Los casos muestran además un fenómeno cada vez más difícil de separar: actores políticos, ciberdelincuentes y desarrolladores de malware compartiendo herramientas, infraestructura y tácticas.
La frontera entre ciberdelincuencia, espionaje y hacktivismo hace tiempo que dejó de ser clara. Pero la guerra entre Rusia y Ucrania ha convertido esa zona gris en un laboratorio particularmente visible.
Una serie de investigaciones publicadas por Kaspersky y recogidas esta semana por The Hacker News describe la actividad de tres grupos diferentes contra organizaciones rusas: NightEagle, Hacking Cat y Toy Ghouls. Sus motivaciones no son necesariamente las mismas y tampoco utilizan exactamente las mismas herramientas. Sin embargo, vistas en conjunto, sus operaciones muestran cómo está evolucionando el ecosistema ofensivo alrededor del conflicto.
Hay espionaje y persistencia silenciosa. Hay ransomware. Hay operaciones directamente destructivas. Y, cada vez más, hay herramientas que parecen circular entre distintos grupos, haciendo más difícil determinar quién está realmente detrás de cada ataque.
NightEagle: entrar por la VPN y llegar hasta Active Directory
El primer caso es probablemente el más reconocible para cualquier equipo de seguridad corporativa.
NightEagle —también identificado como APT-Q-95 y activo al menos desde 2023— ha conseguido en varios incidentes acceso inicial utilizando credenciales legítimas comprometidas para conectarse a las VPN corporativas. Desde allí, el objetivo es avanzar progresivamente hacia los sistemas más sensibles de la organización.
Una de sus herramientas es GhostContainer, una puerta trasera modular desplegada sobre servidores Microsoft Exchange comprometidos. El malware permite ejecutar código, manipular archivos, cargar módulos adicionales y utilizar el servidor como punto de entrada o túnel hacia otras partes de la infraestructura.
Una vez dentro, los atacantes emplean diferentes mecanismos para desplazarse lateralmente, incluyendo túneles sobre RDP y herramientas disponibles públicamente. Kaspersky también observó intentos de explotar vulnerabilidades en Active Directory y ataques DCSync para obtener información de autenticación del dominio.
El objetivo final es mucho más importante que comprometer una computadora: controlar la identidad corporativa.
Obtener hashes de contraseñas, generar accesos persistentes mediante Kerberos y alcanzar los controladores de dominio puede permitir que un atacante pase de controlar una máquina a controlar prácticamente toda la organización.
Y el detalle más incómodo es que buena parte de la operación no depende de malware extraordinariamente sofisticado. Credenciales robadas, VPN, herramientas legítimas, software abierto y vulnerabilidades conocidas siguen siendo suficientes cuando se combinan correctamente.
Hacking Cat: cuando el ransomware deja de buscar un rescate
El segundo caso introduce una dimensión diferente.
Hacking Cat es descrito por Kaspersky como un grupo hacktivista pro-ucraniano activo desde 2024. Inicialmente asociado principalmente con defacements y filtraciones de información, habría evolucionado hacia operaciones de cifrado y destrucción contra organizaciones rusas.
Entre sus herramientas aparece Gorilla RAT, un troyano de acceso remoto escrito en Go capaz de ejecutar comandos, recopilar información del sistema, transferir archivos y crear túneles hacia las redes internas.
Pero el elemento más interesante es Monkey, una familia de ransomware con variantes desarrolladas en Rust, .NET, C++ y Go y preparada para atacar Windows, Linux e incluso entornos VMware ESXi.
Algunas variantes utilizan algoritmos criptográficos legítimos como ChaCha20-Poly1305 o AES-256-CBC. El problema no está en la criptografía, sino en lo que ocurre con las claves.
En determinadas versiones, la clave utilizada para cifrar los archivos no se almacena en ningún lugar.
Eso cambia completamente la naturaleza del ataque.
Si no existe una clave recuperable, tampoco existe una posibilidad real de descifrar los archivos, incluso aunque la víctima quisiera pagar. El supuesto ransomware se convierte entonces, en la práctica, en un wiper disfrazado de ransomware: malware cuyo objetivo real es destruir información.
Esa diferencia resulta fundamental para interpretar este tipo de incidentes. En el ransomware tradicional existe una lógica económica: el atacante necesita que la recuperación sea técnicamente posible porque pretende cobrar por ella. En una operación destructiva, el cifrado puede ser simplemente el mecanismo elegido para inutilizar los sistemas.
