{"id":510,"date":"2026-04-09T15:58:45","date_gmt":"2026-04-09T15:58:45","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/09\/la-campana-de-pirateria-a-sueldo-vinculada-a-amargamente-se-dirige-a-periodistas-en-toda-la-region-mena-cyberdefensa-mx\/"},"modified":"2026-04-09T15:58:45","modified_gmt":"2026-04-09T15:58:45","slug":"la-campana-de-pirateria-a-sueldo-vinculada-a-amargamente-se-dirige-a-periodistas-en-toda-la-region-mena-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/09\/la-campana-de-pirateria-a-sueldo-vinculada-a-amargamente-se-dirige-a-periodistas-en-toda-la-region-mena-cyberdefensa-mx\/","title":{"rendered":"La campa\u00f1a de pirater\u00eda a sueldo vinculada a amargamente se dirige a periodistas en toda la regi\u00f3n MENA \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Seg\u00fan los hallazgos de <a href=\"https:\/\/www.accessnow.org\/mena-phishing-2026\/\">Accede ahora<\/a>, <a href=\"https:\/\/www.lookout.com\/threat-intelligence\/article\/bitter-hack-for-hire\">Estar atento<\/a>y <a href=\"https:\/\/smex.org\/smex-may2025\/\">PYME<\/a>.<\/p>\n<p>Dos de los objetivos inclu\u00edan a destacados periodistas egipcios y cr\u00edticos del gobierno, Mostafa Al-A&#8217;sar y Ahmed Eltantawy, quienes fueron los destinatarios de una serie de ataques de phishing que buscaban comprometer sus cuentas de Apple y Google en octubre de 2023 y enero de 2024 dirigi\u00e9ndolos a p\u00e1ginas falsas que los enga\u00f1aban para que ingresaran sus credenciales y c\u00f3digos de autenticaci\u00f3n de dos factores (2FA).<\/p>\n<p>\u00abLos ataques se llevaron a cabo entre 2023 y 2024, y ambos objetivos son destacados cr\u00edticos del gobierno egipcio que anteriormente se enfrentaron a prisi\u00f3n pol\u00edtica; uno de ellos fue atacado anteriormente con software esp\u00eda\u00bb, dijo la l\u00ednea de ayuda de seguridad digital de Access Now.<\/p>\n<p>Tambi\u00e9n se destac\u00f3 como parte de estos esfuerzos a un periodista liban\u00e9s an\u00f3nimo, que recibi\u00f3 mensajes de phishing en mayo de 2025 a trav\u00e9s de la aplicaci\u00f3n Apple Messages y WhatsApp que conten\u00edan enlaces maliciosos que, al hacer clic, enga\u00f1aban a los usuarios para que ingresaran las credenciales de su cuenta como parte de un supuesto paso de verificaci\u00f3n de Apple.<\/p>\n<p>\u00abLa campa\u00f1a de phishing incluy\u00f3 ataques persistentes a trav\u00e9s de iMessage\/Apple Messenger y la aplicaci\u00f3n WhatsApp. [\u2026] haci\u00e9ndose pasar por Apple Support\u00bb, dijo SMEX, una organizaci\u00f3n sin fines de lucro de derechos digitales en la regi\u00f3n de Asia Occidental y \u00c1frica del Norte (WANA). \u00abSi bien el enfoque principal de esta campa\u00f1a parece ser los servicios de Apple, la evidencia sugiere que otras plataformas de mensajer\u00eda, a saber, Telegram y Signal, tambi\u00e9n fueron atacadas\u00bb.<\/p>\n<p>En el caso de Al-A&#8217;sar, el ataque de phishing dirigido a comprometer su cuenta de Google comenz\u00f3 con un mensaje en LinkedIn de un personaje t\u00edtere llamado \u00abHaifa Kareem\u00bb, quien se acerc\u00f3 a \u00e9l con una oportunidad de trabajo. Despu\u00e9s de que el periodista compartiera su n\u00famero de m\u00f3vil y direcci\u00f3n de correo electr\u00f3nico con el usuario de LinkedIn, recibi\u00f3 un correo electr\u00f3nico de este \u00faltimo el 24 de enero de 2024, indic\u00e1ndole que se uniera a una llamada de Zoom haciendo clic en un enlace acortado con Rebrandly.