La nueva campaña de MuddyWater señala una nueva y escalonada fase de operaciones cibernéticas iraníes

Las líneas de falla geopolíticas en el Medio Oriente siempre han creado un profundo eco en el ciberespacio. Como hemos mencionado antes (aquí), los grupos iraníes nunca fueron eliminados de la ecuación geopolítica general en la región. En cambio, estaban agazapados, esperando el momento adecuado para atacar y casi parece que ahora están listos para lanzar la próxima ola de ciberataques a objetivos en la región y más allá. 

MuddyWater, el grupo de amenaza persistente avanzada (APT) patrocinado por el estado iraní y formalmente vinculado al Ministerio de Inteligencia y Seguridad (MOIS) de Irán, ha demostrado una vez más que no es meramente una molestia regional, sino un adversario persistente, evolutivo y estratégicamente motivado capaz de comprometer profundamente infraestructuras críticas.

El descubrimiento de Dindoor, una puerta trasera previamente desconocida que aprovecha el entorno de ejecución JavaScript Deno junto con el implante Fakeset basado en Python, en redes bancarias de los EE. UU., aeropuertos, organizaciones sin fines de lucro y empresas de software cercanas al sector de defensa no abre un nuevo capítulo. En cambio, agrega algunos párrafos más a la narrativa que prospera en la continuación de una campaña calculada y de larga duración que se ha estado insertando silenciosamente en redes occidentales desde al menos febrero de 2026. El momento no es una coincidencia.

Este análisis descompone la arquitectura técnica de la campaña Dindoor, examina la evolución operacional de MuddyWater, pone en contexto la amenaza dentro de la doctrina cibernética más amplia de Irán y ofrece a los defensores un marco fundamentado y accionable para la respuesta.

No olvides leer nuestro blog sobre "Asegurando la infraestructura crítica de los Grupos APT durante eventos geopolíticos," aquí. 

¿Quién es MuddyWater? Un actor de amenaza que se niega a guardar silencio

Orígenes y Atribución

MuddyWater (también conocido como Seedworm, TEMP.Zagros, Mango Sandstorm, TA450 y Static Kitten) ha estado operando al menos desde 2017, cuando fue detectado por primera vez apuntando a entidades en Arabia Saudita, Iraq, Israel y Turquía. En febrero de 2022, el FBI, CISA y el NCSC del Reino Unido atribuyeron conjuntamente a MuddyWater al MOIS de Irán.

El mandato operacional del grupo es bastante amplio: recolección de inteligencia, robo de credenciales, posicionamiento de red y, cuando se le instruye, operaciones destructivas a gran escala o a medida. A diferencia de los grupos puramente motivados financieramente, MuddyWater opera como una parte en un aparato de seguridad nacional iraní más grande. Sus campañas a menudo están sincronizadas con objetivos geopolíticos más amplios y son complementadas por otros clústeres APT iraníes, incluyendo OilRig (APT34), Charming Kitten (APT42), Elfin, Fox Kitten y frentes hacktivistas como Handala Hack y Void Manticore.

Iteración rápida de herramientas: Un factor definitorio para MuddyWater

Lo que separa a MuddyWater de muchos grupos APT es su capacidad para modificar herramientas e introducir variantes rápidamente. Históricamente dependiente de implantes basados en PowerShell y puertas traseras personalizadas como POWERSTATS, el grupo ha ampliado progresivamente sus esfuerzos de desarrollo de malware en Python, C#, Go, y ahora JavaScript a través del entorno Deno. Cada iteración refleja una respuesta deliberada a la mejor visibilidad de los defensores a conjuntos de herramientas anteriores.

El cambio a Deno es ilustrativo de esta presión evolutiva a la que el grupo ha respondido. Los centros de operaciones de seguridad (SOCs) ahora han construido una capacidad de detección significativa alrededor de amenazas basadas en Node.js y abuso tradicional de intérpretes de secuencias de comandos. Al cambiar a Deno, que es un entorno moderno y centrado en la seguridad con una firma de proceso distinta, MuddyWater está trabajando para explotar puntos ciegos de detección. Esto no es solo improvisación, sino aprendizaje adversario a gran escala.

La disposición de MuddyWater para rearmarse rápidamente (incluso durante tiempos de bajo ancho de banda) es una de sus características más subestimadas. Las organizaciones que dependen de la detección basada en IOC de campañas anteriores estarán casi siempre un paso atrás. Los análisis de comportamiento deben por lo tanto ser la base y no el recurso de última instancia.

