<\/a>Descripci\u00f3n general de la amenaza de Muddled Libra<\/h2>\nTal y como se documenta en publicaciones anteriores de Unit\u00a042 sobre Muddled Libra<\/a>, este grupo es muy h\u00e1bil en el uso de diversas t\u00e1cticas de ingenier\u00eda social (por ejemplo, smishing, vishing) para obtener acceso inicial a las organizaciones objetivo. Estas actividades pueden incluir el ataque a centros de llamadas operados por las propias v\u00edctimas, as\u00ed como a aquellos tercerizados a firmas externas (por ejemplo, BPO y MSP), lo que ampl\u00eda el rango de posibles objetivos del grupo.<\/p>\nLos atacantes de Muddled Libra se han convertido en expertos en explotar la psicolog\u00eda humana al hacerse pasar por empleados para intentar restablecer contrase\u00f1as y la autenticaci\u00f3n multifactor (MFA). En la Figura\u00a01 se detalla la composici\u00f3n de Muddled Libra en t\u00e9rminos de datos demogr\u00e1ficos, t\u00e9cnicas avanzadas, selecci\u00f3n de v\u00edctimas y acciones sobre los objetivos.<\/p>\n![\"Cuatro\u00a0paneles]()
Figura\u00a01. Perfil de amenaza de Muddled Libra.<\/figcaption><\/figure>\nAunque sus t\u00e9cnicas avanzadas han evolucionado con el tiempo, Muddled Libra sigue minimizando el uso de malware en toda la cadena de ataque. Siempre que sea posible, prefieren utilizar los propios activos de la v\u00edctima en su contra.<\/p>\n
<\/a>Cronolog\u00eda de la victimolog\u00eda: de mayor alcance<\/h2>\nEn 2025, hemos observado actividad intrusiva de Muddled Libra en los sectores gubernamental, minorista, de seguros y de aviaci\u00f3n, como se muestra a continuaci\u00f3n en la Figura\u00a02. Este grupo ha demostrado una tendencia a atacar a muchas organizaciones del mismo sector en un tiempo relativamente corto. Sin embargo, los atacantes no siguen estrictamente este patr\u00f3n y han atacado simult\u00e1neamente a organizaciones que operan en diferentes sectores.<\/p>\n![\"Cronolog\u00eda]()
Figura 2. Cronolog\u00eda de los objetivos del sector Muddled Libra en 2025.<\/figcaption><\/figure>\n<\/a>La estrategia de Muddled Libra: mayor rapidez<\/h2>\nEn lo que va de 2025, el cambio de t\u00e1cticas, dejando de lado el smishing y el phishing en favor de una interacci\u00f3n humana m\u00e1s directa, junto con la adopci\u00f3n del modelo de ransomware como servicio (RaaS), ha reducido dr\u00e1sticamente el tiempo que este actor permanece dentro del entorno. El promedio de tiempo transcurrido desde el acceso inicial hasta la contenci\u00f3n fue de 1\u00a0d\u00eda, 8\u00a0horas y 43\u00a0minutos.<\/p>\n
Desde al menos abril de 2025, el grupo se ha asociado con el programa de RaaS DragonForce, operado por el grupo que identificamos como Slippery Scorpius, para extorsionar a sus v\u00edctimas. En un caso, observamos a los atacantes exfiltrar m\u00e1s de 100\u00a0GB de datos durante un per\u00edodo de dos\u00a0d\u00edas, seguido de la implementaci\u00f3n del ransomware DragonForce para el cifrado.<\/p>\n
En la Figura\u00a03 se explica que el grupo pudo pasar de tener acceso inicial a trav\u00e9s de la ingenier\u00eda social de un empleado del servicio de asistencia a aumentar sus privilegios y conseguir derechos de administrador de dominio en unos 40\u00a0minutos, como ya se mencion\u00f3 en nuestro Informe global de respuesta ante incidentes de 2025<\/a>.<\/p>\n![\"Diagrama]()
Figura 3. Velocidad de la intrusi\u00f3n de Muddled Libra desde el acceso inicial hasta la obtenci\u00f3n de privilegios de administrador de dominio.<\/figcaption><\/figure>\n<\/a>Evoluci\u00f3n de Muddled Libra: mayor impacto<\/h2>\nEn la Figura\u00a04 se muestran los cambios que hemos observado en las t\u00e9cnicas avanzadas de Muddled Libra que contribuyen a que el grupo tenga un mayor impacto.<\/p>\n![\"Diagrama]()
Figura 4. Evoluci\u00f3n de las t\u00e9cnicas avanzadas de Muddled Libra.<\/figcaption><\/figure>\nA continuaci\u00f3n, se detallan algunas de nuestras observaciones m\u00e1s destacadas.<\/p>\n
<\/a>Acceso inicial<\/h3>\n(T1566.004<\/a>)<\/p>\nCambio hacia el phishing por voz (tambi\u00e9n conocido como vishing) como t\u00e9cnica principal de ingenier\u00eda social para manipular al personal del servicio de asistencia inform\u00e1tica y lograr que restablezcan credenciales y la MFA del personal que los atacantes intentan imitar; m\u00e1s del 70\u00a0% de los n\u00fameros utilizados por este grupo en 2025 emplearon Google\u00a0Voice como servicio de Voz sobre Protocolo de Internet (VoIP).<\/p>\n
