ShadowSyndicate, un grupo de actividad maliciosa identificado por primera vez en 2022, ha evolucionado sus técnicas de gestión de infraestructura al adoptar un método de transición de servidores que permite al actor de amenazas rotar claves SSH en múltiples servidores. Este nuevo enfoque dificulta que los equipos de seguridad rastreen las operaciones del grupo. 

ShadowSyndicate, un clúster de actividad maliciosa identificado por primera vez en 2022, ha evolucionado sus técnicas de gestión de infraestructura al adoptar un método de transición de servidores que permite al actor de amenazas rotar claves SSH en múltiples servidores.

Este nuevo enfoque dificulta que los equipos de seguridad rastreen las operaciones del grupo.

El actor de amenazas llamó inicialmente la atención por usar una única huella SSH (1ca4cbac895fc3bd12417b77fc6ed31d) en numerosos servidores maliciosos, creando un patrón rastreable que los investigadores podían seguir.

La campaña representa un cambio significativo en cómo los ciberdelincuentes gestionan su infraestructura de ataque.

ShadowSyndicate opera reutilizando servidores empleados anteriormente y, en ocasiones, rotando varias claves SSH en su infraestructura.

Cuando se realiza correctamente, esta transición parece legítima, como si un servidor hubiera sido transferido a un nuevo usuario. Sin embargo, errores en la seguridad operativa han permitido a los equipos de seguridad identificar estas conexiones.

Analistas de Group-IB identificaron dos huellas SSH adicionales (ddd9ca54c1309cde578062cba965571e y 55c658703c07d6344e325ea26cf96c3b) que muestran patrones de comportamiento similares a la huella original.

Estos hallazgos surgieron después de que investigadores de Intrinsec reportaran otra huella SSH en 2025, lo que impulsó una investigación más profunda sobre las tácticas en evolución del actor de amenazas.

Infraestructura y marcos de ataque

La infraestructura recién descubierta revela conexiones con al menos 20 servidores que funcionan como centros de comando y control para diferentes marcos de ataque.

El análisis muestra que ShadowSyndicate sigue desplegando herramientas conocidas, como Cobalt Strike, MetaSploit, Havoc, Mythic, Sliver, AsyncRAT, MeshAgent y Brute Ratel.

Estos marcos permiten al grupo mantener acceso persistente a redes comprometidas y desplegar cargas de ransomware.

Cada huella SSH descubierta forma clústeres distintos de servidores que comparten características similares.

Un examen más detallado de las direcciones IP relacionadas revela conexiones con varios grupos de ransomware, incluyendo Cl0p, ALPHV/BlackCat, Black Basta, Ryuk y Malsmoke.

Este patrón sugiere que ShadowSyndicate podría operar como un broker de acceso inicial o proporcionar servicios de alojamiento bulletproof a otros ciberdelincuentes.

El actor de amenazas demuestra preferencias consistentes por proveedores de alojamiento específicos en todos los clústeres descubiertos.

Aunque estos servidores tienen diferentes propietarios y provienen de diversos territorios, la alineación con números de sistema autónomo conocidos crea patrones predecibles útiles para la correlación de infraestructura y la detección proactiva.

Las organizaciones deberían incorporar indicadores de compromiso en sus plataformas de inteligencia de amenazas y monitorear la actividad relacionada con direcciones IP dentro de sistemas autónomos frecuentemente utilizados.

Los equipos de seguridad deben estar atentos a fallos repetidos de autenticación multifactor, altos volúmenes de intentos de inicio de sesión y autenticaciones rápidas con credenciales válidas.

Además, monitorear ubicaciones inusuales de inicio de sesión y desajustes entre los intentos de acceso y las ubicaciones de los dispositivos que reciben solicitudes de autenticación puede ayudar a detectar intentos de compromiso.