Datos Rápidos

• Entre junio y agosto de 2025, hackers iraníes apuntaron a think tanks y expertos en políticas de EE. UU. con correos electrónicos de phishing altamente personalizados.
• El grupo, apodado temporalmente “UNK_SmudgedSerpent”, imitó a destacados académicos para atraer a las víctimas y obtener sus credenciales.
• Los atacantes combinaron técnicas e infraestructuras de varios grupos cibernéticos iraníes conocidos, desconcertando a los analistas.
• Los correos de phishing a menudo enlazaban a páginas falsas de inicio de sesión de Microsoft 365, con el objetivo de robar información sensible.
• Esta operación destaca por desplegar software de monitoreo remoto, un movimiento poco común entre los hackers respaldados por el Estado iraní.

Una Nueva Generación de Pescadores Persas

Imagina los pasillos digitales de los think tanks más influyentes de Washington - luego imagina una serpiente cambiante deslizándose sin ser vista por sus bandejas de entrada. Esa es la amenaza que representa “SmudgedSerpent”, el más reciente grupo iraní de amenaza persistente avanzada (APT) que inquieta los círculos de política estadounidense. En el verano de 2025, este escurridizo equipo desató una serie de ataques de phishing contra expertos en política exterior, con la esperanza de recolectar información o incluso influir en la conversación nacional.

La operación fue tan audaz como confusa. SmudgedSerpent imitó a figuras de alto perfil como Suzanne Maloney del Brookings Institution y al académico de Medio Oriente Patrick Clawson. Usando direcciones de Gmail casi idénticas y firmas de correo pulidas, los hackers invitaban a los objetivos a colaborar en proyectos falsos. Una vez que la víctima respondía, los atacantes enviaban enlaces disfrazados de documentos alojados en plataformas familiares como OnlyOffice o Microsoft Teams. Pero al hacer clic, esos enlaces llevaban a una convincente página falsa de inicio de sesión de Microsoft 365, completa con el correo y el logo de la organización de la víctima - un viejo anzuelo con una nueva capa de pintura.

¿Quién - o Qué - es SmudgedSerpent?

Lo que hace notable esta campaña no es solo el objetivo o los engaños, sino el mosaico de métodos. Los analistas de Proofpoint se rascaron la cabeza: SmudgedSerpent tomó trucos ya conocidos de Charming Kitten (TA453), usó infraestructura similar a Smoke Sandstorm (TA455), e incluso desplegó herramientas de monitoreo remoto - una táctica antes asociada solo a MuddyWater (TA450). Es como si varios equipos compartieran sus manuales, o tal vez el aparato cibernético iraní se esté reorganizando, con habilidades y herramientas cruzando los límites de los grupos.

Esta mezcla de tácticas dificulta la atribución, haciendo que los defensores no sepan exactamente quién está detrás del teclado. Algunos expertos especulan que las fuerzas cibernéticas de Irán, divididas entre el Cuerpo de la Guardia Revolucionaria Islámica (IRGC) y el Ministerio de Inteligencia (MOIS), podrían estar colaborando más estrechamente, o recurriendo a academias de formación compartidas. Sea como sea, el resultado es un adversario de muchas cabezas, más difícil de identificar y, por tanto, más peligroso.

Geopolítica, Espionaje y el Arte de la Travesura Cibernética

Esta no es la primera incursión cibernética de Irán. Durante años, sus APT han apuntado a diplomáticos, periodistas y disidentes en todo el mundo - a menudo usando el phishing como arma principal. Lo diferente ahora es la sofisticación de la ingeniería social y la difuminación de las identidades de los grupos. A medida que las tensiones geopolíticas entre Washington y Teherán persisten, la recolección de inteligencia sobre los formadores de políticas se convierte tanto en una herramienta de influencia como en una ventana al pensamiento del adversario.

Para las organizaciones, la lección es clara: no se puede defender lo que no se comprende. La atribución no es solo académica - es esencial para construir defensas creíbles y justificar inversiones en seguridad. En el mundo sombrío del espionaje cibernético respaldado por Estados, incluso una serpiente borrosa puede dejar una mordedura venenosa.

WIKICROOK

• Phishing: El phishing es un delito cibernético en el que los atacantes envían mensajes falsos para engañar a los usuarios y que revelen datos sensibles o hagan clic en enlaces maliciosos.
• Amenaza Persistente Avanzada (APT): Una Amenaza Persistente Avanzada (APT) es un ciberataque prolongado y dirigido por grupos expertos, a menudo respaldados por Estados, que buscan robar datos o interrumpir operaciones.
• Monitoreo y Gestión Remota (RMM): El Monitoreo y Gestión Remota (RMM) son herramientas de TI que permiten a los profesionales controlar, monitorear y mantener computadoras de forma remota - útiles para soporte, pero riesgosas si se usan mal.
• Robo de Credenciales: El robo de credenciales es el hurto de datos de inicio de sesión, como nombres de usuario y contraseñas, a menudo mediante sitios web falsos o correos electrónicos engañosos.
• Atribución: La atribución es el proceso de determinar quién está detrás de un ciberataque, usando pistas técnicas y análisis para identificar al responsable.