A modo de ejemplo, Muddled Libra suele llamar al servicio de asistencia de una organizaci\u00f3n haci\u00e9ndose pasar por un usuario que no puede acceder a su dispositivo MFA. Aprovechando la tendencia natural de los empleados del servicio de asistencia de querer ayudar, los actores de amenazas los manipulan para que ignoren los controles de autenticaci\u00f3n de la organizaci\u00f3n y restablezcan tanto las credenciales del usuario final como el m\u00e9todo MFA. Otro ejemplo consiste en llamar directamente a la v\u00edctima y hacerse pasar por el servicio de asistencia de la organizaci\u00f3n. En este caso, los actores de amenazas manipulan a la v\u00edctima para que inicie o descargue un software de gesti\u00f3n remota y, a continuaci\u00f3n, proceden con el ataque desde el escritorio de la v\u00edctima.<\/p>\n
<\/a>Movimiento lateral y persistente<\/h3>\nUtilizar diversas herramientas de supervisi\u00f3n y gesti\u00f3n remotas (RMM) que permitan volver a entrar si se descubre a los actores de amenazas. Los ataques frecuentes a las herramientas de gesti\u00f3n de sistemas existentes e incluso a las plataformas de detecci\u00f3n y respuesta en los endpoints (EDR), adem\u00e1s de los hipervisores y las herramientas de gesti\u00f3n de la nube.<\/p>\n
<\/a>Acceso a credenciales<\/h3>\n(T1003.003<\/a>, T1555.005<\/a>)<\/p>\nVolcado de credenciales de almacenes de contrase\u00f1as, incluido NTDS.dit, para lograr el almacenamiento completo de contrase\u00f1as de la empresa y comprometer Active Directory, respectivamente.<\/p>\n
<\/a>Colecci\u00f3n<\/h3>\n(T1114.002<\/a>, T1213.002<\/a>)<\/p>\nAcceder a las instancias de Microsoft\u00a0365 y SharePoint de la v\u00edctima como medio para llevar a cabo un reconocimiento interno.<\/p>\n
<\/a>Exfiltraci\u00f3n<\/h3>\n(T1567.002<\/a>)<\/p>\nTransferencia de datos robados a servicios de almacenamiento en la nube, lo que en algunos casos incluye el env\u00edo directo desde los entornos de las v\u00edctimas.<\/p>\n
<\/a>La historia de dos\u00a0v\u00edctimas: pol\u00edticas de acceso condicional<\/h2>\nLas organizaciones que utilizan Microsoft Entra ID para la gesti\u00f3n de acceso e identidad (IAM) basada en la nube pueden interrumpir significativamente las intrusiones de Muddled Libra mediante la implementaci\u00f3n adecuada de pol\u00edticas de acceso condicional (CAP).<\/p>\n
Como parte de la actividad de amenazas de Muddled Libra, hemos observado una diferencia significativa en la capacidad de las organizaciones para frenar a los atacantes despu\u00e9s de la intrusi\u00f3n y permitir acciones de contenci\u00f3n m\u00e1s eficaces cuando se implementan las CAP, lo que limita el impacto general. En los casos en que las v\u00edctimas no hab\u00edan implementado las CAP o estaban configuradas de forma incorrecta, Muddled Libra pod\u00eda acelerar su ritmo operativo para implementar ransomware (el m\u00e1s reciente, DragonForce) con el fin de extorsionar el pago.<\/p>\n
Algunos ejemplos espec\u00edficos de CAP que lograron ralentizar Muddled Libra incluyen lo siguiente:<\/p>\n
\n- Una CAP que impide que los dispositivos no gestionados accedan a recursos confidenciales.<\/li>\n
- Una CAP que obliga a los empleados a estar en las instalaciones para configurar la MFA.<\/li>\n
- Una CAP que bloquea los autenticadores en funci\u00f3n de la ubicaci\u00f3n geogr\u00e1fica (por ejemplo, pa\u00edses).<\/li>\n
- Una CAP que requiere MFA para acceder a la infraestructura de escritorio virtual (VDI) o a las redes privadas virtuales (VPN).<\/li>\n<\/ul>\n
<\/a>De cara al futuro<\/h2>\nBas\u00e1ndonos en observaciones recientes e hist\u00f3ricas de Muddled Libra, evaluamos con gran certeza que este grupo seguir\u00e1 aprovechando sus fortalezas en t\u00e9rminos de actividades de ingenier\u00eda social. El grupo tambi\u00e9n seguir\u00e1 haciendo un uso indebido de identidades excesivamente permisivas dentro de las organizaciones objetivo para cumplir los objetivos de su misi\u00f3n.<\/p>\n
Adem\u00e1s, es probable que el grupo mantenga su mentalidad de la nube primero<\/a>. Esto significa que su \u00e9xito previo en la explotaci\u00f3n del acceso dentro de las plataformas en la nube reforzar\u00e1 esta tendencia en el futuro, especialmente porque muchas organizaciones carecen de la visibilidad adecuada y los controles necesarios para supervisar y proteger estos entornos.<\/p>\nAdem\u00e1s, dado el \u00e9xito de Muddled Libra en su asociaci\u00f3n con varios programas de RaaS, es poco probable que se desv\u00ede de este camino. Estos programas de RaaS incluyen lo siguiente:<\/p>\n
\n- Akira (Howling Scorpius)<\/li>\n
- ALPHV (Ambitious Scorpius)<\/li>\n
- DragonForce (Slippery Scorpius)<\/li>\n
- Play (Fiddling Scorpius)<\/li>\n
- Qilin (Spikey Scorpius)<\/li>\n