Anatomía de la puerta trasera Dindoor: Exploración técnica

¿Por qué Deno? La elección estratégica de un entorno de ejecución

Deno es un entorno de ejecución moderno y seguro para JavaScript y TypeScript creado por Ryan Dahl (el mismo desarrollador detrás de Node.js). Fue creado para abordar específicamente las deficiencias arquitectónicas de Node.js. Ofrece ejecución en sandbox por defecto, soporte integrado de TypeScript y un modelo basado en permisos. En un ecosistema legítimo de desarrollo, estas características son virtudes a ser aclamadas. Pero para un actor de amenaza, representan un vehículo y camino de evasión casi perfecto.

La mayoría de las herramientas de detección y respuesta en el endpoint (EDR) empresariales y las plataformas de gestión de eventos e información de seguridad (SIEM) están configuradas para monitorear invocaciones sospechosas de entornos de ejecución comunes como cmd.exe, PowerShell, python.exe, node.exe y wscript.exe. Deno (deno.exe) rara vez está en esas listas de vigilancia. Cuando Dindoor se ejecuta a través de Deno, el árbol de procesos resultante puede parecer anómalo para un analista capacitado pero pasará desapercibido a través de conjuntos de reglas basadas en firmas o linajes de proceso que carecen de cobertura de Deno.

Además, dado que Deno obtiene módulos desde URLs en tiempo de ejecución y soporta importaciones HTTP/S de forma nativa, una carga de Dindoor puede ser notablemente compacta en disco. Básicamente, un cargador delgado que extrae su funcionalidad real de una infraestructura controlada por el atacante o que parece legítima en la nube en el momento de la ejecución, complicando significativamente el análisis estático.

La cadena de infección

Aunque el vector de acceso inicial preciso no ha sido mencionado, hemos observado en el pasado que en cada incidente de Dindoor, el oficio establecido de MuddyWater proporciona un marco de referencia claro. El grupo utiliza predominantemente correos electrónicos de spear-phishing y operaciones de honeytrap para establecer cabezas de playa, apuntando a individuos de alto valor, incluidos administradores, personal financiero y usuarios privilegiados, con señuelos convincentes.

Una vez logrado el acceso inicial, el ataque procede a través de múltiples etapas:

El problema de reutilización de certificados y por qué es un regalo para los defensores

Uno de los elementos más significativos en términos analíticos de la campaña Dindoor es la reutilización de certificados digitales fraudulentos a través de diferentes familias de malware. Tanto Dindoor como Fakeset llevan certificados emitidos a identidades ficticias: 'Amy Cherne' y 'Donald Gay'. Críticamente, el certificado de Donald Gay ha aparecido previamente en familias de malware atribuidas a MuddyWater, específicamente Stagecomp y Darkcomp, que han sido señaladas por Google, Microsoft y Kaspersky.

La reutilización de certificados es una falla de seguridad operativa por parte de MuddyWater, pero es una recurrente — sugiriendo que refleja ya sea limitaciones de recursos en su canal de adquisición de certificados o un punto ciego organizativo. Para los defensores, esto crea una oportunidad de cacería duradera: cualquier binario firmado con estas identidades de certificados debe ser considerado inmediatamente sospechoso e investigado como un posible artefacto de MuddyWater, independientemente de la familia específica de malware.

Fakeset y la estrategia de múltiples puertas traseras

El despliegue de Dindoor y Fakeset en diferentes organizaciones víctimas no es redundancia — es una elección arquitectónica deliberada. Al mantener conjuntos de herramientas separados firmados con los mismos certificados pero implementados en diferentes lenguajes (JavaScript a través de Deno vs. Python), MuddyWater puede adaptarse a diferentes entornos objetivo, evadir la detección específica de herramientas y mantener la continuidad operativa incluso si una familia de implantes es quemada.

La puerta trasera Fakeset fue específicamente identificada en redes de aeropuertos de EE. UU. y organizaciones sin fines de lucro, dos sectores con posturas de seguridad y entornos regulatorios distintos. Los aeropuertos, como infraestructura crítica, a menudo tienen una segmentación de red más rigurosa, pero los implantes basados en Python se mezclan con herramientas de desarrollo y administrativas con facilidad preocupante en despliegues de entornos mixtos.

