Esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium investiga SystemBC, una red de bots proxy a gran escala que aprovecha una infraestructura de servidores privados virtuales (VPS) comprometidos para facilitar operaciones ciberdelictivas, entre las que se incluyen el ransomware y el robo de credenciales. A continuación, el equipo analiza a ShinyHunters, un grupo dedicado a la extorsión mediante datos con fines económicos que ahora tiene como objetivo las aplicaciones empresariales en la nube.
Asimismo, se incluye una descripción general de una sofisticada campaña de phishing de « » ( ) que utilizaba código generado por inteligencia artificial para ocultar cargas maliciosas dentro de archivos SVG, con el objetivo de eludir los métodos de detección tradicionales.
La red de bots SystemBC ataca la infraestructura de servidores VPS
El equipo de Black Lotus Labs de Lumen Technologies está revelando nuevos detalles sobre la red de bots SystemBC, entre los que se incluyen su amplio alcance, las infecciones persistentes y su integración con múltiples servicios de actores maliciosos.
La red de bots SystemBC lleva años en activo e infecta miles de sistemas cada día. Cabe destacar que, según Black Lotus Labs, este programa prefiere la infraestructura VPS —que representa la mayoría de sus víctimas— para maximizar el ancho de banda y la persistencia.
Al igual que ocurre con otras redes de bots, estas víctimas se convierten en servidores proxy para el tráfico malicioso. Según Black Lotus Labs, SystemBC utiliza sistemas VPS en lugar de direcciones IP residenciales para «ofrecer proxies con un volumen enorme durante períodos de tiempo más prolongados».
Los investigadores han observado que varias redes utilizan estos servidores proxy. Uno de los principales usuarios de la red de bots es una red de servidores proxy denominada REM Proxy. Esta red se ha relacionado con autores de ransomware en los últimos años y ofrece tres paquetes diferentes a sus usuarios; al parecer, el de mayor nivel presenta bajos índices de detección. El informe incluye un análisis más detallado sobre REM Proxy para quienes estén interesados.
Aunque no se pudo identificar un vector de acceso inicial, Black Lotus Labs descubrió que cada víctima presentaba aproximadamente 20 vulnerabilidades CVE sin parchear, de las cuales una o más eran críticas.
Telemetría global y análisis de víctimas
Los usuarios que utilicen esta red de proxies comenzarán por conectarse a C2 direcciones IP que pertenecen a SystemBC. Esto redirigirá al usuario a uno de los equipos afectados de la red de bots. Los datos de telemetría indican que SystemBC mantiene una media de 1,500 bots activos al día, de los cuales el 80 % se concentra en cinco proveedores principales de servidores VPS. Esta concentración contribuye a que las infecciones se prolonguen durante mucho tiempo, ya que casi el 40 % de los sistemas permanecen infectados durante más de un mes.
No se observó ningún patrón específico de selección entre los proveedores de VPS. Sin embargo, Black Lotus Labs determinó que la mayoría presentaba vulnerabilidades fáciles de explotar. Los investigadores relacionaron numerosos ataques con una única dirección IP que parece encargarse de captar víctimas.
Análisis de proxy
A los operadores y a los clientes de la red de bots SystemBC no parece importarles demasiado la evasión y el sigilo, a juzgar por el hecho de que las direcciones IP no se rotan ni se ocultan. La red de bots da prioridad al volumen.
La mayoría de los usuarios de la red de bots son operadores que utilizan la red para realizar ataques de fuerza bruta contra las credenciales de WordPress, posiblemente con el fin de venderlas y obtener beneficios. La red de bots también presta servicio a una importante empresa rusa de extracción de datos web, a un servicio de VN5Socks proxies con sede en Vietnam y a REM Proxy.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Tal y como señala Black Lotus Labs, SystemBC ha demostrado su resistencia a lo largo de los años y se ha convertido en un «vector persistente dentro del panorama de las amenazas cibernéticas».
El uso por parte de SystemBC de una infraestructura VPS comprometida supone un cambio en la estrategia de las redes de bots, que ahora prima la estabilidad y el ancho de banda frente al sigilo. Esto hace que sea más difícil de detectar, pero, en principio, más fácil de rastrear una vez identificado.