- RansomHub (Spoiled Scorpius)<\/li>\n<\/ul>\n
Es probable que los miembros de este grupo sigan extorsionando a sus v\u00edctimas y monetizando sus operaciones de intrusi\u00f3n, ya que esto les proporciona un proceso optimizado para llevar a cabo dichos ataques y beneficiarse de ellos.<\/p>\n
Por \u00faltimo, esperamos que el intercambio de informaci\u00f3n entre los sectores p\u00fablico y privado sobre Muddled Libra siga proporcionando a las organizaciones indicios tempranos de actividades de intrusi\u00f3n. Esto ayudar\u00e1 a interrumpir las operaciones del grupo. Las operaciones policiales internacionales, como las recientes detenciones<\/a> de cuatro\u00a0personas relacionadas con los ciberataques contra tres\u00a0minoristas con sede en el Reino\u00a0Unido, esperamos que sirvan como medida disuasoria. Tambi\u00e9n deber\u00eda servir de recordatorio a otras organizaciones dedicadas a la ciberdelincuencia de que sus acciones tienen consecuencias. En esencia, la ciberseguridad es un deporte de equipo y debemos trabajar juntos para obtener una ventaja operativa proactiva frente a este adversario en constante evoluci\u00f3n.<\/p>\n<\/a>Recomendaciones<\/h2>\nContamos con una lista de medidas de prevenci\u00f3n, detecci\u00f3n y contenci\u00f3n que las organizaciones deber\u00edan implementar para enfrentar la amenaza en evoluci\u00f3n que representa Muddled Libra. En la Figura\u00a05 se ofrece una visi\u00f3n amplia de estas recomendaciones, seguidas de medidas m\u00e1s descriptivas.<\/p>\n![\"Infograf\u00eda]()
Figura 5. Controles eficaces para defenderse contra Muddled Libra.<\/figcaption><\/figure>\nPrevenci\u00f3n:<\/strong><\/p>\n\n- Impartir formaci\u00f3n personalizada y basada en inteligencia para concienciar a los usuarios, especialmente al personal del servicio de asistencia inform\u00e1tica, con el fin de que sean capaces de identificar posibles intentos de ingenier\u00eda social (vishing).<\/li>\n
- Implementar procedimientos rigurosos para restablecer las credenciales de la cuenta y la MFA, que incluyan alg\u00fan tipo de verificaci\u00f3n, como la identificaci\u00f3n por video o la validaci\u00f3n por parte de un supervisor.<\/li>\n
- Implementar pol\u00edticas de MFA (sin SMS) y de acceso condicional, especialmente en cualquier portal de acceso remoto.<\/li>\n
- Hacer cumplir de manera estricta el principio de m\u00ednimo privilegio.<\/li>\n
- Bloquear el tr\u00e1fico de red por App-ID a sitios de intercambio de archivos y a aquellos que proporcionan acceso a herramientas RMM no aprobadas.<\/li>\n<\/ul>\n
Detecci\u00f3n:<\/strong><\/p>\n\n- Identificar cambios en la infraestructura de IAM de la empresa, como dispositivos reci\u00e9n registrados y conectados.<\/li>\n
- Desarrollar capacidades s\u00f3lidas de registro y supervisi\u00f3n en entornos de nube.<\/li>\n
- Implementar el registro y poder identificar actividades sospechosas en el centro de llamadas.<\/li>\n<\/ul>\n
Contenci\u00f3n:<\/strong><\/p>\n\n- Segmentar y restringir el acceso a los recursos virtuales, incluidas las m\u00e1quinas virtuales (VM), los hosts ESXi y los servidores vCenter.<\/li>\n
- Implementar canales de comunicaci\u00f3n fuera de banda en caso de que un adversario pueda comprometer los medios tradicionales (por ejemplo, Slack, Teams).<\/li>\n
- Implementar un plan integral de respuesta ante incidentes y considerar detenidamente la posibilidad de contar con un contrato de servicios activos para la asistencia de terceros en la respuesta ante incidentes.<\/li>\n<\/ul>\n
<\/a>Conclusi\u00f3n<\/h2>\nLa nueva era de Muddled Libra ha llegado, y la actividad de este grupo sigue multiplic\u00e1ndose.<\/p>\n
Los clientes de Palo Alto Networks gozan de una mayor protecci\u00f3n frente a las amenazas descritas en este art\u00edculo a trav\u00e9s de una arquitectura de seguridad moderna construida en torno a Cortex XSIAM<\/a> en conjunto con Cortex XDR<\/a>. Los servicios de seguridad entregados en la nube<\/a> Advanced URL Filtering<\/a> y Seguridad de DNS<\/a> pueden servir de protecci\u00f3n contra la infraestructura de mando y control (C2), mientras que App-ID<\/a> puede limitar los servicios de anonimizaci\u00f3n que pueden conectarse a la red.<\/p>\nSi cree que puede haber resultado vulnerado o tiene un problema urgente, p\u00f3ngase en contacto con el equipo de respuesta ante incidentes de Unit\u00a042<\/a> o llame al:<\/p>\n\n- Norteam\u00e9rica: llamada gratuita: +1\u00a0(866)\u00a0486-4842 (866.4.UNIT42)<\/li>\n
- Reino Unido: +44.20.3743.3660<\/li>\n
- Europa y Oriente Medio: +31.20.299.3130<\/li>\n
- Asia: +65.6983.8730<\/li>\n
- Jap\u00f3n: +81.50.1790.0200<\/li>\n
