Una coalición de agencias de ciberseguridad de EE. UU. e internacionales emitió una severa advertencia esta semana sobre hacktivistas pro-rusos que explotan conexiones Virtual Network Computing (VNC) expuestas para infiltrarse en sistemas de tecnología operativa (OT) en infraestructuras críticas. El aviso conjunto, publicado el 9 de diciembre de 2025, destaca a grupos como Cyber Army of Russia Reborn (CARR), Z-Pentest, NoName057(16) y Sector16 que atacan a sistemas

Una coalición de agencias de ciberseguridad de EE. UU. e internacionales ha emitido una severa advertencia esta semana sobre activistas hacktivistas pro-rusos que explotan conexiones expuestas de Virtual Network Computing (VNC) para infiltrarse en sistemas de tecnología operativa (OT) en infraestructuras críticas.

El aviso conjunto, publicado el 9 de diciembre de 2025, destaca a grupos como Cyber Army of Russia Reborn (CARR), Z-Pentest, NoName057(16) y Sector16 que atacan los sectores de agua, alimentos, agricultura y energía a través de tácticas rudimentarias pero efectivas.

Estos grupos han evolucionado en medio de las tensiones geopolíticas desde la invasión rusa de Ucrania en 2022. CARR, inicialmente respaldado por la unidad militar rusa 74455 GRU, cambió a ataques OT a finales de 2023, alegando ataques a plantas de aguas residuales europeas y granjas lecheras estadounidenses.

NoName057(16), vinculado a un centro de monitoreo juvenil vinculado al Kremlin, se especializa en DDoS pero colabora en intrusiones. Formaciones más nuevas como Z-Pentest, formada en septiembre de 2024 a partir de desertores de CARR y NoName057(16) y Sector16, lanzado en enero de 2025, priorizan las operaciones de "hack and leak" para publicidad, exagerando a menudo los impactos a través de videos de Telegram.

Conexiones VNC Explotadas

A diferencia de los APT sofisticados, estos actores carecen de una gran experiencia, optando por ataques oportunistas contra interfaces hombre-máquina (HMI) orientadas a Internet con protecciones VNC débiles.

Escanean puertos como el 5900 usando Nmap o OpenVAS, implementan herramientas de fuerza bruta alojadas en VPS contra contraseñas predeterminadas o simples y luego manipulan las GUI para alterar parámetros, deshabilitar alarmas o cambiar el nombre de los dispositivos, causando una "pérdida de visión" que obliga a las anulación manuales.

El aviso detalla técnicas MITRE ATT&CK, desde el reconocimiento (T1595.002) hasta el impacto (T0829: Pérdida de Visión). Los atacantes registran credenciales, capturan pantallas de los cambios y publican pruebas en línea, buscando publicidad en los medios en lugar de espionaje.

Las víctimas enfrentan tiempo de inactividad, costos de remediación y daños físicos raros, como procesos de fábrica interrumpidos. Un caso de abril de 2025 vio un DDoS simultáneo que facilitó el acceso a SCADA, lo que subraya la propagación a través de TTP compartidos entre aliados.

Las agencias señalan que aún no hay heridos, pero advierten sobre el aumento de los riesgos para los sitios ocupados. Los impactos incluyen tarifas de reprogramación y paradas operativas, amplificadas por la falta de consideración de los actores por la seguridad.

Los propietarios de infraestructuras críticas deben actuar rápidamente. Las principales prioridades: eliminar la OT expuesta a Internet, segmentar las redes IT/OT, aplicar la autenticación multifactor (MFA) y prohibir los valores predeterminados.

Utiliza herramientas de superficie de ataque para buscar exposiciones de VNC, audita los firewalls para detectar el tráfico saliente y habilita los modos de solo lectura. Los fabricantes deben enviar dispositivos "seguros por diseño" sin valores predeterminados, SBOM y registro gratuito.

Haz copias de seguridad de las HMI, prueba los fallos seguros manuales y supervisa las anomalías, como inicios de sesión extraños. Respuesta a incidentes: aislar, buscar, volver a crear imágenes, aprovisionar credenciales y denunciar a CISA/FBI.

Este aviso se basa en alertas anteriores, como las mitigaciones de OT de CISA en mayo de 2025, instando a la vigilancia global. A medida que los hacktivistas iteran, forjando alianzas y amplificando las afirmaciones, los defensores no pueden permitirse la complacencia. El endurecimiento proactivo frustra estas amenazas de baja barrera antes de que evolucionen.