El servidor expuesto: el manual de un operador al descubierto

CloudSEK descubrió un directorio abierto en un servidor propiedad de un actor de amenazas vinculado a Rusia que servía como un registro a nivel de comandos de la actividad del operador . El directorio contenía:

• Herramientas de explotación clasificadas por CVE
• Listas de objetivos segmentadas por país
• Resultados de escaneos clasificados en conjuntos vulnerable, no vulnerable e inalcanzable
• Un mecanismo de punto de control que rastreaba el progreso a través de cientos de miles de objetivos

En efecto, el servidor era el manual de jugadas y el registro de pulsaciones de teclas del operador, visible para cualquiera que supiera dónde mirar.

Vulnerabilidades explotadas y sectores objetivo

El broker preparó exploits para al menos 12 CVEs distintas dirigidas a dispositivos perimetrales y aplicaciones web de uso generalizado . Los proveedores afectados incluyen Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin y Hikvision . Si bien la mayoría del código de exploit era una prueba de concepto pública, los exploits clave de Fortinet y Citrix se modificaron en marcos modulares con envoltorios en ruso que automatizaban la inyección de claves SSH, la creación de usuarios VPN, el aprovisionamiento de puertas traseras de administrador y el escaneo masivo . El operador también mantenía una copia local del repositorio de plantillas nuclei y más de 100 plantillas personalizadas para detectar nuevas vulnerabilidades y paneles C2/stealer .

Los sectores objetivo incluyen educación, salud, finanzas, telecomunicaciones y gobierno, en más de una docena de países de América del Norte, Europa y más allá .

Evidencia de compromiso total de Active Directory

La cadena de post-explotación del operador proporciona evidencia clara de un dominio completo de Active Directory :

• Movimiento lateral: se estableció acceso interno inicial mediante webshells de Neo-reGeorg y túneles SOCKS, armados a través de movimiento lateral basado en NTLM mediante Evil-WinRM .
• Robo de credenciales: se extrajeron claves de respaldo DPAPI de los controladores de dominio; se volcaron los secretos SAM y LSA; se cosecharon credenciales almacenadas en los navegadores .
• Compromiso de krbtgt y tickets dorados: el atacante extrajo el hash de krbtgt y forjó tickets de Kerberos con vidas útiles de una década, lo que permitió la reentrada indefinida independientemente de los restablecimientos de contraseñas y la remediación de los endpoints .
• Confirmación mediante un incidente del mundo real: Greater Pittsburgh Orthopaedic Associates (GPOA), un proveedor de atención médica de EE. UU., apareció en el directorio con un compromiso de dominio confirmado (credenciales de administrador robadas, clave de respaldo DPAPI extraída del controlador de dominio). GPOA apareció posteriormente en el sitio de filtraciones de RansomHouse después de un incidente en 2025, y el tiempo de retraso se alinea con los plazos típicos de broker de acceso criminal a ransomware .

Métodos de recopilación de inteligencia contra Ucrania

Al final de la línea de tiempo operativa, la actividad se desvió de la intermediación de acceso puramente comercial :

• Implementación de Sliver C2: el operador implementó el marco de comando y control Sliver contra objetivos de defensa y aeroespaciales ucranianos .
• Robo de código fuente: el broker accedió y robó repositorios de código fuente a través de sistemas de control de versiones expuestos pertenecientes a proyectos relacionados con la defensa .
• Vigilancia con cámaras IP: el operador recopiló imágenes de miles de cámaras IP expuestas y capturó capturas de pantalla de sesiones de escritorio remoto (RDP) expuestas, inteligencia útil para geolocalizar activos militares ucranianos .
• Objetivos secundarios: Estados Unidos, Europa y Corea del Sur aparecieron como objetivos de inteligencia secundarios dentro de los artefactos .

CloudSEK señala que este modus operandi coincide estrechamente con el aviso de la AIVD/MIVD (inteligencia holandesa) sobre la vigilancia con cámaras vinculada al estado ruso utilizada para localizar posiciones militares ucranianas .

Cómo encaja este perfil dual en las prácticas rusas documentadas

CloudSEK evalúa con alta confianza que el operador es un broker de acceso inicial de habla rusa cuya actividad centrada en Ucrania se explica mejor como un contratista criminal que vende acceso (incluyendo inteligencia derivada de cámaras) a compradores estatales .

Esto se alinea con un patrón de inteligencia ruso bien documentado: los actores patrocinados por el estado (por ejemplo, SVR, GRU, FSB) obtienen rutinariamente el acceso inicial a la red del ecosistema criminal en lugar de realizar ellos mismos el compromiso inicial . El broker criminal maneja el trabajo ruidoso y de alto volumen de escanear y explotar dispositivos perimetrales; los clientes estatales pagan por el acceso preposicionado a objetivos de alto valor (especialmente entidades de defensa, aeroespaciales y gubernamentales) sin exponer la infraestructura controlada por el estado durante la brecha inicial.

El mismo acceso que el broker vendió a grupos de ransomware para obtener ganancias contra objetivos comerciales también se vendió como un canal de vigilancia contra objetivos militares ucranianos: un modelo de doble uso donde la misma capacidad técnica genera tanto ingresos criminales como valor de inteligencia estratégica para el estado ruso .