- Australia: +61.2.4062.7950<\/li>\n
- India: 00080005045107<\/li>\n<\/ul>\n
Palo Alto Networks ha compartido estos resultados con nuestros compa\u00f1eros de Cyber Threat Alliance (CTA). Los miembros de CTA utilizan esta inteligencia para implementar r\u00e1pidamente medidas de protecci\u00f3n para sus clientes y desarticular sistem\u00e1ticamente a los ciberdelincuentes. Obtenga m\u00e1s informaci\u00f3n sobre Cyber Threat Alliance<\/a>.<\/p>\n<\/a>Referencias adicionales<\/h2>\n\n- Sesi\u00f3n informativa sobre amenazas: un an\u00e1lisis profundo de Muddled Libra<\/a> - Unit\u00a042, Palo Alto Networks<\/li>\n
- Evaluaci\u00f3n del grupo de amenazas: Muddled Libra<\/a> - Unit\u00a042, Palo Alto Networks<\/li>\n
- Informe global de respuesta ante incidentes de 2025<\/a> - Unit\u00a042, Palo Alto Networks<\/li>\n
- Debate de Muddled Libra con Stephanie Regan, asesora principal de Unit 42<\/a>: Podcast Threat Vector, Unit 42 en CyberWire Daily<\/li>\n
- La exposici\u00f3n de las meticulosas t\u00e1cticas de Muddled Libra con el investigador principal de Unit 42, Kristopher Russo<\/a>: Podcast Threat Vector, Unit 42 en CyberWire Daily<\/li>\n
- Evoluci\u00f3n de Muddled Libra a la nube<\/a>: Unit 42, Palo Alto Networks<\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"
Muddled Libra (Scattered Spider, UNC3944) se est\u00e1 desarrollando. Obtenga la informaci\u00f3n m\u00e1s reciente y recomendaciones defensivas basadas en casos de respuesta ante incidentes de Unit 42.<\/p>\n","protected":false},"author":23,"featured_media":141667,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[8775,8829,8793],"tags":[9236,9237,9239,9240,9241,9242,9243,9244,8883],"product_categories":[8922,8924,8926,8921,8934,8935,8938,8890],"coauthors":[1025],"class_list":["post-144374","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-top-cyberthreats-es-la","category-threat-actor-groups-es-la","category-malware-es-la","tag-0ktapus-es-la","tag-alphv-es-la","tag-blackcat-ransomware-es-la","tag-mitre-es-la","tag-muddled-libra-es-la","tag-phishing-es-la","tag-scatter-swine-es-la","tag-scattered-spider-es-la","tag-social-engineering-es-la","product_categories-advanced-dns-security-es-la","product_categories-advanced-url-filtering-es-la","product_categories-app-id-es-la","product_categories-cloud-delivered-security-services-es-la","product_categories-cortex-xdr-es-la","product_categories-cortex-xsiam-es-la","product_categories-next-generation-firewall-es-la","product_categories-unit-42-incident-response-es-la"],"yoast_head":"\n
Evaluaci\u00f3n de amenazas de Muddled Libra: mayor alcance, mayor rapidez, mayor impacto<\/title>\n<meta name=\"description\" content=\"Muddled Libra (Scattered Spider, UNC3944) se est\u00e1 desarrollando. Obtenga la informaci\u00f3n m\u00e1s reciente y recomendaciones defensivas basadas en casos de respuesta ante incidentes de Unit 42.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/origin-unit42.paloaltonetworks.com\/es-la\/muddled-libra\/\" \/>\n<meta property=\"og:locale\" content=\"es_LA\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Evaluaci\u00f3n de amenazas de Muddled Libra: mayor alcance, mayor rapidez, mayor impacto\" \/>\n<meta property=\"og:description\" content=\"Muddled Libra (Scattered Spider, UNC3944) se est\u00e1 desarrollando. Obtenga la informaci\u00f3n m\u00e1s reciente y recomendaciones defensivas basadas en casos de respuesta ante incidentes de Unit 42.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/origin-unit42.paloaltonetworks.com\/es-la\/muddled-libra\/\" \/>\n<meta property=\"og:site_name\" content=\"Unit 42\" \/>\n<meta property=\"article:published_time\" content=\"2025-07-25T15:14:02+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2025-08-14T18:34:45+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/origin-unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/03-1-Muddle-Libra-1920x900-1.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1920\" \/>\n\t<meta property=\"og:image:height\" content=\"900\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"Unit 42\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<!-- \/ Yoast SEO Premium plugin. -->","yoast_head_json":{"title":"Evaluaci\u00f3n de amenazas de Muddled Libra: mayor alcance, mayor rapidez, mayor impacto","description":"Muddled Libra (Scattered Spider, UNC3944) se est\u00e1 desarrollando. Obtenga la informaci\u00f3n m\u00e1s reciente y recomendaciones defensivas basadas en casos de respuesta ante incidentes de Unit 42.