Una nueva investigación ha vinculado las operaciones del grupo hacktivista anti-israel conocido como «Moses Staff» con otro actor de amenazas naciente llamado «Abraham’s Ax», que surgió en noviembre de 2022.
Esto se basa en «varios puntos en común en los sitios de iconografía, videografía y fugas utilizados por los grupos, lo que sugiere que probablemente sean operados por la misma entidad«, dijo Secureworks Counter Threat Unit (CTU) en el informe.
Moses Staff, rastreado por la firma de ciberseguridad bajo el apodo de Cobalt Sapling, hizo su primera aparición en el panorama de amenazas en septiembre de 2021, con el objetivo de realizar ciberataques contra las principales organizaciones israelíes.
Se cree que el grupo geopolítico está patrocinado por el gobierno iraní, y desde entonces, se ha relacionado con una serie de ataques de espionaje y sabotaje informático, utilizando herramientas como «StrifeWater RAT«, cómo también malware de código abierto como «DiskCryptor» para recopilar información confidencial y bloquear los datos de las víctimas en hosts comprometido.
También se sabe que los miembros de este grupo hacktivista mantiene un sitio de fuga de información, que se utiliza para distribuir datos robados a sus víctimas y difundir sus mensajes, lo que incluye «exponer los crímenes de guerra de los sionistas en la Palestina ocupada«.
Ahora, según el análisis de los investigadores de Secureworks, «la persona del «Hacha de Abraham» se está utilizando en conjunto para atacar a los ministerios del gobierno en Arabia Saudita» y que «esto es probablemente en respuesta al papel de liderazgo de Arabia Saudita en la mejora de las relaciones entre Israel y las naciones árabes«.
Por su parte, el grupo «Hacha de Abraham» afirma estar operando en nombre de la «Ummah» de Hezbolá, a pesar de que no hay evidencia que lo respalde. Hezbolá, que significa «Partido de Alá» en árabe, es un partido político islamista chiíta libanés y un grupo militante patrocinado por el gobierno de Irán.
Las sorprendentes superposiciones en el modus operandi plantean aún más la posibilidad de que los operadores detrás de Abraham’s Ax, probablemente, estén aprovechando el mismo malware personalizado que actúa como un «cleaner criptográfico» para cifrar datos sin ofrecer un medio para recuperar los datos.
Además, ambos actores están unidos en sus motivaciones en que operan sin un incentivo financiero, con las intrusiones tomando un tono más disruptivo. Las conexiones entre los dos grupos también se evidencian por el hecho de que los sitios de exfiltración están basados en WordPress, y se alojaron en la misma subred.
«Irán tiene un historial de usar grupos proxy y personas fabricadas para atacar a adversarios regionales e internacionales«, dijo Rafe Pilling, investigador principal de Secureworks, en un comunicado.
«En los últimos años, ha surgido un número creciente de personas criminales y hacktivistas de grupos para atacar a los enemigos percibidos de Irán, al tiempo que proporcionan una negación plausible al Gobierno de Irán con respecto a la asociación o responsabilidad de estos ataques. Es probable que esta tendencia continúe«.
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
