Un servidor recientemente expuesto ha revelado cómo un actor de amenazas utilizó herramientas automatizadas, asistencia de IA y bots de Telegram para hackear silenciosamente a más de 900 empresas en todo el mundo. La operación, basada en una herramienta llamada “Bissa scanner”, se dirigió a aplicaciones web expuestas en Internet a gran escala, recopiló credenciales sensibles y envió alertas de exploits en tiempo real 

Un servidor recién expuesto ha revelado cómo un actor de amenazas utilizó herramientas automatizadas, asistencia de IA y bots de Telegram para hackear silenciosamente a más de 900 empresas en todo el mundo.

La operación, construida alrededor de una herramienta llamada “Bissa scanner”, apuntó a aplicaciones web expuestas a internet a gran escala, recolectó credenciales sensibles y envió alertas de exploits en tiempo real directamente a la cuenta de Telegram del atacante.

El ataque se centró en una vulnerabilidad crítica en Next.js, registrada como CVE-2025-55182, que los investigadores de seguridad denominan React2Shell.

Esta falla permitió a los atacantes dirigirse a millones de servidores web y extraer archivos de entorno sensibles (.env) que a menudo contienen contraseñas, claves API y tokens de acceso.

El actor de amenazas no escaneó al azar; construyó un flujo de trabajo estructurado para encontrar, explotar y clasificar a las víctimas según el valor potencial de los datos robados. Empresas financieras, plataformas de criptomonedas y compañías minoristas estuvieron entre las más afectadas.

Los analistas de The DFIR Report identificaron el alcance completo de esta campaña tras descubrir un servidor expuesto que contenía más de 13,000 archivos distribuidos en más de 150 directorios.

Los investigadores señalaron que el contenido estaba lejos de ser un simple volcado de datos. En su lugar, el servidor mostraba una operación profesionalmente organizada con scripts para explotación, almacenamiento de datos de víctimas, recolección de credenciales y validación de acceso, todo funcionando en un solo lugar.

El host expuesto también reveló que el operador utilizó Claude Code y una herramienta llamada OpenClaw para ayudar con la solución de problemas y la gestión del flujo de trabajo, otorgando al ataque un nivel de automatización y eficiencia raramente visto en campañas de explotación masiva.

Lo que hizo este descubrimiento especialmente significativo fue el uso de Telegram por parte del operador como sistema de notificación en vivo. Los scripts dentro del marco de Bissa scanner estaban codificados con un token de bot de Telegram vinculado a un bot llamado @bissapwned_bot.

Cada vez que el escáner confirmaba un exploit exitoso de React2Shell, el bot enviaba una alerta estructurada directamente al chat privado de Telegram del atacante.

El operador, identificable públicamente por el nombre de usuario de Telegram @BonJoviGoesHard y el nombre de visualización “Dr. Tube”, recibía una línea por cada éxito confirmado, cada una con la identidad de la víctima, postura en la nube, nivel de privilegio y secretos disponibles.

Esto le dio al atacante la capacidad de priorizar cientos de brechas en tiempo casi real, directamente desde una aplicación de mensajería.

El botín de credenciales fue enorme. En decenas de miles de archivos .env, el atacante recolectó claves y tokens para proveedores de IA como Anthropic y OpenAI, plataformas en la nube como AWS y Azure, sistemas de pago como Stripe y PayPal, y bases de datos como MongoDB y Supabase.

Entre el 10 y el 21 de abril de 2026, el operador subió más de 65,000 entradas de archivos archivados a un bucket de almacenamiento en la nube llamado “bissapromax” usando Filebase compatible con S3, mostrando lo automatizado y continuo que era el proceso de recolección.

Cómo funcionó el sistema de notificación por Telegram

La configuración de alertas de Telegram fue una de las partes técnicamente más reveladoras de toda esta campaña. Cada mensaje de confirmación enviado por @bissapwned_bot incluía un encabezado estructurado con un ID de mensaje, fecha, nombre de usuario del remitente y ID de usuario del bot.

El cuerpo del mensaje estaba escrito en una sola línea usando campos delimitados por emojis, lo que le daba al atacante un resumen instantáneo de cada víctima sin necesidad de iniciar sesión manualmente en el servidor.

Esta elección de diseño muestra una clara madurez operativa: el atacante buscaba velocidad, claridad y esfuerzo mínimo al revisar los resultados.

Los analistas de The DFIR Report descubrieron que el operador ejecutaba al menos dos bots separados: @bissapwned_bot para alertas del escáner y @bissa_scan_bot dentro del subsistema de control de IA impulsado por OpenClaw.

Búsquedas de metadatos contra la API de Telegram confirmaron que ambos bots permanecían activos en el momento del descubrimiento.

El chat de destino resolvió una conversación privada entre el bot y un solo operador humano, confirmando que se trataba de una campaña gestionada de forma centralizada y ejecutada por una sola persona.

Este nivel de inversión en infraestructura apunta a un atacante que había estado ejecutando este tipo de operaciones durante mucho tiempo, con nombres de fase de almacenamiento que se remontan a septiembre de 2025.

Esta ilustración muestra cómo @bissapwned_bot entregaba notificaciones de exploits en tiempo real al chat de Telegram del operador por cada éxito confirmado de CVE-2025-55182.

Los investigadores de The DFIR Report destacaron varias medidas defensivas fuertes que las organizaciones deberían aplicar de inmediato. Primero, parchea agresivamente y mantente suscrito a los avisos de los proveedores para que las CVE críticas no pasen desapercibidas hasta que ocurra un incidente.

Segundo, mueve las credenciales de producción fuera de los archivos .env y colócalas en un gestor de secretos adecuado, inyectándolas en tiempo de ejecución con vidas útiles cortas y permisos limitados.

Tercero, controla el tráfico saliente de los niveles de aplicación a través de un proxy registrado para evitar que hosts comprometidos se conecten silenciosamente a la infraestructura del atacante.

Finalmente, rota las credenciales de forma regular, escanea el código y los artefactos construidos en busca de secretos incrustados, y coloca tokens señuelo que activen una alerta en el momento en que sean accedidos por una parte no autorizada.

Fuentes:
https://cybersecuritynews.com/hackers-use-telegram-bots/