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/origin-unit42.paloaltonetworks.com\/es-la\/muddled-libra\/","og_locale":"es_LA","og_type":"article","og_title":"Evaluaci\u00f3n de amenazas de Muddled Libra: mayor alcance, mayor rapidez, mayor impacto","og_description":"Muddled Libra (Scattered Spider, UNC3944) se est\u00e1 desarrollando. Obtenga la informaci\u00f3n m\u00e1s reciente y recomendaciones defensivas basadas en casos de respuesta ante incidentes de Unit 42.","og_url":"https:\/\/origin-unit42.paloaltonetworks.com\/es-la\/muddled-libra\/","og_site_name":"Unit 42","article_published_time":"2025-07-25T15:14:02+00:00","article_modified_time":"2025-08-14T18:34:45+00:00","og_image":[{"width":1920,"height":900,"url":"https:\/\/origin-unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/03-1-Muddle-Libra-1920x900-1.png","type":"image\/png"}],"author":"Unit 42","twitter_card":"summary_large_image","schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/origin-unit42.paloaltonetworks.com\/es-la\/muddled-libra\/#article","isPartOf":{"@id":"https:\/\/origin-unit42.paloaltonetworks.com\/es-la\/muddled-libra\/"},"author":{"name":"Unit 42","@id":"https:\/\/unit42.paloaltonetworks.com\/#\/schema\/person\/ae7965e2717d118e5dd8f67b7d3519bc"},"headline":"Evaluaci\u00f3n de amenazas de Muddled Libra: mayor alcance, mayor rapidez, mayor impacto","datePublished":"2025-07-25T15:14:02+00:00","dateModified":"2025-08-14T18:34:45+00:00","mainEntityOfPage":{"@id":"https:\/\/origin-unit42.paloaltonetworks.com\/es-la\/muddled-libra\/"},"wordCount":2431,"commentCount":0,"image":{"@id":"https:\/\/origin-unit42.paloaltonetworks.com\/es-la\/muddled-libra\/#primaryimage"},"thumbnailUrl":"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/03-1-Muddle-Libra-1920x900-1.png","keywords":["0ktapus","ALPHV","BlackCat ransomware","MITRE","Muddled Libra","phishing","Scatter Swine","Scattered Spider","social engineering"],"articleSection":["Amenazas sofisticadas","Grupos de actores de amenazas","Malware"],"inLanguage":"es","potentialAction":[{"@type":"CommentAction","name":"Comment","target":["https:\/\/origin-unit42.paloaltonetworks.com\/es-la\/muddled-libra\/#respond"]}]},{"@type":"WebPage","@id":"https:\/\/origin-unit42.paloaltonetworks.com\/es-la\/muddled-libra\/","url":"https:\/\/origin-unit42.paloaltonetworks.com\/es-la\/muddled-libra\/","name":"Evaluaci\u00f3n de amenazas de Muddled Libra: mayor alcance, mayor rapidez, mayor impacto","isPartOf":{"@id":"https:\/\/unit42.paloaltonetworks.com\/#website"},"primaryImageOfPage":{"@id":"https:\/\/origin-unit42.paloaltonetworks.com\/es-la\/muddled-libra\/#primaryimage"},"image":{"@id":"https:\/\/origin-unit42.paloaltonetworks.com\/es-la\/muddled-libra\/#primaryimage"},"thumbnailUrl":"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/03-1-Muddle-Libra-1920x900-1.png","datePublished":"2025-07-25T15:14:02+00:00","dateModified":"2025-08-14T18:34:45+00:00","author":{"@id":"https:\/\/unit42.paloaltonetworks.com\/#\/schema\/person\/ae7965e2717d118e5dd8f67b7d3519bc"},"description":"Muddled Libra (Scattered Spider, UNC3944) se est\u00e1 desarrollando. Obtenga la informaci\u00f3n m\u00e1s reciente y recomendaciones defensivas basadas en casos de respuesta ante incidentes de Unit 42.","breadcrumb":{"@id":"https:\/\/origin-unit42.paloaltonetworks.com\/es-la\/muddled-libra\/#breadcrumb"},"inLanguage":"es","potentialAction":[{"@type":"ReadAction","target":["https:\/\/origin-unit42.paloaltonetworks.com\/es-la\/muddled-libra\/"]}]},{"@type":"ImageObject","inLanguage":"es","@id":"https:\/\/origin-unit42.paloaltonetworks.com\/es-la\/muddled-libra\/#primaryimage","url":"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/03-1-Muddle-Libra-1920x900-1.png","contentUrl":"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/03-1-Muddle-Libra-1920x900-1.png","width":1920,"height":900,"caption":"Pictorial representation of Muddled Libra (Scattered Spider). Illustration of a zodiac symbol Libra represented by scales, set against a cosmic purple background with stars."