¿Por qué ahora?

Operaciones cibernéticas como el ecualizador asimétrico de Irán

Las capacidades cibernéticas de Irán se entienden mejor no como una rama militar independiente sino como un instrumento de política de estado, una herramienta flexible, negable y escalable para proyectar poder más allá de lo que los medios militares convencionales permiten. Cuando Irán enfrenta reveses cinéticos significativos, las operaciones cibernéticas históricamente se incrementan en un corto periodo de tiempo. El patrón ha sido consistente al menos desde las revelaciones de Stuxnet de 2010 que redirigieron la atención iraní hacia desarrollar capacidades cibernéticas ofensivas como una prioridad de seguridad nacional.

El contexto geopolítico de principios de 2026 está salpicado de riesgos extraordinarios para todos. La doctrina estatal iraní en este escenario es clara: responder en todos los dominios disponibles. Las operaciones cibernéticas son la herramienta asimétrica más accesible, negable e inmediata disponible e Irán la utilizará.

Pre-posicionamiento antes de que cayeran las bombas

El detalle que exige la atención analítica más seria es este: la actividad de MuddyWater en redes de bancos, aeropuertos y empresas de software del sector defensa de EE. UU. comenzó a principios de febrero de 2026, solo semanas antes de los ataques aéreos del 28 de febrero. Esto no es reactivo. Esto es pre-posicionamiento.

La capacidad de pre-posicionarse para establecer acceso persistente a objetivos de alto valor antes de un evento geopolítico desencadenante es el signo distintivo de un programa APT bastante maduro y bien financiado. Significa que Irán tenía inteligencia sugerente de que una escalada estaba por venir, o que mantiene acceso persistente a la infraestructura crítica de EE. UU. como una capacidad constante independientemente del entorno de amenaza actual. El pivote de la espionaje a la destrucción, cuando se lo ordena, podría ocurrir con un esfuerzo adicional mínimo de acceso.

La campaña Dindoor no se trata solo de robo de datos. Se trata de opcionalidad. Irán está construyendo apalancamiento de dominio cruzado y la capacidad de causar interrupción bajo demanda, en sectores que más importan, cuando las circunstancias geopolíticas lo exigen. Considerar esto como un caso de espionaje estándar sería un error de categoría.

El ecosistema cibernético iraní más amplio

MuddyWater no opera en aislamiento. El ecosistema de amenazas cibernéticas iraní en principios de 2026 involucra múltiples grupos de amenazas activas simultáneamente, cada uno con perfiles de ataque, conjuntos de herramientas y objetivos operativos distintos:

• Agrius: Agrius — enfocado principalmente en operaciones destructivas usando malware wiper, históricamente atacando a organizaciones israelíes.

• OilRig: OilRig (APT34) — sofisticada colección de inteligencia contra sectores gubernamentales y energéticos, con una historia de atacar organizaciones de Medio Oriente y América del Norte.

• Charming Kitten: Charming Kitten (APT42) — especializándose en campañas de phishing de credenciales apuntando a periodistas, académicos y figuras políticas con acceso a información sensible.

• Fox Kitten: Fox Kitten — conocido por explotación de vulnerabilidades de VPN y corretaje de acceso inicial para otros grupos APT iraníes.

• Frentes Hacktivistas: Handala Hack y Void Manticore — frentes hacktivistas conduciendo operaciones disruptivas y orientadas psicológicamente en paralelo con campañas de espionaje estatales.

La activación simultánea de múltiples grupos cibernéticos iraníes en respuesta a escalaciones geopolíticas crea un entorno de amenazas en capas que sobrecarga a los defensores enfocados en un solo perfil de adversario. Los equipos de seguridad deben operar con el entendimiento de que una detección de MuddyWater puede ser la superficie visible de una operación cibernética iraní mucho más amplia ya en marcha.

Mapeo MITRE ATT&CK: Operacionalizando la amenaza

Entender la campaña Dindoor a través del marco MITRE ATT&CK permite a los defensores traducir la inteligencia de amenazas en prioridades de ingeniería de detección. La siguiente tabla mapea las TTPs confirmadas y evaluadas de la campaña:

Las prioridades de detección basadas en este mapeo deben incluir: ejecución anómala del entorno Deno, salida inusual de almacenamiento en la nube (particularmente a Backblaze o Wasabi), presencia de Rclone en entornos donde no tiene uso legítimo, y cacería basada en certificados para identidades de firma conocidas de MuddyWater.

