Forest Blizzard de Rusia obtiene toneladas de inicios de sesión a través de enrutadores SOHO

Un grupo de espías ruso ha estado espiando silenciosamente el tráfico de Internet de objetivos en todo el mundo durante más de un año, explotando viejas fallas en enrutadores SOHO (pequeñas oficinas/oficinas domésticas) no apreciados y expuestos a Internet. Las víctimas incluyen ministerios de relaciones exteriores y agencias nacionales de aplicación de la ley en el norte de África, América Central y el sudeste asiático, así como una plataforma de identidad nacional y una variedad de terceros en Europa, así como objetivos en 23 estados de EE. UU.

Se podría imaginar que el ciberespionaje internacional requiere mucho esfuerzo y herramientas sofisticadas, como malware con técnicas de evasión sin precedentes o vulnerabilidades de día cero. Pero Rusia APT28 (incluidos Fancy Bear y Forest Blizzard) y su subgrupo Storm-2754 han demostrado que este simplemente no es el caso.

Desde al menos mayo de 2025, si no 2024, el grupo de amenazas apoyado por la Dirección Principal del Estado Mayor de las Fuerzas Armadas (GRU) de Rusia ha estado interceptando el tráfico de Internet de organizaciones de calidad media y alta en todo el mundo simplemente explotando viejas fallas en dispositivos de borde (principalmente, pero no limitados a, enrutadores MikroTik y TP-Link) y reconfigurarlos para enrutar el tráfico a través de servidores privados virtuales (VPS) maliciosos. Según investigadores de Lumens Black Lotus Labs y Microsoft, esta campaña de bajo esfuerzo permitió al actor de amenazas hacer esto. Olfatea el tráfico web con aplomo Y Robar credenciales para servicios web y de correo electrónico en curso.

Relacionado:Los hacktivistas iraníes hacen ruido pero tienen poco impacto en la guerra

El 7 de abril, el Departamento de Justicia de Estados Unidos (DoJ) anunció una operación de interrupción a gran escala ordenada por un tribunal denominada “Operación Mascarada,» tenía como objetivo revertir la parte de la campaña APT28 que afectó a los EE. UU. El Departamento de Justicia dijo que los enrutadores troyanizados atacaron organizaciones militares, gubernamentales y de infraestructura crítica.

Sin embargo, como ya se mencionó, la campaña no se limita en modo alguno a los EE.UU. En su punto máximo en diciembre de 2025, Black Lotus Labs identificó 18.000 direcciones IP únicas en al menos 120 países que se comunicaban con la infraestructura de los atacantes. Microsoft ha identificado más de 200 organizaciones afectadas y más de 5.000 dispositivos de consumo.

Ciberespionaje ruso a través de enrutadores SOHO

El juego de APT28 es espiar correos electrónicos. Primera clase desde el principio Ciberataques en torno a las elecciones de 2016El juego consistía en obtener acceso a cuentas de correo electrónico de organizaciones e individuos de interés para el Estado ruso. Para respaldar su razón de ser, prueba continuamente nuevas técnicas para lograr el mismo objetivo final.

Relacionado:La UE sanciona a empresas de China e Irán por ciberataques

Esta última campaña se centró en el camino de APT28 hacia el compromiso del correo electrónico. enrutador SOHO de MikroTik y TP-Link y, en casos más raros, productos de firewall de Nethesis y Fortinet. Los piratas informáticos atacaron vulnerabilidades conocidas que les daban acceso a las interfaces del enrutador. Por ejemplo, una falla que se buscó en la web fue CVE-2023-50224: un problema de divulgación de información moderada que afecta a TP-Link y que no requiere autenticación para explotar. Esta vulnerabilidad de tres años permitió a los atacantes administrar enrutadores de forma remota y cambiar la configuración de su sistema de nombres de dominio (DNS) para enrutar el tráfico a través de un VPS que controlaban. Cada vez que alguien que usaba el enrutador solicitaba visitar un sitio web, esa solicitud se enrutaba a través de la infraestructura de APT28. Si el sitio era uno que le interesaba a APT28, como Microsoft Outlook en la web, reenviaría esa solicitud y robaría las credenciales de inicio de sesión de la víctima cuando visitara ese servicio en línea.

