{"id":176227,"date":"2026-03-16T08:43:25","date_gmt":"2026-03-16T15:43:25","guid":{"rendered":"https:\/\/unit42.paloaltonetworks.com\/?p=176227"},"modified":"2026-03-27T08:51:12","modified_gmt":"2026-03-27T15:51:12","slug":"evolution-of-iran-cyber-threats","status":"publish","type":"post","link":"https:\/\/unit42.paloaltonetworks.com\/es-la\/evolution-of-iran-cyber-threats\/","title":{"rendered":"Evoluci\u00f3n de las ciberamenazas iran\u00edes: de los wipers de MBR a la militarizaci\u00f3n de la identidad"},"content":{"rendered":"

Los recientes ciberataques atribuidos a actores de amenazas iran\u00edes<\/a> se extienden m\u00e1s all\u00e1 de la interrupci\u00f3n t\u00edpica de las redes. En lugar de ser incidentes aislados de sabotaje, este tipo de ataques se sit\u00faa en un contexto m\u00e1s amplio, definido por la dependencia de Ir\u00e1n de las represalias asim\u00e9tricas y su hist\u00f3rica doctrina de intermediarios (proxy<\/em>). Los actores de amenazas alineados con Ir\u00e1n aprovechan cada vez m\u00e1s el ciberespacio como un ecualizador estrat\u00e9gico.<\/p>\n

Para el Cuerpo de la Guardia Revolucionaria Isl\u00e1mica (IRGC) y el Ministerio de Inteligencia y Seguridad (MOIS), las operaciones cibern\u00e9ticas proporcionan un mecanismo de represalia de bajo costo y alto impacto sin cruzar fronteras geogr\u00e1ficas. En este entorno, las organizaciones globales enfrentan un mayor riesgo cibern\u00e9tico, ya que el despliegue tradicional de malware se cruza con el novedoso abuso de identidades. El cambio de malware de borrado (wiper<\/em>) personalizado al abuso administrativo nativo elimina una barrera de detecci\u00f3n cr\u00edtica que hist\u00f3ricamente proteg\u00eda a las redes empresariales.<\/p>\n

<\/a>De los binarios personalizados al abuso de identidades<\/h2>\n

El cambio t\u00e1ctico actual de los actores cibern\u00e9ticos iran\u00edes se debe menos a una falta de capacidad para desarrollar malware que a las ventajas estrat\u00e9gicas de las t\u00e9cnicas de \"vivir de la tierra\" (Living-off-the-Land<\/em> o LotL). Las operaciones dise\u00f1adas para causar interrupciones han experimentado un cambio desde 2023: en lugar de depender en gran medida de herramientas hechas a medida (bespoke<\/em>), los m\u00e9todos empleados ahora forman parte de una tendencia mayor hacia una escala m\u00e1s amplia y una mejor evasi\u00f3n.<\/p>\n

Durante los recientes incidentes con wipers<\/em>, los actores de amenazas que operan bajo la identidad de Void Manticore (Handala) no desplegaron un wiper<\/em> de d\u00eda cero (zero-day<\/em>) ni malware compilado tradicional. En su lugar, los atacantes comprometieron identidades con altos privilegios, enviando comandos leg\u00edtimos de borrado remoto (remote-wipe<\/em>) a m\u00e1s de 200,000 dispositivos a nivel mundial.<\/p>\n

Este cambio de binarios personalizados al abuso administrativo ayuda a explicar la din\u00e1mica actual. En este contexto, las amenazas persistentes avanzadas (APT) iran\u00edes parecen considerar cada vez m\u00e1s las herramientas administrativas empresariales no solo como infraestructura de TI, sino tambi\u00e9n como activos militarizables en un marco disruptivo m\u00e1s amplio. Esta distinci\u00f3n es fundamental para comprender c\u00f3mo los actores alineados con el Estado iran\u00ed perciben las plataformas de gesti\u00f3n de dispositivos m\u00f3viles (MDM) no como herramientas de gesti\u00f3n, sino como vectores de ataque de alto impacto que eluden la telemetr\u00eda tradicional de detecci\u00f3n y respuesta en endpoints<\/em> (Endpoint Detection and Response<\/em> o EDR).<\/p>\n

<\/a>Ascendiendo en la escala de escalada<\/h2>\n

Ya en 2012<\/a> y 2016, los actores iran\u00edes lanzaron operaciones disruptivas significativas en toda la regi\u00f3n. Al rastrear la historia de sus represalias cibern\u00e9ticas contra supuestas ofensas geopol\u00edticas, vemos un patr\u00f3n claro y creciente de capacidad e intenci\u00f3n durante la \u00faltima d\u00e9cada entre los grupos vinculados al IRGC y al MOIS.<\/p>\n

<\/a>Los instrumentos rudimentarios (2016\u20132019)<\/h3>\n

Durante este per\u00edodo, grupos de actores de amenazas como Curious Serpens<\/a> (APT33, Elfin) y Evasive Serpens<\/a> (APT34, OilRig) atacaron la infraestructura de TI con malware de borrado de discos de alta visibilidad.<\/p>\n