Herramientas compartidas y atribuciones cada vez más complicadas
La investigación también señala conexiones entre Hacking Cat y otros colectivos pro-ucranianos, entre ellos Cyber Anarchy Squad y Ukrainian Cyber Alliance.
En operaciones conjuntas aparecen herramientas como ClearWater, otro ransomware, y Nemo Wiper, diseñado directamente para sobrescribir archivos con datos aleatorios y ocupar el espacio disponible en disco.
Kaspersky plantea una hipótesis especialmente interesante: diferentes grupos podrían estar utilizando herramientas desarrolladas por una fuente común, posiblemente uno o varios desarrolladores encargados de crear y mantener malware posteriormente utilizado por distintos colectivos.
Pero esa atribución está discutida.
Tras la publicación de la investigación, Hacking Cat reconoció que algunas herramientas eran propias pero negó específicamente ser responsable de los lockers que Kaspersky le atribuye, acusando a la compañía de mezclar herramientas pertenecientes a actores diferentes.
La discrepancia importa porque ilustra uno de los problemas centrales de la inteligencia de amenazas: encontrar una herramienta en una operación no demuestra automáticamente quién la desarrolló, quién la controla o quién decidió utilizarla.
Cuando código, infraestructura y malware circulan entre grupos, la atribución basada exclusivamente en indicadores técnicos se vuelve mucho más frágil.
Toy Ghouls y el malware que se esconde detrás de servicios legítimos
El tercer actor completa el panorama desde otra dirección.
Toy Ghouls —también conocido como Bearlyfy, Laboo.boo y Feral Wolf— es considerado un grupo principalmente motivado por razones económicas y activo desde 2025. Anteriormente utilizaba constructores filtrados de ransomware como Babuk y LockBit, pero progresivamente comenzó a desarrollar herramientas propias.
En julio de 2026 apareció una nueva puerta trasera denominada Bird Agent.
Lo interesante no es solamente el malware, sino sus canales de comunicación.
Una variante utiliza HiveMQ, basado en MQTT, mientras que otra aprovecha Element, el cliente de mensajería construido sobre Matrix, como infraestructura de comando y control. Una vez establecido el canal, los operadores pueden enviar órdenes al equipo comprometido y recibir los resultados.
Para un defensor, este tipo de técnicas genera un problema importante: bloquear conexiones hacia un dominio claramente malicioso es relativamente sencillo; distinguir tráfico legítimo de comunicaciones maliciosas que atraviesan plataformas y protocolos perfectamente válidos resulta bastante más complejo.
Es una tendencia que excede ampliamente este caso: la infraestructura legítima de Internet también puede convertirse en infraestructura ofensiva.
Rusia como laboratorio de un ecosistema nacido de la guerra
Los tres casos no deberían interpretarse como una única campaña coordinada. Las motivaciones y capacidades son diferentes y, especialmente en el terreno del hacktivismo, las atribuciones deben tratarse con cautela.
Pero forman parte de un fenómeno más amplio.
Investigaciones anteriores ya mostraban una fuerte concentración de ataques contra organizaciones rusas desde el comienzo de la guerra. Positive Technologies estimó que Rusia concentró el 73% de los ataques observados contra organizaciones de países de la Comunidad de Estados Independientes durante 2023 y la primera mitad de 2024, vinculando el incremento de actividad con el contexto geopolítico.
La guerra produjo además una proliferación de grupos que combinan motivaciones políticas, económicas y de inteligencia.
Eso está generando algo parecido a un ecosistema ofensivo distribuido.
No necesariamente existe una estructura central que ordene cada operación. Puede haber grupos hacktivistas, actores profesionales, desarrolladores independientes, ciberdelincuentes y comunidades informales reutilizando código, intercambiando herramientas o atacando objetivos compatibles con sus intereses.
El resultado es una zona gris donde distinguir entre ransomware, sabotaje y operación política resulta cada vez más difícil.
Y quizás esa sea la parte más relevante de estas campañas.
La guerra digital contemporánea no ocurre únicamente entre unidades militares o agencias de inteligencia. También se desarrolla a través de actores privados y semiautónomos que operan sobre la misma infraestructura, utilizan muchas de las mismas herramientas que los ciberdelincuentes y, en ocasiones, persiguen simultáneamente objetivos económicos y políticos.
En ese escenario, saber qué malware atacó una organización puede ser relativamente sencillo.
Determinar quién estaba realmente detrás, para quién trabajaba y qué buscaba conseguir es otra historia.