La persistencia de las infecciones y la falta de rotación de direcciones IP sugieren, bien una negligencia operativa, bien una decisión deliberada, en la que los autores de las amenazas dan prioridad al rendimiento y a la accesibilidad frente a la evasión, apostando por la lentitud de la respuesta de los defensores.
ShinyHunters se centra en las aplicaciones empresariales en la nube
Según EclecticIQ, el grupo ShinyHunters está centrando cada vez más sus ataques en aplicaciones empresariales en la nube con el fin de sustraer datos confidenciales y presionar a las víctimas para que paguen rescates. ShinyHunters combina ahora tácticas como el phishing de voz mediante IA, los ataques a la cadena de suministro y los empleados malintencionados para llevar a cabo sus ataques.
ShinyHunters apareció por primera vez en el año 2020 y está activo en Telegram y en foros de ciberdelincuentes de habla inglesa. EclecticIQ ha identificado a los que, en su opinión, son tres de los miembros más activos del grupo 2025, y señala que estos miembros mantienen vínculos esporádicos con otros grupos como Scattered Spider, The Com y Lapsus$.
Se cree que una de las integrantes, Yukari, forma parte tanto de ShinyHunters como de Scattered Spider. EclecticIQ considera que este miembro es el responsable de la intrusión inicial, de los ataques de suplantación de SIM y de una campaña de phishing de voz denominada « » (). Es probable que el líder de ShinyHunters, ShinyCorp, reclute a sus miembros a través de delincuentes cibernéticos. En general, parece que los miembros de ShinyHunters suelen participar en varios grupos a la vez.
Agentes de voz con IA y una red de afiliados de Scattered Spider
ShinyHunters ha utilizado servicios de llamadas basados en VoIP para llevar a cabo ataques de «vishing», así como plataformas de llamadas de voz impulsadas por IA para automatizar las llamadas de ingeniería social de . Por ejemplo, el grupo utiliza la IA de Bland para «ajustar dinámicamente sus argumentos y tácticas en tiempo real, adaptando sus respuestas a las reacciones de las víctimas durante las llamadas telefónicas». El atacante puede modificar el estilo de la voz para que suene más humano, y el modelo ajusta su tono y sus respuestas para reforzar la credibilidad.
Según el líder de ShinyHunters, la parte de las llamadas de voz de los ataques la llevan a cabo miembros de Scattered Spider, aunque algunos de ellos utilizaron The Com. ShinyHunters está buscando activamente nuevos miembros para llevar a cabo estafas de phishing mediante llamadas de voz a través de grupos de Telegram.
Ataques de vishing contra usuarios de aplicaciones en la nube
EclecticIQ considera que el grupo también llevó a cabo ataques de «vishing» para comprometer aplicaciones de Salesforce, haciéndose pasar por personal de TI y engañando a las víctimas para que introdujeran códigos de conexión y autorizaran aplicaciones controladas por el actor. En 2025, también se ha observado que ShinyHunters suplantaba las páginas de inicio de sesión de Okta SSO para robar credenciales.
Se cree que ShinyHunters ha sustraído claves de la API de BrowserStack para atacar entornos de desarrollo empresariales. EclecticIQ también sospecha que el grupo atacó los recursos de Cloudflare Zero Trust.
Expertos en selección de personal
A finales de agosto, un canal de Telegram denominado «scattered LAPSUS$ hunters 4.0” » publicó un mensaje de reclutamiento en el que se buscaban personas con acceso privilegiado a organizaciones que pudieran facilitar el acceso a sistemas como Okta, el inicio de sesión único (SSO) de Microsoft, la VPN de Citrix y GitHub. En la publicación se ofrecían recompensas económicas a cambio de acceso.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los servicios en la nube mal configurados y una gestión deficiente de las identidades se han convertido en un blanco fácil para los autores de amenazas, lo que pone de manifiesto que los entornos en la nube deben tratarse con el mismo rigor que la infraestructura tradicional.
