El grupo Sandworm, respaldado por el estado ruso, ha sido detectado realizando un giro estratégico desde redes de TI comprometidas hacia sistemas de tecnología operativa (OT) que controlan infraestructuras físicas. Lo más alarmante de esta campaña es que no utiliza exploits sofisticados, sino que aprovecha vulnerabilidades no resueltas y puertas abiertas para infiltrarse en activos críticos.

Un grupo de hacking ruso patrocinado por el estado, conocido como Sandworm, ha sido sorprendido realizando un giro calculado desde redes de IT comprometidas hacia sistemas de tecnología operativa que controlan infraestructura física.

La campaña es alarmante porque no depende de exploits de vanguardia. En su lugar, Sandworm entra por puertas que ya estaban abiertas, convirtiendo vulnerabilidades no resueltas en rampas de lanzamiento para ataques contra sistemas de control industrial.

Sandworm, también rastreado como APT44, Seashell Blizzard y Voodoo Bear, está atribuido a la Unidad 74455 del GRU, la unidad de sabotaje cibernético de la inteligencia militar de Rusia.

El grupo tiene un historial largo y destructivo, siendo responsable de los ataques a la red eléctrica ucraniana y del brote del malware NotPetya en 2017.

A diferencia de las bandas de ransomware motivadas financieramente, Sandworm opera con una sola misión: causar interrupciones y, cuando sea necesario, daños físicos.

Investigadores de Nozomi Networks analizaron telemetría anonimizada de 10 clientes industriales en siete países, cubriendo la actividad desde julio de 2025 hasta enero de 2026.

El análisis confirmó 29 eventos distintos de Sandworm, revelando a un actor de amenazas que se mueve metódicamente, escala agresivamente y no retrocede cuando es descubierto.

Lo que hace que esta campaña sea particularmente preocupante es lo evitable que fue gran parte de ella. Cada uno de los sistemas infectados había generado alertas de seguridad de alta confianza durante semanas o meses mucho antes de que llegara Sandworm.

Desde puntos de apoyo en IT hacia objetivos de OT

En promedio, los sistemas comprometidos habían estado enviando señales de advertencia durante 43 días. Estas no fueron intrusiones silenciosas. Fueron ataques ruidosos y bien documentados que no fueron investigados.

Las cadenas de exploits en juego incluyeron EternalBlue, DoublePulsar y WannaCry, todas herramientas que han sido públicamente conocidas y parcheables durante años.

Sandworm no necesitó trucos nuevos. Se trasladó a entornos que otros atacantes ya habían tomado y utilizó esos puntos de apoyo para penetrar más profundamente en el territorio industrial.

Una vez que Sandworm estableció presencia dentro de una red, no se mantuvo callado. Diecisiete máquinas infectadas lanzaron ataques de movimiento lateral contra 923 objetivos internos únicos.

En el caso más extremo, un solo host comprometido atacó por su cuenta a 405 sistemas internos, y un evento de infección provocó un aumento de 12 veces en el volumen de alertas. Los objetivos no fueron aleatorios.

Sandworm mostró una intención clara de llegar a los sistemas de control industrial, golpeando directamente estaciones de trabajo de ingeniería, interfaces hombre-máquina y controladores de campo, incluyendo unidades de terminal remota, controladores lógicos programables y dispositivos electrónicos inteligentes.

En el sitio de una víctima, 286 estaciones de trabajo de ingeniería fueron blanco de ataques, mientras que en otro hubo 95 HMI en la mira. Estos no son solo ordenadores, ya que gestionan equipos físicos en fábricas, centrales eléctricas y redes de transporte.

Los investigadores de Nozomi Networks también señalaron que la actividad de Sandworm sigue un horario predecible, alcanzando su punto máximo los miércoles alrededor de las 2:00 PM hora de Moscú.

Este ritmo burocrático apunta a una operación organizada centralmente. Coincide con la forma en que las unidades militares y gubernamentales rusas estructuran su semana laboral.

Escalada tras la detección y pasos defensivos

Uno de los hallazgos más alarmantes es lo que sucede cuando Sandworm es atrapado. En lugar de retirarse, el grupo escala.

En todos los entornos afectados, la actividad se intensificó tras la detección: aumentó el volumen de alertas, aparecieron nuevos tipos de ataques, se atacaron más sistemas y el enfoque se desplazó con más fuerza hacia los sistemas de control industrial.

La mayoría de las víctimas vieron una escalada en cuatro o seis de las siete dimensiones medibles a la vez. Esto significa que una detección parcial sin una contención total puede empeorar las cosas.

Los equipos de seguridad deben pasar de la detección al aislamiento rápidamente, especialmente para cualquier sistema con acceso a tecnología operativa. Los planes de respuesta a incidentes deben asumir que Sandworm presionará más una vez que sea detectado, en lugar de retirarse.

Nozomi Networks recomienda tratar incluso las alertas rutinarias, como las detecciones de EternalBlue o Cobalt Strike, como advertencias estratégicas serias y no como ruido de fondo.

Debes centrarte en la higiene básica, eliminar protocolos heredados, aplicar la segmentación de red entre los entornos de IT y OT, y asegurarte de que los compromisos pasados estén totalmente resueltos y no solo contenidos.

Las estaciones de trabajo de ingeniería y los sistemas de gestión de ICS deben tratarse como activos críticos, mantenerse desconectados del acceso general a internet y ser monitoreados de cerca.

Sandworm explotó consistentemente entornos pre-comprometidos y brechas de seguridad antiguas, lo que significa que unos fundamentos sólidos habrían detenido por completo muchas de estas intrusiones.

Fuentes:
https://cybersecuritynews.com/sandworm-hackers-pivot-from-compromised-it-systems/