En el mundo de la Inteligencia de Amenazas Cibernéticas (CTI, por sus siglas en inglés), usualmente hablamos de "persistencia" como un estado técnico. Esto podría significar una clave de registro aquí, una tarea programada allá o incluso un payload acechando en las profundidades oscuras de un dispositivo o red olvidado pero conectado. Pero lo que estamos presenciando con el actor vinculado a Irán Handala (rastreado como Void Manticore o Storm-0842) es algo un poco más primordial: la resiliencia operacional.

A pesar de los golpes cinéticos masivos a principios de marzo de 2026 (Operación Furia Épica) que arrasaron con la sede cibernética del IRGC y eliminaron a figuras clave del liderazgo, incluido el viceministro Seyed Yahya Hosseini Panjaki, Handala no solo hizo sentir su presencia. Escalaron. El reciente borrado de más de 200,000 dispositivos en Stryker Corporation en 79 países es esencialmente una clase maestra en cómo un actor "suprimido" ataca a voluntad cuando nadie lo espera.

Entonces, ¿cómo se recupera un grupo cuando literalmente su mundo físico está en llamas? Aquí hay un desglose del libro de jugadas de resiliencia de Handala que ofrece algunas respuestas. El análisis es esencialmente un bosquejo basado en datos y evidencias sobre lo que hemos visto en las últimas semanas.

Antes de continuar, no olvides revisar nuestra publicación anterior en el blog sobre el tema: Mapeo del NIST CSF 2.0 a IEC 62443: Un Marco Práctico para la Seguridad OT Industrial aquí.

La estrategia de "gatillo pre-posicionado"

Una de las realizaciones más impactantes del incidente de Stryker es que los ataques a Irán no causaron realmente el ciberataque; simplemente presionaron el gatillo.

La resiliencia de Handala se basa en lo que se puede llamar una estrategia de "largo plazo" definida por:

• Puntos de apoyo latentes: La inteligencia sugiere que habían establecido acceso administrativo semanas, si no meses, antes. Sabían que tendrían que demostrar prueba de acceso y disrupción durante una guerra.

• Arma de identidad: En lugar de depender únicamente de la infraestructura local vulnerable, se trasladan a la nube de la víctima. Al abusar de Microsoft Intune y Entra ID, convirtieron las propias herramientas de gestión de la víctima en un limpiador masivo y distribuido. El impacto fue catastrófico y Handala no se quedó para pedir un rescate o negociar. Pasaron a colaborar con grupos APT rusos para atacar una instalación nuclear en Polonia.

• La lección: Puedes bombardear una sala de servidores en Teherán, pero no puedes "bombardear" una credencial de administrador global comprometida en la nube de Azure.

• Según la investigación de Shieldworkz, Handala está trabajando con APT 35, otro actor de amenazas de Irán que se especializa en pre-posicionamiento. Entonces, la colaboración es tanto dentro de Irán como fuera de sus fronteras.

El agnosticismo infraestructural (El Giro de Starlink)

Cuando el régimen iraní redujo la conectividad a internet al 1–4% para prevenir el seguimiento entrante durante el conflicto, Handala simplemente cambió la "tubería".

La investigación de Shieldworkz indica una rápida migración a la conectividad satelital de Starlink y nodos VPN comerciales (Muchas IPs de Starlink han aparecido en la lista de direcciones vinculadas a Handala). Al desvincular sus operaciones de la infraestructura del ISP nacional, crearon un entorno operativo "sin fronteras" que eliminó todas las dependencias técnicas. No son solo "hackers iraníes"; son una operación celular distribuida que resulta estar alineada con intereses iraníes.

Esto refleja las acciones de las fuerzas armadas iraníes que se dice operan en un modelo mosaico descentralizado. Estos mosaicos dirigidos por un líder zonal tienen órdenes de atacar a voluntad en caso de una disrupción del liderazgo central.  

La doctrina de "disrupt + leak y luego amplificar"

Handala ha perfeccionado el arte del Shock de Información. Su libro de jugadas sigue un ciclo rígido y de alto ritmo:

• Golpe técnico: Desplegar limpiadores (como las variantes Hatef o Hamsa).

• Secuestro de narrativa: En pocas horas, capturas de pantalla y afirmaciones exageradas (por ejemplo, "50TB robados") se difunden por Telegram y X.

