Caracas quedó a oscuras justo cuando las fuerzas estadounidenses se movilizaban para capturar al líder venezolano Nicolás Maduro el sábado. El apagón hizo más que ocultar a las tropas; demostró cómo el malware puede definir las batallas modernas. Se cree que el Comando Cibernético de EE.UU. y unidades aliadas desplegaron una carga útil dirigida a la red eléctrica dentro del operador energético de Venezuela. 

Caracas se quedó a oscuras justo cuando las fuerzas estadounidenses se movían para capturar al líder venezolano Nicolás Maduro el sábado. El apagón hizo más que ocultar a las tropas; demostró cómo el malware puede moldear las batallas modernas.

Se cree que el Comando Cibernético de EE.UU. y unidades aliadas desplegaron una carga útil enfocada en la red eléctrica dentro del operador energético de Venezuela.

Una vez activado, el código abrió silenciosamente los interruptores, desincronizó los sistemas de control y cortó los enlaces entre los dispositivos de campo y las consolas centrales.

El resultado fue un colapso controlado de la energía en distritos clave de Caracas, limitando el daño a civiles mientras dejaba a ciegas a las fuerzas leales en toda la ciudad.

Analistas de Politico identificaron más tarde el malware como una herramienta modular de ataque a la red eléctrica, estableciendo claras conexiones con campañas anteriores contra servicios públicos de la región.

Su revisión de la telemetría de la red y los datos de sincronización apunta a un cargador personalizado que llegó a las redes de control a través de puertas de enlace VPN comprometidas.

A partir de ahí, el malware mapeó los controladores de las subestaciones y etiquetó los alimentadores prioritarios que suministraban energía al centro de Caracas.

Según ingenieros de la red eléctrica regional, los primeros signos de problemas aparecieron como breves caídas escalonadas en las pantallas de monitoreo, no como un colapso total.

Los registros muestran cortes abruptos pero ordenados en varias líneas de 230 kV, seguidos de una ola de valores falsos de sensores que confundieron a los operadores locales. Para cuando las plantas diésel de respaldo se activaron, el corazón de la ciudad ya estaba a oscuras.

Mecanismo de infección y comportamiento de la carga útil

La cadena de infección comenzó con correos electrónicos de phishing dirigido enviados a ingenieros de la empresa eléctrica nacional, que llevaban una herramienta de acceso remoto firmada oculta en un informe de mantenimiento falso.

Una vez que un usuario abrió el archivo, el cargador usó credenciales VPN robadas para pivotar hacia la red de control, luego desplegó un módulo de segunda etapa en servidores Windows que gestionaban estaciones de trabajo SCADA y bases de datos históricas.

En los servidores infectados, el malware ejecutaba un bucle ajustado que consultaba el estado de los interruptores en tiempo real y ponía en cola comandos de apagado solo cuando la carga de la red se mantenía dentro de un rango seguro.

Este diseño ayudó a mantener el ataque preciso, limitar daños al hardware y ralentizar la revisión posterior una vez que la ciudad volvió a tener energía. También retrasó a los equipos de respuesta, que se encontraron con registros limpios, lecturas falsas y sistemas que parecían recuperarse por sí solos.