Datos Rápidos

• MuddyWater, un grupo cibernético vinculado a Irán, atacó a Israel y Egipto con un nuevo malware avanzado a finales de 2024 y principios de 2025.
• El grupo desplegó “MuddyViper”, una puerta trasera personalizada, usando un cargador residente en memoria disfrazado como el clásico videojuego Snake.
• Los atacantes se centraron en robar credenciales y datos sensibles, utilizando herramientas como CE-Notes y Blub, y evadieron la detección con técnicas innovadoras.
• Investigadores de ESET observaron evidencia de colaboración entre MuddyWater y otro grupo iraní, Lyceum.
• La evolución de MuddyWater señala una tendencia más amplia de los grupos cibernéticos iraníes a compartir herramientas y tácticas para espionaje e influencia.

De Torpes a Astutos: La inesperada transformación de MuddyWater

Imagina a un hacker acechando en las sombras digitales, que ya no tropieza con sus propias huellas, sino que se desliza suavemente por las redes de objetivos de alto valor. Ese es el nuevo MuddyWater, un grupo iraní de ciberespionaje que ha cambiado sus antiguos movimientos ruidosos por un baile más sigiloso y sofisticado. Activo al menos desde 2017 y sospechoso de estar vinculado al Ministerio de Inteligencia de Teherán, MuddyWater tenía fama de cometer errores - dejando migas de pan digitales que los defensores podían seguir fácilmente.

Pero en su última campaña, rastreada por investigadores de ESET entre septiembre de 2024 y marzo de 2025, el grupo ha elevado su nivel. La nueva operación se centró en organizaciones israelíes, con al menos una víctima en Egipto, e introdujo un arsenal personalizado diseñado para lograr el máximo sigilo y persistencia. La pieza central: una puerta trasera apodada “MuddyViper”, entregada mediante un cargador residente solo en memoria llamado “Fooder”. Este cargador, disfrazado como una versión del clásico videojuego Snake, retrasaba sus acciones de manera inteligente para eludir los controles de seguridad automatizados - como un ladrón esperando a que el perro guardián se duerma antes de colarse.

Serpiente en el sistema: tácticas, herramientas y trabajo en equipo

El salto técnico de MuddyWater es notable. Al ejecutar su malware completamente en la memoria del ordenador en lugar de dejar rastros en el disco, esquiva muchas defensas tradicionales. “MuddyViper” otorgó a los hackers un control profundo sobre las máquinas infectadas - permitiéndoles robar contraseñas, extraer datos e incluso establecer túneles secretos para comunicarse con sus servidores de mando.

No se detuvieron ahí. Robadores de datos personalizados como CE-Notes y Blub apuntaron a contraseñas de navegadores y credenciales de inicio de sesión, mientras que métodos avanzados de cifrado hacían aún más difícil rastrear los pasos de los atacantes. Para enturbiar aún más las aguas, el grupo utilizó túneles reversos - canales ocultos que permitían que los datos fluyeran de regreso a sus propios sistemas sin ser detectados.

Quizás lo más notable sea la evidencia de colaboración. ESET descubrió que MuddyWater a veces actuaba como “corredor de acceso inicial”, abriendo la puerta para que otro grupo iraní, Lyceum, interviniera. Esta transferencia sugiere un enfoque más organizado y en equipo entre los operadores cibernéticos de Irán, similar a cómo las bandas criminales pueden coordinar un atraco.

¿El nuevo normal del ciberespionaje?

La evolución de MuddyWater no es un caso aislado. La escena cibernética iraní incluye varios actores notorios - APT33, OilRig, Charming Kitten y APT39 - que han atacado repetidamente a gobiernos, sectores energéticos, telecomunicaciones y financieros desde Oriente Medio hasta Norteamérica. Estos grupos comparten cada vez más herramientas, tácticas y, a veces, incluso víctimas, difuminando las líneas entre la actividad estatal y criminal.

Sin embargo, a pesar de todos sus avances, las huellas de MuddyWater siguen siendo visibles. Los investigadores detectaron errores, como el uso de scripts PowerShell fácilmente detectables y malware “charlatán” que se comunica demasiado frecuentemente con sus controladores. Aun así, la tendencia general es clara: los operadores digitales de Irán son cada vez mejores, más rápidos y difíciles de atrapar. A medida que la geopolítica se calienta en Oriente Medio, el “juego” solo se vuelve más peligroso - y las apuestas, más altas.

WIKICROOK

• Backdoor: Una puerta trasera es una forma oculta de acceder a un ordenador o servidor, eludiendo los controles de seguridad normales, utilizada a menudo por atacantes para obtener control secreto.
• Loader: Un cargador es un software malicioso que instala o ejecuta otro malware en un sistema infectado, permitiendo más ciberataques o acceso no autorizado.
• Credential Stealer: Un robador de credenciales es un malware diseñado para localizar y robar contraseñas, claves digitales o tokens de autenticación de la computadora o dispositivo de la víctima.
• Reverse Tunnel: Un túnel reverso es una conexión de red que permite a usuarios externos acceder a sistemas internos eludiendo los cortafuegos, y es usado frecuentemente por atacantes.
• Memory: La memoria es el almacenamiento temporal de una computadora que contiene datos e instrucciones activas. Es un objetivo frecuente de ciberataques que buscan información sensible.