ZDU · Perfil de adversario · Ingeniería social
SCATTERED SPIDER
El adversario que no rompe la puerta. Llama a la mesa de ayuda, convence a quien contesta y entra por donde nadie está mirando.
UNC3944Octo TempestMuddled Libra0ktapus
1
CVE con fuente que lo nombra
100%
En CISA KEV
7.8
CVSS
1
Fabricante tocado
01
Ficha del adversario
Qué es
Un colectivo de cibercrimen de habla inglesa, distribuido entre Estados Unidos y Reino Unido, sin la estructura de mando de un grupo estatal.
Cómo se le conoce
UNC3944, Octo Tempest, Storm-0875, Muddled Libra, Roasted 0ktapus y G1015 en la taxonomía de MITRE. Siete nombres para el mismo problema.
Lo que lo distingue
No llega primero por la vulnerabilidad: llega por la persona. El acceso inicial suele ser un ser humano convencido, y el exploit viene después.
Cómo aparece en nuestra base
Por su método, no por una lista de vulnerabilidades. El FBI y CISA documentan en el aviso AA23-320A cómo se hace pasar por personal de TI ante la mesa de ayuda para restablecer contraseñas y mover el segundo factor a un dispositivo propio. Las vulnerabilidades son secundarias en su forma de operar.
02
Superficie que toca
Una sola vulnerabilidad con fuente pública que nombra al grupo: CVE-2015-2291, el controlador de diagnóstico Ethernet de Intel que MITRE ATT&CK (G1015) documenta como vía para cargar un controlador malicioso. Está en CISA KEV y tiene CVSS 7.8. Las demás atribuciones que circularon con su nombre venían de inferencias sin fuente y ya no se cuentan. No es un grupo de un solo producto: es un grupo de un solo método aplicado a lo que encuentre. Su superficie es la identidad: mesas de ayuda, restablecimiento de contraseñas, segundo factor y proveedores de inicio de sesión único.
03
Colección de videos
El caso de Cisco FMC contado completo: la consola que administra los firewalls de una organización, comprometida sin credenciales.
FE DE ERRATAS. Según el análisis de Amazon que recogieron Help Net Security, SecurityWeek y Security Affairs, la explotación como día cero desde el 26 de enero de 2026 corresponde al grupo de ransomware Interlock.
El Defensor Comprometido: Scattered Spider contra Cisco FMC
Qué pasa cuando la consola que orquesta todos los firewalls se vuelve el camino más corto al núcleo de la red.
Zero Day Universe · QMA CyberWars
Los videos se reproducen aquí mismo. El reproductor se carga solo cuando le da clic, así que la página no le pide nada a YouTube mientras no lo pida usted.
El perfil que lee un CISO no es el del reporte de fabricante: es a quién tiene enfrente, con qué opera y a quién ya golpeó en su sector. Eso es lo que hace Blacktrace todos los días.
Hablar con el equipo QMA