En 2023, tanto el FBI como la CISA publicaron un Aviso Conjunto de Ciberseguridad (CSA) en respuesta a la creciente actividad del grupo cibercriminal Scattered Spider, también identificado como UNC3944, Octo Tempest o 0ktapus. El reporte advierte sobre sus tácticas altamente efectivas orientadas a sectores críticos como instalaciones comerciales, aerolíneas, retail y servicios financieros, con foco en proveedores de TI subcontratados.
El siguiente compilado de ataques revela los vectores de acceso utilizados por Scattered Spider en sus últimos ataques que se han hecho públicos. Fuente: Push Security.
Los TTP utilizados por Scattered Spider incluyen:
🚩 Phishing de credenciales por correo electrónico y SMS (smishing) para obtener contraseñas en masa
🚩 Uso de SIM swapping (en el que se consigue que el operador transfiera un número a la tarjeta SIM controlada por el atacante) para eludir la MFA basada en SMS.
🚩 Utilizar la fatiga MFA (también conocida como push bombing) para eludir la autenticación push basada en aplicaciones.
🚩 Utilizar el vishing (es decir, llamar directamente a una víctima para manipular su código MFA, a diferencia de un ataque de help desk).
🚩 Ingeniería social de registradores de dominios para hacerse con el control de los DNS de la organización objetivo, secuestrando sus registros MX y el correo entrante, y utilizando esto para hacerse con el control de los entornos de aplicaciones empresariales de la empresa.
🚩 Y, por último, el uso de kits de phishing AiTM que eluden la MFA, como Evilginx, para robar sesiones de usuario en tiempo real.
Este grupo se ha posicionado como una de las amenazas más sofisticadas de los últimos años, combinando ingeniería social avanzada con herramientas de acceso remoto y ransomware como BlackCat/ALPHV, con el objetivo de robar datos confidenciales, extorsionar y paralizar operaciones completas.
Un blanco recurrente: la infraestructura virtual
Scattered Spider ha intensificado sus campañas contra entornos virtualizados, específicamente los hipervisores VMware ESXi, explotando debilidades en la gestión de identidades y accesos privilegiados. Lo alarmante es que, a diferencia de otros grupos, no explotan vulnerabilidades técnicas para lograr el acceso inicial, sino que acceden a las redes a través de llamadas telefónicas perfectamente ejecutadas al help desk corporativo.
Suplantando a empleados reales, persuaden al personal de TI para restablecer contraseñas de Active Directory, lo que les permite ingresar a la red y mapear objetivos de alto valor, como administradores de VMware vSphere o soluciones PAM mal segmentadas.
Etapas del ataque: de una llamada al control total
Según el análisis de Google Threat Intelligence Group (GTIG), una intrusión típica de Scattered Spider se desarrolla en cinco fases:
- Acceso inicial: Mediante ingeniería social, obtienen credenciales o inducen el cambio de contraseñas.
- Reconocimiento interno: Identifican activos críticos, credenciales de dominio y accesos administrativos.
- Escalada de privilegios: Comprometen vCenter Server Appliance (vCSA), habilitan SSH y controlan ESXi.
- Ataque “disk-swap”: Detienen máquinas virtuales de controladores de dominio para extraer el archivo NTDS.dit con información del Active Directory.
- Cifrado y extorsión: Eliminar respaldos, borrar snapshots y desplegar ransomware sobre las VMs de la infraestructura.
Esta metodología les permite eludir controles tradicionales como EDR, SOC y SIEM, y operar con un nivel de acceso equivalente al de administradores de infraestructura.
¿Por qué es tan efectivo este grupo?
Una razón clave es el bajo nivel de seguridad que muchas organizaciones mantienen sobre su infraestructura virtual. A menudo, los entornos VMware no están bien segmentados, utilizan accesos heredados o carecen de MFA robusto. Además, existe una excesiva dependencia de Active Directory, lo cual se convierte en un punto único de falla.
Este contexto ha facilitado que Scattered Spider logre lo que GTIG describe como «un nivel de control sin precedentes sobre el entorno virtualizado», sin necesidad de explotar vulnerabilidades técnicas.
