Reporte de ESET revela actividad de 29 grupos APT entre 2025 y 2026
El panorama global de amenazas persistentes avanzadas (APT) sigue transformándose al ritmo de los conflictos geopolíticos y las tensiones tecnológicas. El Reporte de ESET APT Activity Report Q4 2025–Q1 2026, publicado el 28 de mayo de 2026, documenta la actividad de 29 grupos APT investigados por ESET Research entre octubre de 2025 y marzo de 2026. A lo largo de seis meses, los investigadores identificaron operaciones de espionaje, sabotaje y compromiso de cadena de suministro que reflejan cómo los intereses estratégicos de China, Irán, Corea del Norte y Rusia se traducen en ciberataques dirigidos contra gobiernos, infraestructuras críticas, empresas tecnológicas y comunidades de desarrollo de software. Este análisis detalla los hallazgos más relevantes, las técnicas empleadas y las implicaciones para la seguridad digital en América Latina, Europa y otras regiones.
China: espionaje marítimo, reconstrucción en Siria y nuevas herramientas contra VPN
Durante el periodo monitoreado, los grupos alineados con Pekín mantuvieron una actividad inusualmente alta a escala global. La operación militar estadounidense en Venezuela y la inestabilidad en la región del Golfo impulsaron una movilización de estos actores para mejorar la visibilidad de Beijing sobre desarrollos marítimos, energéticos y políticos en el exterior. Un caso emblemático es el de FamousSparrow, que atacó a una entidad gubernamental venezolana vinculada a asuntos marítimos. La operación, según los investigadores de ESET, buscaba monitorear la resiliencia de los envíos de petróleo tras la intervención de Estados Unidos, un objetivo directamente ligado a los intereses energéticos de China.
Otro grupo, SteppeDriver, fue detectado atacando una red gubernamental en Siria. Esta actividad podría reflejar tanto el interés comercial chino en los proyectos de reconstrucción sirios como preocupaciones de seguridad relacionadas con combatientes uigures presentes en ese país. En el ámbito de las herramientas técnicas, los investigadores encontraron en VirusTotal un nuevo implante denominado PhiliKit, que forma parte del conjunto de herramientas SPAWN del grupo UNC5221, diseñado para atacar appliances VPN de Ivanti. Además, el seguimiento de NegativeGlimmer reveló que este grupo comprometió entidades gubernamentales en Camboya y Panamá, así como una empresa de inteligencia artificial y robótica en Corea del Sur. Este último ataque se alinea con el interés sostenido de Pekín en tecnologías estratégicas priorizadas bajo la política industrial Made in China 2025.
Irán: guerra, restricciones de internet y el auge de grupos proxy
La guerra en Irán que comenzó a finales de febrero de 2026 marcó un punto de inflexión para la actividad de los grupos APT alineados con Teherán. Paradójicamente, el conflicto coincidió con un descenso en la actividad de los grupos iraníes establecidos en la telemetría de ESET. La causa más probable son las restricciones de internet impuestas por el régimen iraní, que dificultaron su capacidad para operar con eficacia. Sin embargo, este entorno parece haber favorecido la movilización de actores proxy y hacktivistas que atacaron a Israel, Estados Unidos y otros estados considerados hostiles por Teherán.
Los investigadores documentaron un aumento inusual de actividad contra objetivos israelíes que no pudo atribuirse con confianza a grupos previamente conocidos. Tres clústeres de actividad no atribuidos destacan por su capacidad disruptiva. Rusty Boots y MoKhargosh demostraron capacidades tanto de espionaje como destructivas, incluyendo el despliegue de un wiper con estilo bootkit y la retención de herramientas destructivas para uso posterior. En contraste, MOØN Badr parece haberse limitado al espionaje selectivo, sin recurrir a la destrucción de datos.
Corea del Norte: criptomonedas, cadena de suministro y tecnología nuclear
Los grupos alineados con Corea del Norte se mantuvieron activos en varios frentes, con un enfoque dual en la obtención de financiación y el robo de tecnología sensible. Múltiples grupos continuaron atacando a desarrolladores y al ecosistema de criptomonedas mediante esquemas de ingeniería social que generan tanto ganancias financieras directas como oportunidades para comprometer la cadena de suministro de software. Lazarus y DeceptiveDevelopment invirtieron en la construcción de relaciones de largo plazo con objetivos de alto valor, mientras que Kimsuky y Konni favorecieron ataques más rápidos y oportunistas.
Un hallazgo relevante es la reaparición de Andariel en Corea del Sur, donde el grupo desplegó TigerRAT e intentó propagar el ransomware Rook dentro de una empresa de ingeniería que fabrica equipos para el manejo de hidrógeno líquido y la industria nuclear. Estas tecnologías son de interés evidente para las ambiciones balísticas y nucleares de Pyongyang. Además, los investigadores rastrearon la evolución de las campañas de Lazarus, incluyendo Operation DreamJob y Operation DangerousPassword. La primera se dirigió a fabricantes europeos de drones. La segunda condujo al compromiso de la biblioteca JavaScript axios, que cuenta con más de 100 millones de descargas semanales en el registro npm y es fundamental para aplicaciones web y móviles en todo el mundo. Los atacantes explotaron credenciales comprometidas del mantenedor principal para publicar versiones maliciosas de la biblioteca que inyectaban código troyanizado en los sistemas afectados, antes de ser detectadas y eliminadas.
