde 2021, con operaciones que se intensifican a lo largo de 2025.

La campaña, vinculada a la Dirección Principal de Inteligencia de Rusia (GRU) y al notorio grupo Sandworm, representa un cambio importante en las tácticas.

En lugar de centrarse en explotar vulnerabilidades de día cero, los hackers ahora apuntan a dispositivos de red de clientes mal configurados con interfaces de administración expuestas.

Este enfoque produce los mismos resultados – acceso persistente y robo de credenciales – al mismo tiempo que dificulta mucho la detección.

Los atacantes se centran específicamente en organizaciones del sector energético en Norteamérica y Europa, junto con proveedores de infraestructuras críticas.

Comprometen enrutadores empresariales, pasarelas VPN y dispositivos de administración de red alojados en plataformas en la nube.

Al apuntar a estos dispositivos, los hackers se posicionan para interceptar las credenciales de los usuarios transmitidas a través del tráfico de la red, que posteriormente utilizan para acceder a los servicios en línea y sistemas internos de las organizaciones víctimas.

Los analistas de AWS identificaron esta campaña a través de su telemetría de inteligencia de amenazas, observando ataques coordinados contra dispositivos de borde de red de clientes alojados en Amazon Web Services.

Los compromisos no se produjeron debido a fallas de seguridad de AWS, sino debido a configuraciones erróneas de los clientes que dejaron las interfaces de administración expuestas a Internet.

El análisis de la red reveló conexiones persistentes desde direcciones IP controladas por los atacantes a instancias EC2 comprometidas que ejecutan software de dispositivos de red, lo que indica acceso interactivo y recopilación de datos en curso.

La línea de tiempo de la campaña muestra una clara evolución. Entre 2021 y 2022, los atacantes explotaron dispositivos WatchGuard utilizando CVE-2022-26318. En 2022-2023, apuntaron a plataformas Confluence a través de CVE-2021-26084 y CVE-2023-22518.

Para 2024, la explotación de Veeam a través de CVE-2023-27532 se había vuelto prevalente. A lo largo de 2025, los hackers mantuvieron un enfoque sostenido en los dispositivos mal configurados al tiempo que redujeron su inversión en la explotación de vulnerabilidades, demostrando un cambio estratégico hacia objetivos más fáciles.

Recolección y Replicación de Credenciales

Los atacantes utilizan capacidades de captura de paquetes para recolectar credenciales de los dispositivos de red comprometidos.

Una vez que obtienen acceso a un dispositivo de borde de red, interceptan el tráfico de autenticación que pasa a través de él.

El intervalo de tiempo entre el compromiso del dispositivo y los intentos de reproducción de credenciales sugiere una recopilación pasiva en lugar de un robo activo.

Los hackers capturan las credenciales de la organización víctima – no solo las contraseñas del dispositivo – a medida que los usuarios se autentican en varios servicios a través de la infraestructura comprometida.

Después de recolectar credenciales, los atacantes las replican sistemáticamente contra los servicios en línea de las organizaciones víctimas, incluyendo plataformas de colaboración, repositorios de código fuente y consolas de administración en la nube.

Los investigadores de AWS observaron repetidamente este patrón: compromiso del dispositivo, seguido de intentos de autenticación utilizando credenciales robadas contra los servicios en la nube y las aplicaciones empresariales de la víctima.

Los atacantes establecieron conexiones con puntos finales de autenticación en múltiples sectores, incluyendo compañías de servicios eléctricos, proveedores de energía, proveedores de seguridad administrada y compañías de telecomunicaciones que abarcan Norteamérica, Europa y Medio Oriente.

La explotación de WatchGuard demostró el enfoque técnico de los atacantes. La carga útil de explotación capturada muestra cómo cifraron los archivos de configuración robados utilizando la biblioteca de cifrado Fernet, los extrajeron a través de TFTP a servidores de puesta en escena comprometidos y eliminaron evidencia borrando archivos temporales.

Esta metodología revela una cuidadosa atención a la seguridad operativa y la antiforense.