},{"@type":"BreadcrumbList","@id":"https:\/\/origin-unit42.paloaltonetworks.com\/es-la\/muddled-libra\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/unit42.paloaltonetworks.com\/"},{"@type":"ListItem","position":2,"name":"Evaluaci\u00f3n de amenazas de Muddled Libra: mayor alcance, mayor rapidez, mayor impacto"}]},{"@type":"WebSite","@id":"https:\/\/unit42.paloaltonetworks.com\/#website","url":"https:\/\/unit42.paloaltonetworks.com\/","name":"Unit 42","description":"Palo Alto Networks","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/unit42.paloaltonetworks.com\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"es"},{"@type":"Person","@id":"https:\/\/unit42.paloaltonetworks.com\/#\/schema\/person\/ae7965e2717d118e5dd8f67b7d3519bc","name":"Unit 42","image":{"@type":"ImageObject","inLanguage":"es","@id":"https:\/\/unit42.paloaltonetworks.com\/#\/schema\/person\/image\/24dfba25c0e71d4de1836b78795bc2e5","url":"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/09\/Insights_headshot-placeholder-300x300.jpg","contentUrl":"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/09\/Insights_headshot-placeholder-300x300.jpg","caption":"Unit 42"},"url":"https:\/\/unit42.paloaltonetworks.com\/es-la\/author\/unit42\/"}]}},"_links":{"self":[{"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/posts\/144374","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/users\/23"}],"replies":[{"embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/comments?post=144374"}],"version-history":[{"count":6,"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/posts\/144374\/revisions"}],"predecessor-version":[{"id":151669,"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/posts\/144374\/revisions\/151669"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/media\/141667"}],"wp:attachment":[{"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/media?parent=144374"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/categories?post=144374"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/tags?post=144374"},{"taxonomy":"product_categories","embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/product_categories?post=144374"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/coauthors?post=144374"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
Los atacantes de Muddled Libra se han convertido en expertos en explotar la psicolog\u00eda humana al hacerse pasar por empleados para intentar restablecer contrase\u00f1as y la autenticaci\u00f3n multifactor (MFA). En la Figura\u00a01 se detalla la composici\u00f3n de Muddled Libra en t\u00e9rminos de datos demogr\u00e1ficos, t\u00e9cnicas avanzadas, selecci\u00f3n de v\u00edctimas y acciones sobre los objetivos.<\/p>\n Aunque sus t\u00e9cnicas avanzadas han evolucionado con el tiempo, Muddled Libra sigue minimizando el uso de malware en toda la cadena de ataque. Siempre que sea posible, prefieren utilizar los propios activos de la v\u00edctima en su contra.<\/p>\n En 2025, hemos observado actividad intrusiva de Muddled Libra en los sectores gubernamental, minorista, de seguros y de aviaci\u00f3n, como se muestra a continuaci\u00f3n en la Figura\u00a02. Este grupo ha demostrado una tendencia a atacar a muchas organizaciones del mismo sector en un tiempo relativamente corto. Sin embargo, los atacantes no siguen estrictamente este patr\u00f3n y han atacado simult\u00e1neamente a organizaciones que operan en diferentes sectores.<\/p>\n En lo que va de 2025, el cambio de t\u00e1cticas, dejando de lado el smishing y el phishing en favor de una interacci\u00f3n humana m\u00e1s directa, junto con la adopci\u00f3n del modelo de ransomware como servicio (RaaS), ha reducido dr\u00e1sticamente el tiempo que este actor permanece dentro del entorno. El promedio de tiempo transcurrido desde el acceso inicial hasta la contenci\u00f3n fue de 1\u00a0d\u00eda, 8\u00a0horas y 43\u00a0minutos.<\/p>\n Desde al menos abril de 2025, el grupo se ha asociado con el programa de RaaS DragonForce, operado por el grupo que identificamos como Slippery Scorpius, para extorsionar a sus v\u00edctimas. En un caso, observamos a los atacantes exfiltrar m\u00e1s de 100\u00a0GB de datos durante un per\u00edodo de dos\u00a0d\u00edas, seguido de la implementaci\u00f3n del ransomware DragonForce para el cifrado.<\/p>\n En la Figura\u00a03 se explica que el grupo pudo pasar de tener acceso inicial a trav\u00e9s de la ingenier\u00eda social de un empleado del servicio de asistencia a aumentar sus privilegios y conseguir derechos de administrador de dominio en unos 40\u00a0minutos, como ya se mencion\u00f3 en nuestro Informe global de respuesta ante incidentes de 2025<\/a>.<\/p>\n En la Figura\u00a04 se muestran los cambios que hemos observado en las t\u00e9cnicas avanzadas de Muddled Libra que contribuyen a que el grupo tenga un mayor impacto.<\/p>\n A continuaci\u00f3n, se detallan algunas de nuestras observaciones m\u00e1s destacadas.<\/p>\n (T1566.004<\/a>)<\/p>\n Cambio hacia el phishing por voz (tambi\u00e9n conocido como vishing) como t\u00e9cnica principal de ingenier\u00eda social para manipular al personal del servicio de asistencia inform\u00e1tica y lograr que restablezcan credenciales y la MFA del personal que los atacantes intentan imitar; m\u00e1s del 70\u00a0% de los n\u00fameros utilizados por este grupo en 2025 emplearon Google\u00a0Voice como servicio de Voz sobre Protocolo de Internet (VoIP).