El hecho de que este grupo recurra a credenciales robadas pone de relieve la importancia de contar con estrategias sólidas de protección de la identidad, entre las que se incluyen la autenticación multifactorial (MFA) , las políticas de acceso condicional y la supervisión continua, y destaca cómo la identidad se ha convertido en el nuevo perímetro.
Como mínimo, ShinyHunters nos recuerda que el SaaS empresarial es un objetivo de gran valor.
Una campaña de phishing utiliza código generado por IA para evitar ser detectada
Microsoft ha descubierto recientemente una sofisticada campaña de phishing que utilizaba código generado por IA para ocultar cargas maliciosas dentro de archivos SVG con el fin de eludir los métodos de detección tradicionales.
A pesar de lo sofisticadas que eran las tácticas, los sistemas de seguridad de Microsoft, basados en inteligencia artificial, lograron identificar y bloquear la amenaza mediante el análisis de señales de comportamiento y contextuales.
Tácticas y carga útil de las campañas de phishing
En agosto, Microsoft detectó una campaña de phishing que utilizaba una cuenta de correo electrónico comprometida para enviar mensajes de phishing con el fin de sustraer credenciales. El autor del ataque utilizó una táctica de correo electrónico con el remitente y el destinatario iguales, de modo que las direcciones del remitente y del destinatario parecían ser la misma, ocultando así los verdaderos destinatarios del mensaje en el campo «CC oculto».
En el cuerpo del correo electrónico de phishing se indicaba al destinatario que se le había enviado un archivo y se incluía un supuesto archivo adjunto con dicho contenido. El archivo adjunto se denominaba « “23mb – PDF – 6 páginas.svg», un archivo SVG cuyo nombre estaba diseñado para engañar a las víctimas y hacerles creer que se trataba de un PDF. Al abrir este archivo, se redirige a la víctima a una página con un mensaje CAPTCHA falso de destinado a sustraer credenciales.
Microsoft analizó el código SVG para descubrir sus métodos de ofuscación. El código se diseñó para que tuviera el aspecto de un panel de control de análisis empresarial, con gráficos de barras y etiquetas de meses. Sin embargo, se les había asignado una opacidad de cero y un relleno transparente, lo que las hacía invisibles. La verdadera funcionalidad de la carga útil también se ocultó mediante herramientas empresariales.
Microsoft determinó que el objetivo consistía en redirigir a los usuarios a una página de destino de phishing, identificar el navegador e iniciar el seguimiento de la sesión.
Utilización de la inteligencia artificial para analizar la campaña
Microsoft cree que el atacante podría haber utilizado la inteligencia artificial para ocultar la funcionalidad de la carga útil. Para confirmar esta teoría, le pidieron a Copilot que analizara el archivo y determinara si había sido creado por una IA.
Copilot indicó que era muy probable que el código fuera sintético y que lo hubiera generado un modelo de lenguaje grande (LLM) o una herramienta que utilizara uno. Copilot presentó concretamente cinco pruebas que respaldaban esta afirmación, entre las que se incluyen:
- Nombres excesivamente descriptivos y redundantes para funciones y variables
- Estructura de código modular y excesivamente compleja
- Comentarios generales
- Técnicas de ofuscación basadas en fórmulas
- Uso inusual de CDATA y la declaración XML
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La ofuscación generada por IA supone un punto de inflexión en el nivel de sofisticación del phishing. Los atacantes ya no se limitan a imitar el comportamiento humano, sino que aprovechan la inteligencia artificial para crear código que resulta más difícil de detectar y de someter a ingeniería inversa.
El uso de la jerga empresarial como camuflaje para el código malicioso resulta especialmente ingenioso, ya que se aprovecha la confianza depositada en el lenguaje profesional para eludir los filtros heurísticos y las sospechas humanas.
El éxito de Microsoft en la detección de amenazas pone de relieve la importancia del análisis basado en el comportamiento frente a la inspección estática del código, sobre todo ahora que las amenazas generadas por la inteligencia artificial tienen cada vez más en cuenta el contexto. Microsoft también ha publicado en una serie de recomendaciones, detecciones de Defender y consultas de búsqueda para ayudar a identificar esta amenaza.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