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/vpn-risk-report-inside-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgWajeG0cdaapf1GKTZRUZUB7BzuYGegyw5k0eAorJXlmkFdYCCeLXXhXYJuXU9lWD33rV6rRnIyly3czoNfYifpxk1eGA5slItPmim3HkubXoQMgC4J7hdQPywxGbWq7Eqeff_o6s2Fq-WmSFd5guwdLn7IqpveMqULqtVnd-ndnljWYGj45EkMFB7m0qm\/s728-e100\/z-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Se considera que la URL es un ataque de phishing basado en el consentimiento que aprovecha OAuth 2.0 de Google para otorgar al atacante acceso no autorizado a la cuenta de la v\u00edctima a trav\u00e9s de una aplicaci\u00f3n web maliciosa llamada \u00aben-account.info\u00bb.<\/p>\n<p>\u00abA diferencia del ataque anterior, donde el atacante se hizo pasar por un inicio de sesi\u00f3n de una cuenta de Apple y utiliz\u00f3 un dominio falso, este ataque emplea el consentimiento de OAuth para aprovechar los activos leg\u00edtimos de Google para enga\u00f1ar a los objetivos para que proporcionen sus credenciales\u00bb, dijo Access Now.<\/p>\n<p>\u00abSi el usuario objetivo no ha iniciado sesi\u00f3n en Google, se le solicita que ingrese sus credenciales (nombre de usuario y contrase\u00f1a). M\u00e1s com\u00fanmente, si el usuario ya inici\u00f3 sesi\u00f3n, se le solicita que otorgue permiso a una aplicaci\u00f3n que controla el atacante, utilizando una funci\u00f3n de inicio de sesi\u00f3n de terceros que es familiar para la mayor\u00eda de los usuarios de Google\u00bb.<\/p>\n<p>Algunos de los dominios utilizados en estos ataques de phishing se enumeran a continuaci\u00f3n:<\/p>\n<ul>\n<li>signin-apple.com-en-uk[.]co<\/li>\n<li>id-apple.com-es[.]yo<\/li>\n<li>facetime.com-en[.]yo<\/li>\n<li>Secure-signal.com-en[.]yo<\/li>\n<li>telegram.com-es[.]yo<\/li>\n<li>verificar-apple.com-ae[.]neto<\/li>\n<li>unirse-facetime.com-ae[.]neto<\/li>\n<li>android.com-ae[.]neto<\/li>\n<li>cifrado-plug-in-signal.com-ae[.]neto<\/li>\n<\/ul>\n<p>Curiosamente, el uso del dominio \u00abcom-ae[.]net\u00bb se superpone con una campa\u00f1a de software esp\u00eda para Android que la empresa eslovaca de ciberseguridad ESET document\u00f3 en octubre de 2025, destacando el uso de sitios web enga\u00f1osos que se hacen pasar por Signal, ToTok y Botim para implementar <a href=\"https:\/\/thehackernews.com\/2025\/10\/warning-beware-of-android-spyware.html\">ProSpy y ToSpy para objetivos no especificados en los Emiratos \u00c1rabes Unidos<\/a><\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhS7OCI8Zb-SSXu1DasAgAbi0gFWklPhGg3Mrm5Jzgb5lulolangOHpi_BqWIDFTjlZW_zsHzwaH5tSKzYLkZLoLG-w1D6yUWmd9MXDToI1__Ogpjc1AaimxGDAGdgkAKruNod7O2Emj3SsyXUQDgMqhtTKD-sKgf_vKEcUh_DpBuoYyGUQtw6-_L3nK1mB\/s1700-e365\/botim.jpg\" style=\"display: block;  text-align: center; clear: left; float: left;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhS7OCI8Zb-SSXu1DasAgAbi0gFWklPhGg3Mrm5Jzgb5lulolangOHpi_BqWIDFTjlZW_zsHzwaH5tSKzYLkZLoLG-w1D6yUWmd9MXDToI1__Ogpjc1AaimxGDAGdgkAKruNod7O2Emj3SsyXUQDgMqhtTKD-sKgf_vKEcUh_DpBuoYyGUQtw6-_L3nK1mB\/s1700-e365\/botim.jpg\" alt=\"\" border=\"0\" data-original-height=\"655\" data-original-width=\"1111\"\/><\/a><\/div>\n<p>Espec\u00edficamente, el dominio \u00abencryption-plug-in-signal.com-ae[.]net\u00bb se utiliz\u00f3 como vector de acceso inicial para ProSpy afirmando ser un complemento de cifrado inexistente para Signal. El software esp\u00eda viene equipado con capacidades para filtrar datos confidenciales como contactos, mensajes SMS, metadatos del dispositivo y archivos locales.