<\/p>\n A modo de ejemplo, Muddled Libra suele llamar al servicio de asistencia de una organizaci\u00f3n haci\u00e9ndose pasar por un usuario que no puede acceder a su dispositivo MFA. Aprovechando la tendencia natural de los empleados del servicio de asistencia de querer ayudar, los actores de amenazas los manipulan para que ignoren los controles de autenticaci\u00f3n de la organizaci\u00f3n y restablezcan tanto las credenciales del usuario final como el m\u00e9todo MFA. Otro ejemplo consiste en llamar directamente a la v\u00edctima y hacerse pasar por el servicio de asistencia de la organizaci\u00f3n. En este caso, los actores de amenazas manipulan a la v\u00edctima para que inicie o descargue un software de gesti\u00f3n remota y, a continuaci\u00f3n, proceden con el ataque desde el escritorio de la v\u00edctima.<\/p>\n Utilizar diversas herramientas de supervisi\u00f3n y gesti\u00f3n remotas (RMM) que permitan volver a entrar si se descubre a los actores de amenazas. Los ataques frecuentes a las herramientas de gesti\u00f3n de sistemas existentes e incluso a las plataformas de detecci\u00f3n y respuesta en los endpoints (EDR), adem\u00e1s de los hipervisores y las herramientas de gesti\u00f3n de la nube.<\/p>\n (T1003.003<\/a>, T1555.005<\/a>)<\/p>\n Volcado de credenciales de almacenes de contrase\u00f1as, incluido NTDS.dit, para lograr el almacenamiento completo de contrase\u00f1as de la empresa y comprometer Active Directory, respectivamente.<\/p>\n (T1114.002<\/a>, T1213.002<\/a>)<\/p>\n Acceder a las instancias de Microsoft\u00a0365 y SharePoint de la v\u00edctima como medio para llevar a cabo un reconocimiento interno.<\/p>\n (T1567.002<\/a>)<\/p>\n Transferencia de datos robados a servicios de almacenamiento en la nube, lo que en algunos casos incluye el env\u00edo directo desde los entornos de las v\u00edctimas.<\/p>\n Las organizaciones que utilizan Microsoft Entra ID para la gesti\u00f3n de acceso e identidad (IAM) basada en la nube pueden interrumpir significativamente las intrusiones de Muddled Libra mediante la implementaci\u00f3n adecuada de pol\u00edticas de acceso condicional (CAP).<\/p>\n Como parte de la actividad de amenazas de Muddled Libra, hemos observado una diferencia significativa en la capacidad de las organizaciones para frenar a los atacantes despu\u00e9s de la intrusi\u00f3n y permitir acciones de contenci\u00f3n m\u00e1s eficaces cuando se implementan las CAP, lo que limita el impacto general. En los casos en que las v\u00edctimas no hab\u00edan implementado las CAP o estaban configuradas de forma incorrecta, Muddled Libra pod\u00eda acelerar su ritmo operativo para implementar ransomware (el m\u00e1s reciente, DragonForce) con el fin de extorsionar el pago.<\/p>\n Algunos ejemplos espec\u00edficos de CAP que lograron ralentizar Muddled Libra incluyen lo siguiente:<\/p>\n Bas\u00e1ndonos en observaciones recientes e hist\u00f3ricas de Muddled Libra, evaluamos con gran certeza que este grupo seguir\u00e1 aprovechando sus fortalezas en t\u00e9rminos de actividades de ingenier\u00eda social. El grupo tambi\u00e9n seguir\u00e1 haciendo un uso indebido de identidades excesivamente permisivas dentro de las organizaciones objetivo para cumplir los objetivos de su misi\u00f3n.<\/p>\n Adem\u00e1s, es probable que el grupo mantenga su mentalidad de la nube primero<\/a>. Esto significa que su \u00e9xito previo en la explotaci\u00f3n del acceso dentro de las plataformas en la nube reforzar\u00e1 esta tendencia en el futuro, especialmente porque muchas organizaciones carecen de la visibilidad adecuada y los controles necesarios para supervisar y proteger estos entornos.<\/p>\n Adem\u00e1s, dado el \u00e9xito de Muddled Libra en su asociaci\u00f3n con varios programas de RaaS, es poco probable que se desv\u00ede de este camino. Estos programas de RaaS incluyen lo siguiente:<\/p>\n Es probable que los miembros de este grupo sigan extorsionando a sus v\u00edctimas y monetizando sus operaciones de intrusi\u00f3n, ya que esto les proporciona un proceso optimizado para llevar a cabo dichos ataques y beneficiarse de ellos.