El servidor expuesto: el manual de un operador al descubierto

CloudSEK descubrió un directorio abierto en un servidor propiedad de un actor de amenazas vinculado a Rusia que servía como un registro a nivel de comandos de la actividad del operador . El directorio contenía:

• Herramientas de explotación clasificadas por CVE
• Listas de objetivos segmentadas por país
• Resultados de escaneos clasificados en conjuntos vulnerable, no vulnerable e inalcanzable
• Un mecanismo de punto de control que rastreaba el progreso a través de cientos de miles de objetivos

En efecto, el servidor era el manual de jugadas y el registro de pulsaciones de teclas del operador, visible para cualquiera que supiera dónde mirar.

Vulnerabilidades explotadas y sectores objetivo

El broker preparó exploits para al menos 12 CVEs distintas dirigidas a dispositivos perimetrales y aplicaciones web de uso generalizado . Los proveedores afectados incluyen Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin y Hikvision . Si bien la mayoría del código de exploit era una prueba de concepto pública, los exploits clave de Fortinet y Citrix se modificaron en marcos modulares con envoltorios en ruso que automatizaban la inyección de claves SSH, la creación de usuarios VPN, el aprovisionamiento de puertas traseras de administrador y el escaneo masivo . El operador también mantenía una copia local del repositorio de plantillas nuclei y más de 100 plantillas personalizadas para detectar nuevas vulnerabilidades y paneles C2/stealer .

Los sectores objetivo incluyen educación, salud, finanzas, telecomunicaciones y gobierno, en más de una docena de países de América del Norte, Europa y más allá .

Evidencia de compromiso total de Active Directory

La cadena de post-explotación del operador proporciona evidencia clara de un dominio completo de Active Directory :

• Movimiento lateral: se estableció acceso interno inicial mediante webshells de Neo-reGeorg y túneles SOCKS, armados a través de movimiento lateral basado en NTLM mediante Evil-WinRM .
• Robo de credenciales: se extrajeron claves de respaldo DPAPI de los controladores de dominio; se volcaron los secretos SAM y LSA; se cosecharon credenciales almacenadas en los navegadores .
• Compromiso de krbtgt y tickets dorados: el atacante extrajo el hash de krbtgt y forjó tickets de Kerberos con vidas útiles de una década, lo que permitió la reentrada indefinida independientemente de los restablecimientos de contraseñas y la remediación de los endpoints .
• Confirmación mediante un incidente del mundo real: Greater Pittsburgh Orthopaedic Associates (GPOA), un proveedor de atención médica de EE. UU., apareció en el directorio con un compromiso de dominio confirmado (credenciales de administrador robadas, clave de respaldo DPAPI extraída del controlador de dominio). GPOA apareció posteriormente en el sitio de filtraciones de RansomHouse después de un incidente en 2025, y el tiempo de retraso se alinea con los plazos típicos de broker de acceso criminal a ransomware .

Métodos de recopilación de inteligencia contra Ucrania

Al final de la línea de tiempo operativa, la actividad se desvió de la intermediación de acceso puramente comercial :

• Implementación de Sliver C2: el operador implementó el marco de comando y control Sliver contra objetivos de defensa y aeroespaciales ucranianos .
• Robo de código fuente: el broker accedió y robó repositorios de código fuente a través de sistemas de control de versiones expuestos pertenecientes a proyectos relacionados con la defensa .
• Vigilancia con cámaras IP: el operador recopiló imágenes de miles de cámaras IP expuestas y capturó capturas de pantalla de sesiones de escritorio remoto (RDP) expuestas, inteligencia útil para geolocalizar activos militares ucranianos .
• Objetivos secundarios: Estados Unidos, Europa y Corea del Sur aparecieron como objetivos de inteligencia secundarios dentro de los artefactos .

CloudSEK señala que este modus operandi coincide estrechamente con el aviso de la AIVD/MIVD (inteligencia holandesa) sobre la vigilancia con cámaras vinculada al estado ruso utilizada para localizar posiciones militares ucranianas .

Cómo encaja este perfil dual en las prácticas rusas documentadas

CloudSEK evalúa con alta confianza que el operador es un broker de acceso inicial de habla rusa cuya actividad centrada en Ucrania se explica mejor como un contratista criminal que vende acceso (incluyendo inteligencia derivada de cámaras) a compradores estatales .

Esto se alinea con un patrón de inteligencia ruso bien documentado: los actores patrocinados por el estado (por ejemplo, SVR, GRU, FSB) obtienen rutinariamente el acceso inicial a la red del ecosistema criminal en lugar de realizar ellos mismos el compromiso inicial . El broker criminal maneja el trabajo ruidoso y de alto volumen de escanear y explotar dispositivos perimetrales; los clientes estatales pagan por el acceso preposicionado a objetivos de alto valor (especialmente entidades de defensa, aeroespaciales y gubernamentales) sin exponer la infraestructura controlada por el estado durante la brecha inicial.

El mismo acceso que el broker vendió a grupos de ransomware para obtener ganancias contra objetivos comerciales también se vendió como un canal de vigilancia contra objetivos militares ucranianos: un modelo de doble uso donde la misma capacidad técnica genera tanto ingresos criminales como valor de inteligencia estratégica para el estado ruso .