Mercenario Akula el ataque cibernético ruso que apunta a una entidad financiera europea mediante ingeniería social

Un grupo vinculado a intereses rusos ha puesto el foco en una entidad financiera europea mediante un ataque de ingeniería social diseñado para obtener acceso y, muy probablemente, datos o fondos. La operación, detectada a principios de mes, no solo reproduce técnicas conocidas de los cibercriminales que operan contra objetivos en Ucrania, sino que además sugiere un desplazamiento de intereses hacia organizaciones occidentales que apoyan la reconstrucción y la asistencia a la nación en guerra.

Según el análisis publicado por la firma de ciberseguridad BlueVoyant, los atacantes realizaron un envío dirigido desde un dominio falso que simulaba pertenecer al sistema judicial ucraniano. El correo iba dirigido a un asesor sénior en materia legal y de políticas del organismo objetivo, una persona con acceso privilegiado a procesos de contratación y mecanismos financieros, lo que convierte ese perfil en un blanco especialmente valioso.

La basura no venía sola: el mensaje contenía un enlace a un archivo alojado en un servicio público de intercambio (PixelDrain) (pixeldrain.com), una táctica usada para esquivar controles basados en reputación. Al descargar el paquete comprimido comienza una cadena de infección deliberadamente enrevesada: dentro del ZIP había un archivo RAR que, a su vez, contenía un 7-Zip protegido con contraseña. El objetivo final era un ejecutable que se hacía pasar por un documento PDF aprovechando la vieja artimaña de la doble extensión (*.pdf.exe).

La ejecución de ese archivo desembocó en la instalación de un MSI que desplegó Remote Manipulator System (RMS), una herramienta de control remoto legítima que permite tomar el control de escritorios, compartir pantalla y transferir ficheros. El uso de software legítimo para mantener persistencia y movimiento dentro de la red es una práctica habitual entre actores sofisticados porque reduce las posibilidades de detección por firmas tradicionales. Para entender por qué esta técnica es problemática basta con recordar la forma en que los atacantes aprovechan programas legítimos para ocultar su actividad, algo bien descrito en marcos de referencia como MITRE ATT&CK.

La operación ha sido atribuida a un conjunto rastreado como UAC-0050 —también conocido en algunos reportes como DaVinci Group— y bautizado por BlueVoyant como Mercenary Akula. Este actor tiene historial de emplear tanto herramientas legítimas de acceso remoto (como LiteManager) como troyanos de acceso remoto (por ejemplo, RemcosRAT) en ataques contra objetivos ucranianos. Las autoridades ucranianas, a través del CERT-UA, han descrito a UAC-0050 como un grupo mercenario con lazos con agencias de seguridad rusas, dedicado a recolectar datos, robar fondos y realizar operaciones de desinformación bajo marcas como Fire Cells (ver comunicado).

Más allá del caso concreto, expertos y reportes internacionales apuntan a una tendencia preocupante: las operaciones de actores con nexos rusos parecen cada vez más orientadas a obtener inteligencia accionable que facilite ataques físicos o financieros a posteriori. Un ejemplo es la información publicada recientemente que indica que los ataques cibernéticos contra la infraestructura energética ucraniana han buscado priorizar la recolección de datos para guiar ataques de misiles, en lugar de solo causar interrupciones inmediatas (The Record).

En paralelo, grandes firmas de ciberseguridad anticipan que estos adversarios no solo mantendrán su agresividad, sino que también ampliarán el espectro de víctimas. En su informe anual, CrowdStrike destaca cómo grupos como APT29 (Cozy Bear) han perfeccionado campañas de spear-phishing que explotan relaciones de confianza, suplantando personas reales y usando cuentas comprometidas para hacer sus comunicaciones más creíbles. Esa inversión en autenticidad convierte los ataques dirigidos en una amenaza aún más peligrosa para ONG, entidades legales y actores que colaboran con Ucrania.

Lo que diferencia a la intrusión que relata BlueVoyant es, además de la complejidad técnica del empaquetado malicioso, el objetivo elegido: una figura con responsabilidad en compras y finanzas. Ese tipo de perfiles pueden ofrecer acceso directo a información crítica o a canales desde los que mover o ocultar fondos, lo que refuerza la idea de que los ataques actuales combinan fines de espionaje, fraude y sabotaje económico.

Para organizaciones y profesionales que trabajan en entornos vinculados a la reconstrucción o la ayuda internacional, la lección es clara: las amenazas dirigidas usan medios cada vez más pulidos para pasar por comunicaciones legítimas y se apoyan en herramientas comunes para evitar alarmas. Aunque no existe una barrera infalible, la concienciación sobre la suplantación de dominios, la desconfianza ante archivos comprimidos procedentes de enlaces inesperados y la verificación por canales alternativos antes de abrir adjuntos pueden reducir significativamente el riesgo.

En el plano estratégico, la evolución de estas campañas confirma dos puntos: por un lado, que los actores con orientación estatal/paraestatal continúan instrumentando grupos mercenarios para operaciones híbridas; por otro, que la frontera entre cibercrimen y operaciones de inteligencia se difumina, haciendo que incidentes que a primera vista buscan lucro también persigan objetivos de recopilación de inteligencia con consecuencias potencialmente letales en el mundo físico.

Para quienes quieran profundizar, el informe de BlueVoyant ofrece el detalle técnico del caso (fuente), CERT-UA mantiene alertas sobre las tácticas de UAC-0050 (ver nota), y análisis de tendencias de firmas como CrowdStrike contextualizan estos incidentes dentro de un patrón más amplio de operaciones de ciberinteligencia (informe anual). El relato de The Record sobre el uso de ciberataques para guiar ataques físicos es también una lectura relevante para comprender la dimensión híbrida de estas amenazas (análisis).

En resumen, la intrusión contra la institución europea no es un caso aislado sino otro capítulo en una campaña más amplia donde actores con motivaciones geopolíticas aprovechan técnicas de ingeniería social, infraestructura pública de intercambio de archivos y software legítimo para entrar, permanecer y extraer valor. La mejor respuesta sigue siendo una combinación de vigilancia técnica, formación continua del personal y cooperación internacional entre equipos de ciberseguridad y autoridades.