«Una de las cosas que despertó mi interés: no hay malware», le dice a Dark Reading Danny Adamitis, ingeniero senior de seguridad de la información en Black Lotus Labs. «Si iniciaras sesión en tu enrutador, incluso si hipotéticamente escanearas todo con una herramienta de detección y respuesta de endpoints (EDR) o cargaras todo en VirusTotal, no habría nada allí. Lo único que hacen es cambiar solo un registro de tu configuración DNS para enrutar el tráfico a un servidor que ellos controlan y administran».

Relacionado:La campaña de espionaje de SideWinder se está expandiendo por el sudeste asiático

Los investigadores no se ponen de acuerdo sobre cuándo exactamente APT28 empezó a hacer esto. Microsoft sugirió que comenzaría al menos en agosto del año pasado. Citando el pasado mes de mayo, Black Lotus Labs identificó un enrutador comprometido vinculado al gobierno afgano. El comunicado de prensa del Departamento de Justicia de Estados Unidos sobre la Operación Mascarada dijo que la operación se remonta a «al menos 2024».

Siempre que fue, llegó a tiempo. El 6 de agosto de 2025, el Centro Nacional de Seguridad Cibernética (NCSC) del Reino Unido publicó un informe sobre «Travesuras auténticas» sobre una herramienta de malware APT28 diseñada para robar credenciales y tokens de Microsoft Office. La APT28 podría haberse visto disuadida si no hubiera estado tan completamente preparada. Al día siguiente, cuando se conocieron sus Tácticas, Técnicas y Procedimientos (TTP), simplemente cambió de rumbo y lanzó su nueva campaña contra los enrutadores SOHO, como se muestra en la siguiente tabla:

Fuente: Lúmenes

¿Es el DNS un problema de riesgo cibernético?

Ryan English, ingeniero de seguridad de la información de Lumen Technologies, sugiere que las empresas deberían hacer todo lo posible para alejarse de los enrutadores SOHO, pero reconoce las razones de su proliferación.

“Parece extraño que algunos de estos gobiernos fueran atacados [of APT28] «Usaría enrutadores para oficinas pequeñas o domésticas», admite, pero añade que «es una cuestión de economía, conveniencia y acceso». Algunos gobiernos pueden decidir utilizar esto porque funciona perfectamente. Sin embargo, muchos de estos enrutadores SOHO no le permiten ver los registros. Algunos de ellos no se pueden actualizar manualmente fácilmente cuando se requieren parches. Son, por así decirlo, una condición de su existencia.

Para Adamitis, la campaña de APT28 trata sobre un problema mucho más importante y persistente con uno de los sistemas básicos de Internet: DNS – un objetivo común para APT28.

Para ilustrar esto, traza un paralelo con Google Maps. Cuando uso Google Maps, «simplemente confío en que Google pueda indicarme la ruta correcta, porque así es como se supone que funciona el sistema. En realidad, no buscas un mapa separado y te aseguras de que sea la ruta correcta», explica Adamitis.

En la misma línea, “los usuarios confían en que el DNS puede indicarle dónde está su servidor”, señala. «[But APT28] Esto cambia todo en el backend. Y creo que es por eso que todo el mundo estaba tan asustado.

Adamitis sostiene que el lado de los enrutadores de esta campaña es bastante simple: entre parches y otras medidas básicas de higiene cibernética, ya sea que las haga usted mismo o contrate a una empresa para que lo ayude, «existen mecanismos para tratar de realizar un seguimiento del ecosistema de enrutadores. No hay equivalente en el espacio DNS. DNS es, por su naturaleza, un sistema descentralizado del que nadie es realmente responsable. Y debido a que nadie es realmente responsable de él, [when something goes wrong]Terminas con el meme de Spider-Man en el que todos se señalan unos a otros y dicen: 'No, es su culpa'».

«Para mí es realmente el Salvaje Oeste», dice.