El libro de jugadas del defensor: Respuesta fundamentada y priorizada

Nivel 1: Acciones inmediatas de detección y cacería

• Cacería de Procesos Deno: Cace para el entorno Deno (deno.exe) en todos los puntos finales, marque cualquier instancia en entornos donde el desarrollo de TypeScript/JavaScript no es una función establecida.

• Auditoría de Tráfico de Almacenamiento en la Nube: Realice consultas en SIEM para conexiones salientes a Backblaze (backblazeb2.com) y Wasabi (wasabisys.com) para correlacionar con anomalías de hora del día, identidad de usuario, y volumen de datos.

• Detección de Rclone: Busque instalación o ejecución de Rclone (rclone.exe), particularmente invocaciones de línea de comandos que hagan referencia a 'wasabi:' como destino.

• Cacería de Certificados: Ejecute cacería de amenazas basada en certificados: realice consultas en su entorno para cualquier binario firmado por certificados emitidos a 'Amy Cherne' o 'Donald Gay', trate las coincidencias como artefactos de MuddyWater de alta confianza.

• Implementación de Reglas YARA: Implemente reglas YARA para las familias de malware Dindoor (SHA-256: 0f9cf1cf8d641562053ce533aaa413754db88e60404cab6bbaa11f2b2491d542) y Fakeset a través de plataformas EDR.

Nivel 2: Controles Arquitectónicos y de Políticas

• Lista Blanca de Entornos de Ejecución: Implemente políticas de lista blanca de aplicaciones que nieguen explícitamente la ejecución de entornos no aprobados, incluyendo Deno. Revise su lista de entornos aprobados contra las necesidades actuales de herramientas de desarrollo.

• Refuerzo de MFA: Haga cumplir MFA resistente al phishing (FIDO2/WebAuthn) en todas las cuentas privilegiadas. La canalización de robo de credenciales de MuddyWater depende de comprometer cuentas que permanecen protegidas solo por factores tradicionales de MFA.

• Filtrado de Egresión: Revise y apriete las reglas de firewall de egresión para requerir aprobación explícita para tráfico a proveedores de almacenamiento en la nube no incluidos en la lista de proveedores aprobados por su organización.

• Segmentación de Red: Implemente controles de segmentación de red que prevengan el movimiento lateral desde puntos finales comprometidos hacia sistemas sensibles, particularmente entre redes corporativas y de tecnología operacional (OT) en aeropuertos y entornos industriales.

• Ejercicios de Mesa: Realice ejercicios de mesa simulando un escenario de pre-posicionamiento APT iraní, específicamente el pivote de la recolección pasiva a la acción destructiva para probar la capacidad de respuesta de sus libros de juego de incidentes.

Nivel 3: Integración de Inteligencia de Amenazas

•Fuentes de Inteligencia de Amenazas: Suscríbase a fuentes de inteligencia de amenazas que proporcionen indicadores casi en tiempo real de campañas de MuddyWater, como las de Shieldworkz.

• Priorización de Vulnerabilidades: Parchee agresivamente contra CVEs conocidos por ser explotados por APTs iraníes, con prioridad en CVE-2017-7921, CVE-2023-6895, CVE-2021-36260, CVE-2025-34067, y CVE-2021-33044.

•  Integración de IOC: Integre indicadores de infraestructura de C2 conocida de MuddyWater, incluidos URLs específicos de buckets de Backblaze y Wasabi documentados en informes de Symantec, en sus plataformas de SIEM y filtrado DNS. 

 Más allá de la campaña: Cuál es la trayectoria futura de los grupos APT iraníes

La nube como escudo y espada

Quizás el aspecto más estratégico de la campaña Dindoor es la adopción total por parte de MuddyWater de infraestructura de nube legítima tanto como mecanismo de entrega como canal de exfiltración. Backblaze y Wasabi son servicios de almacenamiento en la nube legítimos y comercialmente disponibles utilizados por millones de empresas en todo el mundo. Su tráfico está casi universalmente permitido en entornos de red empresariales.

Al enrutar la entrega de malware y la exfiltración de datos a través de estas plataformas, MuddyWater efectivamente arma la confianza que las organizaciones extienden a los servicios en la nube como una cuestión de necesidad operativa. Este no es un concepto nuevo, se ha observado en múltiples campañas APT en los últimos cinco años, pero la aplicación de MuddyWater señala una tendencia más amplia: el perímetro de la nube se está convirtiendo en el campo de batalla principal para las amenazas persistentes avanzadas, y las defensas de capa de red tradicionales son insuficientes por sí solas.