<\/p>\n<p>Al final, ninguna de las cuentas de los periodistas egipcios fue infiltrada. Sin embargo, SMEX revel\u00f3 que el ataque inicial dirigido al periodista liban\u00e9s el 19 de mayo de 2025 comprometi\u00f3 completamente su cuenta de Apple y result\u00f3 en la adici\u00f3n de un dispositivo virtual a la cuenta para obtener acceso persistente a los datos de la v\u00edctima. La segunda oleada de ataques no tuvo \u00e9xito.<\/p>\n<p>Si bien no hay evidencia de que los tres periodistas hayan sido atacados con software esp\u00eda, la evidencia muestra que los actores de amenazas pueden usar los m\u00e9todos y la infraestructura asociados con los ataques para entregar cargas \u00fatiles maliciosas y filtrar datos confidenciales.<\/p>\n<p>\u00abEsto sugiere que la operaci\u00f3n que identificamos puede ser parte de un esfuerzo de vigilancia regional m\u00e1s amplio destinado a monitorear las comunicaciones y recopilar datos personales\u00bb, dijo Access Now.<\/p>\n<p>Lookout, en su propio an\u00e1lisis de estas campa\u00f1as, atribuy\u00f3 los esfuerzos dispares a una operaci\u00f3n de pirater\u00eda a sueldo con v\u00ednculos con Bitter, un grupo de amenazas que se considera encargado de los esfuerzos de recopilaci\u00f3n de inteligencia en inter\u00e9s del gobierno indio. La campa\u00f1a de espionaje ha estado operativa desde al menos 2022.<\/p>\n<p>Seg\u00fan los dominios de phishing observados y los se\u00f1uelos del malware ProSpy, la campa\u00f1a probablemente se haya dirigido a v\u00edctimas en Bahrein, los Emiratos \u00c1rabes Unidos, Arabia Saudita, el Reino Unido, Egipto y potencialmente los EE. UU., o ex alumnos de universidades estadounidenses, lo que indica que los ataques van m\u00e1s all\u00e1 de los miembros de la sociedad civil egipcia y libanesa.<\/p>\n<p>\u00abLa operaci\u00f3n presenta una combinaci\u00f3n de phishing dirigido dirigido a trav\u00e9s de cuentas falsas de redes sociales y aplicaciones de mensajer\u00eda que aprovechan esfuerzos persistentes de ingenier\u00eda social, lo que puede resultar en la entrega de software esp\u00eda de Android dependiendo del dispositivo del objetivo\u00bb, dijo la compa\u00f1\u00eda de ciberseguridad.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/fast-response-not-fast-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjgi9mu68zRUz1nCLLKmkAA2aBtNfP_JOTXulZoB6yImso1Onk7oM_LI0kdROu8fq5S5oDyMtd1j50W44Ye_8Sl3zQZiE8A9tmFr6kejGKjGh74uoxluF-RyBq_unDQlzjXZHCqQeuYXBoogda5zf0w-zXd6v0rIM7fEw6TcFf_QGWBu5Mop-djkEaOUa5A\/s728-e100\/tl-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Los v\u00ednculos de la campa\u00f1a con Bitter provienen de <a href=\"https:\/\/pastebin.com\/WE7bjsat\">conexiones de infraestructura<\/a> entre \u00ab<a href=\"https:\/\/www.virustotal.com\/gui\/domain\/com-ae.net\/details\">com-ae[.]neto<\/a>\u00bb y \u00ab<a href=\"https:\/\/www.virustotal.com\/gui\/domain\/youtubepremiumapp.com\/details\">youtubepremiumapp[.]com<\/a>\u00abun dominio marcado por <a href=\"https:\/\/blog.cyble.com\/2022\/08\/09\/bitter-apt-group-using-dracarys-android-spyware\/\">ciclo<\/a> y Meta en agosto de 2022 vinculado a Bitter en relaci\u00f3n con un esfuerzo de espionaje que utiliz\u00f3 sitios falsos que imitaban servicios confiables como YouTube, Signal, Telegram y WhatsApp para distribuir un malware de Android denominado Dracarys.