Los investigadores de Unit 42, la unidad de inteligencia de amenazas de Palo Alto Networks, han analizado una serie de incidentes recientes que han afectado a organizaciones en Israel y Estados Unidos en el contexto de la actual escalada del conflicto con Irán. El análisis apunta a la actividad del grupo Handala Hack, también conocido como Void Manticore, COBALT MYSTIQUE o Storm-1084/Storm-0842, vinculado por la comunidad de inteligencia al Ministerio de Inteligencia y Seguridad de Irán.
El 6 de marzo, la Dirección Nacional de Ciberseguridad de Israel advirtió públicamente de ataques iraníes dirigidos contra organizaciones del país. Según el organismo, los atacantes lograron acceder a redes corporativas y eliminar servidores y equipos con el objetivo de interrumpir las operaciones, en algunos casos utilizando credenciales legítimas de usuarios corporativos para obtener acceso inicial.
Unit 42 señala que el principal vector de ataque observado en estas operaciones es la explotación de identidades mediante campañas de phishing y el abuso de privilegios administrativos, especialmente a través de herramientas de gestión empresarial como Microsoft Intune. Los atacantes buscan cuentas con privilegios elevados y accesos permanentes, lo que les permite ejecutar acciones destructivas de forma inmediata, como el borrado masivo de dispositivos.
Recomendaciones de seguridad para las organizaciones
Ante este contexto, los expertos de Unit 42 recomiendan a las organizaciones reforzar sus controles de identidad y privilegios administrativos para reducir el riesgo de compromisos críticos. Entre las principales medidas destacan:
- Eliminar privilegios administrativos permanentes y adoptar modelos de acceso just-in-time (JIT).
- Reducir al mínimo las cuentas con privilegios globales, especialmente administradores de Intune y Azure.
- Implementar autenticación multifactor (MFA) y controles adicionales para la activación de roles privilegiados.
- Exigir aprobaciones múltiples para acciones críticas, como el borrado de dispositivos.
- Utilizar estaciones de trabajo administrativas seguras para acceder a entornos sensibles.
- Reducir la duración de las sesiones administrativas y proteger los tokens de autenticación.
Además, recomiendan reforzar las capacidades de detección y respuesta, integrando registros de auditoría en plataformas de XDR o SIEM para detectar eventos como borrados masivos de dispositivos.
Preparación ante ataques wiper
Unit 42 subraya que, a diferencia de otras campañas de cibercrimen orientadas al beneficio económico, los ataques wiper tienen como objetivo principal la interrupción operativa, lo que aumenta su impacto potencial. Por ello, las organizaciones deben mantener copias de seguridad inmutables y fuera de línea, además de realizar simulaciones de incidentes y formación continua contra phishing para reforzar su resiliencia frente a este tipo de amenazas.