Viviendo de la tierra, pero a mucha mayor altitud

El uso de Deno junto con la utilidad Rclone representa una variación sofisticada de las técnicas de vivir de la tierra (LotL). En lugar de abusar de las utilidades integradas de Windows como wmic.exe o certutil.exe que ahora están estrechamente monitoreadas, MuddyWater está explotando la legitimidad de herramientas de desarrollador de código abierto, multiplataforma, que están cada vez más presentes en los entornos empresariales modernos. Esto señala una maduración en la metodología LotL iraní: pasar del abuso de binarios nativos del sistema operativo al abuso de herramientas nativas del ecosistema.

La implicación para los defensores es significativa: su ingeniería de detección debe evolucionar desde '¿qué binarios de Windows están siendo abusados?' a '¿qué herramientas legítimas en cualquier lugar de nuestro entorno podrían ser armadas, y estamos monitoreando su contexto de ejecución lo suficientemente de cerca para distinguir el uso legítimo del malicioso?'

El riesgo del pivote de espionaje a interrupción

Cada intrusión confirmada de MuddyWater en esta campaña involucra una red donde el objetivo inicial parece ser la recolección de inteligencia. Pero el acceso pre-posicionado para la recolección es funcionalmente idéntico al acceso pre-posicionado para la interrupción. La diferencia es la intención, y la intención no es observable desde la telemetría de red solo.

La historia de las operaciones cibernéticas de Irán incluye campañas destructivas: Shamoon contra Saudi Aramco en 2012, las campañas de DDoS contra instituciones financieras de EE. UU. en la Operación Ababil, y más recientemente los ataques de wiper atribuidos a Agrius contra objetivos israelíes. La lección de esta historia es que los actores cibernéticos de Irán no distinguen permanentemente entre espionaje y interrupción. En cambio, cambian de modo en respuesta a direcciones políticas.

Las organizaciones actualmente comprometidas por Dindoor y Fakeset, que incluyen un banco, un aeropuerto, proveedores de software del sector defensa, son exactamente el tipo de objetivos que aparecerían en una operación cibernética disruptiva iraní diseñada para maximizar el impacto psicológico y económico en los Estados Unidos. Este no es un riesgo teórico. Es uno vivo y presente.  

Una amenaza persistente

La campaña Dindoor no es un incidente aislado. Es un punto de datos en un patrón de operaciones cibernéticas iraníes de larga duración contra objetivos occidentales, un patrón que ha escalado consistentemente con cada punto de conflicto geopolítico y no muestra signos de reversión.

El despliegue por parte de MuddyWater de una novedosa puerta trasera basada en Deno, su uso simultáneo de una familia de implantes en Python, su adopción de servicios en la nube legítimos tanto para la entrega como para la exfiltración, y su cuidadosa atención a la legitimación basada en certificados pintan un cuadro de un adversario que es metódico, adaptable y paciente. Estas no son las características de una amenaza que será neutralizada por una sola medida defensiva o un solo desarrollo geopolítico.

Las organizaciones, particularmente aquellas en servicios financieros, aviación, infraestructura crítica y contratación de defensa, deben tratar a la amenaza cibernética iraní como una característica estructural y permanente de su panorama de riesgos y no una preocupación periódica para ser abordada cuando un titular de campaña nuevo aparece. La inversión en detección basada en comportamiento, cacería de amenazas, visibilidad del tráfico en la nube, y integración continua de inteligencia de amenazas no es opcional. Es el costo de operar en un mundo donde adversarios de esta sofisticación ya han decidido que eres un objetivo.

Los actores de amenazas iraníes no han regresado. Nunca se fueron. La pregunta es si tu organización está lista para lo que está alineado.

Solicite un informe.

Recursos adicionales:
Lista de verificación de evaluación de riesgos basada en IEC 62443 para operaciones de aeropuertos e infraestructura crítica
Lista de verificación de respuesta a incidentes de Tecnología Operacional (OT)
Lista de verificación de evaluación de riesgos de ciberseguridad OT basada en IEC 62443 para sitios de petróleo y gas

Guía de postura defensiva para empresas de Medio Oriente