<\/p>\n<p>El an\u00e1lisis de Lookout tambi\u00e9n ha descubierto similitudes entre Dracarys y ProSpy, a pesar de que este \u00faltimo se desarroll\u00f3 a\u00f1os despu\u00e9s utilizando Kotlin en lugar de Java. \u00abAmbas familias usan la l\u00f3gica de los trabajadores para manejar las tareas y nombran las clases de trabajadores de manera similar. Tambi\u00e9n usan comandos C2 numerados\u00bb, agreg\u00f3 la compa\u00f1\u00eda. \u00abMientras ProSpy exfiltra datos a los terminales del servidor que comienzan con &#8216;v3&#8217;, Dracarys exfiltra datos a los terminales del servidor que comienzan con &#8216;r3&#8217;\u00bb.<\/p>\n<p>A pesar de estas conexiones, lo que hace que la campa\u00f1a sea inusual es que Bitter nunca ha sido atribuido a campa\u00f1as de espionaje dirigidas a miembros de la sociedad civil. Esto ha planteado dos posibilidades: o es el trabajo de una operaci\u00f3n de pirater\u00eda a sueldo con v\u00ednculos con Bitter o el propio actor de la amenaza est\u00e1 detr\u00e1s de esto, en cuyo caso podr\u00eda indicar una expansi\u00f3n de su alcance de ataque.<\/p>\n<p>\u00abNo sabemos si esto representa una expansi\u00f3n del papel de Bitter, o si es una indicaci\u00f3n de superposici\u00f3n entre Bitter y un grupo desconocido de hackers a sueldo\u00bb, a\u00f1adi\u00f3 Lookout. \u00abLo que s\u00ed sabemos es que el malware m\u00f3vil sigue siendo un medio principal para espiar a la sociedad civil, ya sea adquirido a trav\u00e9s de un proveedor de vigilancia comercial, subcontratado a una organizaci\u00f3n de pirater\u00eda contratada o implementado directamente por un estado naci\u00f3n\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Seg\u00fan los hallazgos de Accede ahora, Estar atentoy PYME. Dos de los objetivos inclu\u00edan a destacados periodistas egipcios y cr\u00edticos del gobierno, Mostafa Al-A&#8217;sar y Ahmed Eltantawy, quienes fueron los destinatarios de una serie de ataques de phishing que buscaban comprometer sus cuentas de Apple y Google en octubre de 2023 y enero de 2024 [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":422,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[1686,133,24,833,1689,1661,1659,1688,1685,1687,488],"class_list":["post-510","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-amargamente","tag-campana","tag-cyberdefensa-mx","tag-dirige","tag-mena","tag-periodistas","tag-pirateria","tag-region","tag-sueldo","tag-toda","tag-vinculada"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/510","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=510"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/510\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/422"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=510"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=510"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=510"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}