Entre el 25 y el 28 de diciembre, un único actor de amenazas llevó a cabo una campaña de escaneo a gran escala, probando más de 240 exploits diferentes contra sistemas expuestos a Internet y recopilando datos sobre cada objetivo vulnerable encontrado. Esta operación de reconocimiento, ejecutada desde dos direcciones IP vinculadas a CTG Server Limited (AS152194), representa un nuevo nivel de sofisticación en la forma de asegurar el acceso inicial

Entre el 25 y el 28 de diciembre, un único actor de amenazas llevó a cabo una campaña de escaneo a gran escala, probando más de 240 exploits diferentes contra sistemas expuestos a internet y recopilando datos de cada objetivo vulnerable encontrado.

Esta operación de reconocimiento, ejecutada desde dos direcciones IP vinculadas a CTG Server Limited (AS152194), representa un nuevo nivel de sofisticación en cómo se asegura el acceso inicial para operaciones de ransomware.

El atacante sondeó sistemáticamente los objetivos en intervalos de uno a cinco segundos, aplicando 11 tipos distintos de exploits en cada sistema para identificar debilidades.

La campaña revela un cambio preocupante en las operaciones de ransomware. En lugar de lanzar ataques directos, estos actores de amenazas actúan como Brokers de Acceso Inicial (IABs), creando catálogos de sistemas vulnerables para venderlos a grupos de ransomware.

Los datos recopilados durante este período de cuatro días proporcionan un inventario confirmado de objetivos explotables que probablemente alimentarán intrusiones dirigidas a lo largo de 2026.

El momento fue deliberado, aprovechando los períodos festivos cuando los equipos de seguridad están reducidos y los sistemas de detección reciben mínima atención.

Analistas de Greynoise identificaron la campaña al detectar más de 57.000 subdominios únicos de Out-of-Band Application Security Testing (OAST) vinculados a la plataforma Interactsh de ProjectDiscovery.

Los investigadores señalaron que las herramientas utilizadas coincidían con Nuclei, un escáner de vulnerabilidades de código abierto, ejecutado a escala industrial.

Al analizar las huellas de red JA4 y un ID de máquina compartido en el 98% de los intentos, los analistas de Greynoise confirmaron que se trataba de un solo operador ejecutando el ataque, no de un esfuerzo coordinado entre grupos.

Evasión de detección y análisis de infraestructura

La elección del atacante de CTG Server Limited plantea preocupaciones significativas sobre la resiliencia de la infraestructura para operaciones criminales.

Este proveedor de hosting registrado en Hong Kong controla aproximadamente 201.000 direcciones IPv4 en 672 prefijos y opera con mínima aplicación de políticas contra abusos. La red ha sido previamente identificada como anfitriona de dominios de phishing dentro de la infraestructura CDN de FUNNULL y anuncia rutas bogon, lo que indica malas prácticas de higiene de red que la hacen atractiva para operaciones que requieren infraestructura capaz de resistir intentos de bloqueo.

Las organizaciones deben revisar sus registros de los días de la campaña en busca de conexiones a las direcciones IP sospechosas 134.122.136.119 y 134.122.136.96, así como consultas DNS a dominios OAST como oast.pro, oast.site, oast.me, oast.online, oast.fun y oast.live.

Si se encuentran coincidencias, las organizaciones deben asumir que los atacantes han confirmado vulnerabilidades en sus redes y que esta información de acceso ya podría estar disponible para su compra en mercados criminales.