Eventos syslog remotos para accesos SSH a ESXi
Recomendaciones de seguridad
Desde CronUp Ciberseguridad, alineados con las recomendaciones de otros actores de ciberseguridad, proponemos una serie de pilares para fortalecer la defensa de entornos virtuales:
- Fortalecer la seguridad del Help Desk corporativo
Los servicios de soporte técnico se han convertido en un vector frecuente de ataque para grupos como Scattered Spider. La ingeniería social dirigida a estas mesas de ayuda puede desencadenar accesos privilegiados sin dejar rastros técnicos tradicionales. Por ello, dentro de las recomendaciones en este ítem es necesario implementar protocolos de verificación de identidad robustos antes de realizar cambios sobre cuentas de dominio junto con establecer alertas específicas para restablecimientos de contraseñas fuera de horario o sobre cuentas críticas. Un elemento clave tambien es capacitar al personal del help desk con entrenamientos especializados en detección de ataques de ingeniería social y fraude de identidad (vishing, deepfake, etc.). Un ejercicio interesante es revisar casos reales de abuso al help desk como el incidente de MGM Resorts (2023), donde una llamada bien ejecutada bastó para comprometer sistemas críticos. - Monitorear y revocar credenciales privilegiadas expuestas
Muchas intrusiones comienzan con credenciales legítimas que fueron previamente filtradas en foros clandestinos o robadas mediante phishing dirigido. Para reducir el impacto de este tipo de accesos una recomendación es utilizar inteligencia de amenazas para identificar credenciales de la organización comprometidas en breaches, así como integrar procesos automáticos de revocación o rotación de contraseñas expuestas. Es también necesario que los departamentos de TI tengan un control estricto sobre cuentas con privilegios elevados (Tier 0), reduciendo su uso interactivo y limitando su acceso a contextos específicos y así establecer segregación de funciones y monitoreo continuo sobre el uso de cuentas privilegiadas.
En aspectos más técnicos es también prudente hacer una revisión y considerar las siguientes medidas:
- Hardenizar VMware vSphere:
- Aplicar execInstalledOnly
- Cifrar máquinas virtuales
- Deshabilitar accesos SSH
- Eliminar VMs huérfanas
- Aplicar MFA estricta y control de accesos
- Aislar activos críticos:
- Separar dominios y backups del resto de la infraestructura
- Evitar que Tier 0 comparta recursos con entornos vulnerables
- Implementar MFA resistente a phishing en VPN, AD y vCenter
- Visibilidad y respuesta:
- Centralizar logs en SIEM
- Alertar por accesos a vCenter, cambios en grupos administrativos o habilitación de SSH
- Mantener respaldos inmutables y desconectados, probados contra ataques al hipervisor
Matriz MITRE ATT&CK
Tácticas y técnicas comúnmente utilizadas por este actor de amenaza.
| ID | Descripción |
| T1087 | Descubrimiento de cuentas |
| T1098 | Manipulación de cuentas |
| T1217 | Descubrimiento de información del navegador |
| T1580 | Descubrimiento de infraestructura en la nube |
| T1538 | Panel de servicios en la nube |
| T1136 | Crear una cuenta |
| T1486 | Datos cifrados para mayor impacto |
| T1530 | Datos del almacenamiento en la nube |
| T1213 | Datos de repositorios de información |
| T1074 | Datos en etapas |
| T1006 | Acceso directo al volumen |
| T1484 | Modificación de la política de dominio o inquilino |
| T1114 | Recopilación de correos electrónicos |
| T1567 | Exfiltración a través de un servicio web |
| T1190 | Explotar la aplicación pública |
| T1068 | Explotación para la escalada de privilegios |
| T1133 | Servicios remotos externos |
| T1083 | Descubrimiento de archivos y directorios |
| T1657 | Robo financiero |
| T1589 | Recopilar información sobre la identidad de la víctima |
| T1564 | Ocultar artefactos |
| T1656 | Interpretación |
| T1105 | Transferencia de herramientas de ingreso |
| T1556 | Modificar el proceso de autenticación |
| T1578 | Modificar la infraestructura de computación en la nube |
| T1621 | Generación de solicitudes de autenticación multifactor |
| T1046 | Descubrimiento de servicios de red |
| T1588 | Obtener capacidades: herramienta |
| T1003 | Volcado de credenciales del sistema operativo |
| T1069 | Descubrimiento de grupos de permisos: Grupos en la nube |
| T1566 | Phishing: Spearphishing de voz |
| T1598 | Suplantación de identidad (phishing) para obtener información |
| T1572 | Túnel de protocolo |
| T1090 | Apoderado |
| T1219 | Herramientas de acceso remoto |
| T1021 | Servicios remotos: Servicios en la nube |
| T1018 | Descubrimiento remoto del sistema |
| T1539 | Robar cookies de sesión web |
| T1553 | Subvertir los controles de confianza: Firma de código |
| T1552 | Credenciales no seguras |
| T1078 | Cuentas válidas |
| T1102 | Servicio web |
| T1047 | Instrumental de administración de Windows |
| T1660 | Suplantación de identidad (phishing) |
| T1451 | Intercambio de Sims |
Scattered Spider es un claro ejemplo de cómo la ingeniería social, combinada con un conocimiento técnico avanzado, puede comprometer infraestructuras virtuales enteras sin disparar alarmas tradicionales. En CronUp Ciberseguridad, creemos que la única forma efectiva de responder es anticiparse al adversario.
Nuestra metodología ATRc® (Alerta Temprana de Riesgos) combina ciberinteligencia, red teaming e investigaciones forenses para detectar señales tempranas de compromiso y blindar la infraestructura digital de nuestros clientes.
¿Está tu organización preparada para resistir un ataque como este? Escríbenos a [email protected] y solicita un análisis de exposición digital adaptado a tu entorno.
Referencias:
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