En paralelo, ScarCruft comprometió una plataforma de juegos que presta servicios a la región de Yanbian en China, probablemente para recopilar inteligencia sobre personas de interés para el régimen norcoreano, incluyendo refugiados y desertores.
Rusia: Ucrania como objetivo central y un atque a infraestructura crítica polaca
Los grupos alineados con Rusia continuaron centrándose abrumadoramente en Ucrania y en entidades vinculadas a los esfuerzos de defensa del país. Sednit desplegó sus implantes Covenant y BeardShell contra personal militar ucraniano, fabricantes de drones y organizaciones involucradas en investigación y desarrollo de drones, al mismo tiempo que atacaba empresas de logística y transporte fuera de Ucrania. Sandworm intensificó su actividad destructiva durante el invierno, desplegando varios wipers nuevos en Ucrania contra objetivos gubernamentales y del sector privado.
Un incidente particularmente notable ocurrió en diciembre de 2025, cuando un ataque de destrucción de datos afectó a una empresa energética polaca. ESET atribuye este ataque a Sandworm con confianza media. Aunque los ataques destructivos de actores rusos fuera de Ucrania siguen siendo raros, este caso destaca porque afectó a una infraestructura crítica en un estado miembro de la OTAN. Dado el papel de Polonia en la estabilización del suministro eléctrico de Ucrania, es posible que la operación tuviera como objetivo presionar la red eléctrica ucraniana durante el invierno.
Otras campañas y actores no atribuidos: phishing, spyware y compromiso de CRM
El reporte también documenta varias campañas de grupos menos conocidos o no atribuidos. Un ataque de phishing browser-in-the-browser se dirigió contra un think tank japonés. Se identificó un spyware para Android denominado Asin que apunta a usuarios de habla árabe a través de aplicaciones que ofrecen funciones de seguimiento de conflictos. Además, se detectó el compromiso de una empresa de defensa en los Emiratos Árabes Unidos mediante un servidor SmartOffice CRM, seguido del despliegue de herramientas personalizadas de post-explotación y proxy inverso.
¿Qué grupos APT cubre el reporte de ESET y cuáles son los más activos?
El reporte de ESET cubre 29 grupos APT investigados entre octubre de 2025 y marzo de 2026. Entre los más activos destacan FamousSparrow, SteppeDriver, NegativeGlimmer, Lazarus, Kimsuky, Konni, Andariel, ScarCruft, Sednit y Sandworm, cada uno con campañas dirigidas a regiones y sectores específicos que reflejan los intereses geopolíticos de sus patrocinadores estatales. La lista completa incluye tanto grupos bien establecidos como clústeres de actividad emergentes que aún no han sido atribuidos formalmente.
Países y sectores atacados: un mapa global de la amenaza
Los países atacados durante el periodo incluyen Venezuela, Siria, Camboya, Panamá, Corea del Sur, Ucrania, Polonia, Japón, Emiratos Árabes Unidos, Israel, Estados Unidos y varios estados europeos. Los sectores más afectados fueron el gubernamental, el energético, el de defensa, el tecnológico (especialmente inteligencia artificial y robótica), el de criptomonedas y desarrollo de software, y el de infraestructuras críticas. La diversidad geográfica y sectorial subraya la naturaleza global y multifacética de las amenazas APT actuales.
Implicaciones estratégicas para América Latina y Europa
Para América Latina, el ataque de FamousSparrow a una entidad marítima venezolana y el compromiso de NegativeGlimmer en Panamá demuestran que la región no es un escenario secundario, sino un objetivo directo de los intereses chinos en recursos energéticos y proyección geopolítica. Las empresas y gobiernos latinoamericanos deben fortalecer la protección de sus infraestructuras críticas, especialmente en los sectores energético y marítimo, y estar alerta ante la posible explotación de vulnerabilidades en equipos VPN y sistemas de acceso remoto.
En Europa, el ataque de Sandworm a una empresa energética polaca representa un precedente preocupante: un actor ruso llevando a cabo destrucción de datos en infraestructura crítica de un miembro de la OTAN. Las organizaciones europeas, particularmente en el sector energético, deben prepararse para escenarios de wipers y ataques destructivos que no se limiten al teatro ucraniano. La experiencia de Ucrania con ataques de ransomware y wipers debe servir como lección para toda la región.
La afirmación clave de este reporte es contundente: el ataque a la biblioteca axios, con más de 100 millones de descargas semanales en npm, demuestra que la cadena de suministro de software open source es uno de los vectores de ataque más críticos y difíciles de defender, y que actores estatales como Lazarus están invirtiendo recursos significativos para comprometerla a gran escala.
El panorama de amenazas persistentes avanzadas entre octubre de 2025 y marzo de 2026 revela una fragmentación geopolítica sin precedentes en el ciberespacio. La guerra en Irán, la intervención en Venezuela, la reconstrucción en Siria y la guerra en Ucrania no son solo conflictos físicos: son catalizadores de ciberoperaciones que trascienden fronteras y sectores. La capacidad de los grupos APT para adaptarse a restricciones operativas —como el corte de internet en Irán— y para explotar infraestructuras críticas compartidas —como bibliotecas de código abierto— exige una respuesta coordinada entre gobiernos, empresas de ciberseguridad y comunidades de desarrollo. El reporte de ESET no solo documenta amenazas, sino que traza las líneas de una nueva geografía del poder digital que las organizaciones de todo el mundo deben comprender y anticipar.