• Impacto psicológico: Al atacar sectores sensibles como dispositivos médicos o sistemas de alerta de jardines de infantes, aseguran que el "miedo" perdure más allá de la recuperación técnica.

El posible libro de jugadas: Un plan para el "APT Moderno"

Si redactáramos el "Libro de Jugadas de Handala" que otros APT (Amenazas Persistentes Avanzadas) podrían estar estudiando ahora, se vería así:

Fase I: El modelo de "Entrega"

La inteligencia de Shieldworkz muestra un sistema de dos niveles. Un actor "silencioso" (como APT 35) establece el acceso profundo y de varios años. Cuando las tensiones geopolíticas se desbordan (como el ataque escolar del 28 de febrero en Minab), "entregan" las credenciales al actor "ruidoso" (Handala) para presionar el gatillo y anunciar el ataque.

Perspectiva CTI: El acceso está desvinculado del actor. Incluso si los "operadores" de Handala son neutralizados, el acceso permanece en manos de los colectores silenciosos.

Fase II: Reforzamiento de Infraestructura (el giro de Starlink)

Desde mediados de enero de 2026, Handala ha sido documentado utilizando terminales de Starlink del mercado negro incautados a activistas iraníes.

• Impacto: Esto evade el "Filternet" del gobierno iraní y los apagones de internet.

• Valor Estratégico: Les permite mantener una presencia de "Comando y Control" (C2) 24/7 completamente independiente de la red nacional.

• Otorga obscuridad: Pueden ocultarse detrás de varios rangos de IP para enmascarar el origen del tráfico malicioso.   

Fase III: El "multiplicador de fuerza" narrativo

Handala entiende que el impacto psicológico > impacto técnico.

• Desfiguraron las páginas de acceso de Entra de Stryker con el logo de Handala antes del limpiado.

• Reclamaron 50TB de datos exfiltrados (probablemente una exageración) para crear un "ciclo de pánico" para la junta directiva.

• El libro de jugadas: Golpear primero los sistemas de respaldo, luego limpiar los puntos finales, luego filtrar los datos.

• Las cuentas de redes sociales vinculadas al grupo se volvieron locas dentro de una hora del anuncio de la violación haciendo afirmaciones salvajes sobre todo el incidente

Lo que esto significa para el panorama global de APT

Handala es el modelo para la Guerra Cibernética Asimétrica 2.0. Han demostrado que:

• El ciber es "a prueba de bombas": A diferencia de los misiles balísticos, la capacidad cibernética no requiere una fábrica. Requiere una laptop y un enlace satelital. Esto lo convierte en la herramienta definitiva para un estado con poco dinero o devastado por la guerra.

• La identidad es el nuevo perímetro: El cambio de "malware" al "abuso de identidad" (Intune/Azure) significa que los firewalls tradicionales son cada vez más irrelevantes.

• El "efecto cucaracha": Otros actores (como el Lazarus de Corea del Norte o el Sandworm de Rusia) están observando. Ven que incluso bajo un sitio militar total, un pequeño equipo de 10–30 operadores puede causar caos global si poseen las identidades correctas.

El modelo "Handala" representa una evolución preocupante para la seguridad global:

· De "malware primero" a "identidad primero": Se espera que los actores rusos (Sandworm) y norcoreanos (Lazarus) se alejen de los costosos exploits de día cero y se dirijan hacia el robo masivo de Identidad.

· Radio de explosión del SaaS: A medida que las empresas se trasladan más a la nube (Intune, Azure, Salesforce), el "radio de explosión" de una única cuenta de administrador comprometida crece exponencialmente.

· Desacoplamiento cinético-cibernético: Ya no podemos asumir que golpear la infraestructura de una nación detendrá sus operaciones cibernéticas. El "soldado digital" de 2026 es móvil, conectado por satélite y con base en la nube.

Handala no es solo un actor de amenazas; es un síntoma de la nueva realidad del panorama de amenazas. Atacan "a voluntad" porque ya han pasado el tiempo haciendo el trabajo aburrido: recolectando credenciales y sentándose en silencio en las esquinas de nuestras redes.

Recursos adicionales

Accede a las guías de remediación y resuelve los desafíos comunes de seguridad OT
Más sobre el despliegue de controles de seguridad OT alineados a NIST SP 800-171