Grupo vinculados a Irán han estado irrumpiendo silenciosamente en redes de todo el mundo, y su última campaña es más calculada que cualquier cosa que hayamos visto de ellos anteriormente.

El grupo conocido como Seedworm, también rastreado como MuddyWater, pasó el primer trimestre de 2026 atacando al menos a nueve organizaciones en nueve países de cuatro continentes, dejando un rastro de datos robados y credenciales comprometidas.

Los objetivos fueron muy variados, afectando a empresas de fabricación industrial y electrónica, instituciones educativas, agencias gubernamentales, proveedores de servicios financieros e incluso un aeropuerto internacional en Oriente Medio.

Una de las intrusiones más sorprendentes tuvo lugar en febrero de 2026, cuando el grupo pasó una semana entera dentro de la red de un importante fabricante de electrónica de Corea del Sur, una región muy alejada de su zona de caza habitual.

Analistas del Equipo Threat Hunter de Symantec identificaron la campaña y la vincularon a Seedworm, un grupo que se cree ampliamente que opera en nombre del Ministerio de Inteligencia y Seguridad de Irán.

Los investigadores señalaron que es probable que cada organización seleccionada poseyera información de valor de inteligencia directa para Teherán, ya fuera propiedad intelectual, datos gubernamentales o acceso a clientes finales.

Abuso de binarios firmados para DLL Sideloading

Lo que destaca no es solo el rango de víctimas, sino cómo los atacantes se movieron a través de sus objetivos. En lugar de confiar en métodos ruidosos y fáciles de detectar, Seedworm mostró un nivel de disciplina operativa que indica una madurez real en sus técnicas. Los atacantes mezclaron sus métodos para permanecer ocultos, moverse silenciosamente y extraer datos sin activar alarmas obvias.

El grupo también actualizó su instrumental, mezclando herramientas familiares con nuevos métodos de entrega y eligiendo rutas de exfiltración más difíciles de detectar. Esta campaña es un recordatorio claro de que los actores de espionaje vinculados a Estados están refinando constantemente su enfoque, y tú, como defensor, necesitas mantenerte un paso adelante.

La técnica más sorprendente de esta campaña fue cómo los atacantes volvieron el software confiable contra las organizaciones que debía proteger. Depositaron pares de archivos en los sistemas seleccionados: un ejecutable firmado y legítimo, y una DLL maliciosa diseñada para ser cargada secretamente por este.

El primer par utilizó fmapp.exe, una utilidad legítima de controlador de audio, para cargar un archivo malicioso llamado fmapp.dll. El segundo par fue más provocador: sentinelmemoryscanner.exe, un componente legítimo de un producto de seguridad muy conocido, fue utilizado para cargar mediante sideloading un archivo malicioso llamado sentinelagentcore.dll. Al refugiarse tras software firmado y confiable, los atacantes hicieron que su actividad pareciera benigna a primera vista, derrotando tanto la detección basada en rutas como la basada en firmas.

Ambas DLL maliciosas portaban ChromElevator, una herramienta de post-explotación capaz de robar contraseñas, cookies y datos de tarjetas de pago de navegadores basados en Chromium. En todos los casos observados, el proceso padre que lanzaba estos archivos era node.exe, lo que significa que un script de Node.js estaba impulsando toda la cadena de sideloading en lugar de un operador humano frente al teclado.

Robo de credenciales, exfiltración y pasos defensivos

Una vez dentro de una red, los atacantes no perdieron tiempo en recolectar credenciales y asegurar su acceso. Utilizaron cambios en el registro para garantizar que su cadena de carga se reiniciara cada vez que el usuario afectado iniciara sesión. También extrajeron colmenas del registro de Windows que contenían hashes de contraseñas, proporcionándoles material fuera de línea para el descifrado y el movimiento lateral.

Se desplegaron múltiples herramientas de robo de credenciales en rápida sucesión, demostrando que los atacantes querían redundancia en caso de que algún método fuera detectado. Una herramienta activó un aviso de inicio de sesión de Windows falso para recolectar una contraseña y guardarla en un archivo de texto plano en el disco. Otra automatizó la extracción de tickets de Kerberos sin necesidad de la contraseña de un administrador de dominio.

Para la exfiltración, el grupo utilizó sendit[.]sh, un servicio público de transferencia de archivos, para sacar los archivos robados de la red. Enrutar los datos a través de una plataforma de nube de consumo es una táctica deliberada para mezclar el tráfico malicioso con la actividad normal de internet. Tú y tu organización deberían monitorear el uso inesperado de servicios públicos de intercambio de archivos y auditar todas las transferencias salientes de directorios sensibles.

Como defensor, también debes vigilar los árboles de procesos node.exe inusuales, las cargas de DLL inesperadas desde binarios de terceros firmados y que PowerShell extraiga contenido de servidores de almacenamiento externos. Mantener actualizadas las reglas de detección de endpoints y revisar regularmente las claves de ejecución del registro puede reducir la ventana de tiempo que tienen los atacantes para mantener su presencia.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido neutralizados intencionadamente (ej. [.]) para evitar la resolución accidental o el hipervínculo. Actívalos únicamente dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.