<\/p>\n Por \u00faltimo, esperamos que el intercambio de informaci\u00f3n entre los sectores p\u00fablico y privado sobre Muddled Libra siga proporcionando a las organizaciones indicios tempranos de actividades de intrusi\u00f3n. Esto ayudar\u00e1 a interrumpir las operaciones del grupo. Las operaciones policiales internacionales, como las recientes detenciones<\/a> de cuatro\u00a0personas relacionadas con los ciberataques contra tres\u00a0minoristas con sede en el Reino\u00a0Unido, esperamos que sirvan como medida disuasoria. Tambi\u00e9n deber\u00eda servir de recordatorio a otras organizaciones dedicadas a la ciberdelincuencia de que sus acciones tienen consecuencias. En esencia, la ciberseguridad es un deporte de equipo y debemos trabajar juntos para obtener una ventaja operativa proactiva frente a este adversario en constante evoluci\u00f3n.<\/p>\n Contamos con una lista de medidas de prevenci\u00f3n, detecci\u00f3n y contenci\u00f3n que las organizaciones deber\u00edan implementar para enfrentar la amenaza en evoluci\u00f3n que representa Muddled Libra. En la Figura\u00a05 se ofrece una visi\u00f3n amplia de estas recomendaciones, seguidas de medidas m\u00e1s descriptivas.<\/p>\n Prevenci\u00f3n:<\/strong><\/p>\n Detecci\u00f3n:<\/strong><\/p>\n Contenci\u00f3n:<\/strong><\/p>\n La nueva era de Muddled Libra ha llegado, y la actividad de este grupo sigue multiplic\u00e1ndose.<\/p>\n Los clientes de Palo Alto Networks gozan de una mayor protecci\u00f3n frente a las amenazas descritas en este art\u00edculo a trav\u00e9s de una arquitectura de seguridad moderna construida en torno a Cortex XSIAM<\/a> en conjunto con Cortex XDR<\/a>. Los servicios de seguridad entregados en la nube<\/a> Advanced URL Filtering<\/a> y Seguridad de DNS<\/a> pueden servir de protecci\u00f3n contra la infraestructura de mando y control (C2), mientras que App-ID<\/a> puede limitar los servicios de anonimizaci\u00f3n que pueden conectarse a la red.<\/p>\n Si cree que puede haber resultado vulnerado o tiene un problema urgente, p\u00f3ngase en contacto con el equipo de respuesta ante incidentes de Unit\u00a042<\/a> o llame al:<\/p>\n Palo Alto Networks ha compartido estos resultados con nuestros compa\u00f1eros de Cyber Threat Alliance (CTA). Los miembros de CTA utilizan esta inteligencia para implementar r\u00e1pidamente medidas de protecci\u00f3n para sus clientes y desarticular sistem\u00e1ticamente a los ciberdelincuentes. Obtenga m\u00e1s informaci\u00f3n sobre Cyber Threat Alliance<\/a>.<\/p>\n Muddled Libra (Scattered Spider, UNC3944) se est\u00e1 desarrollando. Obtenga la informaci\u00f3n m\u00e1s reciente y recomendaciones defensivas basadas en casos de respuesta ante incidentes de Unit 42.<\/p>\n","protected":false},"author":23,"featured_media":141667,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[8775,8829,8793],"tags":[9236,9237,9239,9240,9241,9242,9243,9244,8883],"product_categories":[8922,8924,8926,8921,8934,8935,8938,8890],"coauthors":[1025],"class_list":["post-144374","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-top-cyberthreats-es-la","category-threat-actor-groups-es-la","category-malware-es-la","tag-0ktapus-es-la","tag-alphv-es-la","tag-blackcat-ransomware-es-la","tag-mitre-es-la","tag-muddled-libra-es-la","tag-phishing-es-la","tag-scatter-swine-es-la","tag-scattered-spider-es-la","tag-social-engineering-es-la","product_categories-advanced-dns-security-es-la","product_categories-advanced-url-filtering-es-la","product_categories-app-id-es-la","product_categories-cloud-delivered-security-services-es-la","product_categories-cortex-xdr-es-la","product_categories-cortex-xsiam-es-la","product_categories-next-generation-firewall-es-la","product_categories-unit-42-incident-response-es-la"],"yoast_head":"\n![\"Cuatro\u00a0paneles](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/2-Muddled-Libra-Intrusion-Speed-4-1-786x339.png\")
<\/a>Cronolog\u00eda de la victimolog\u00eda: de mayor alcance<\/h2>\n
![\"Cronolog\u00eda](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/Muddled-Libra-Intrusion-Speed-4-766x440.png\")
<\/a>La estrategia de Muddled Libra: mayor rapidez<\/h2>\n
![\"Diagrama](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/es-LA-Muddled-Libra-Intrusion-Speed-3-786x413.png\")
<\/a>Evoluci\u00f3n de Muddled Libra: mayor impacto<\/h2>\n
![\"Diagrama](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/Es-LA-Muddled-Libra-_-New-Tactics-304x440.png\")
<\/a>Acceso inicial<\/h3>\n
<\/a>Movimiento lateral y persistente<\/h3>\n
<\/a>Acceso a credenciales<\/h3>\n
<\/a>Colecci\u00f3n<\/h3>\n
<\/a>Exfiltraci\u00f3n<\/h3>\n
<\/a>La historia de dos\u00a0v\u00edctimas: pol\u00edticas de acceso condicional<\/h2>\n
\n
<\/a>De cara al futuro<\/h2>\n
\n
<\/a>Recomendaciones<\/h2>\n
![\"Infograf\u00eda](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/05\/LATAM-Spanish_1709_Muddled-Libra-Update-2025-513x440.png\")
\n
\n
\n
<\/a>Conclusi\u00f3n<\/h2>\n
\n
<\/a>Referencias adicionales<\/h2>\n
\n