La reciente escalada de tensión entre Irán e Israel ha provocado un aumento de las operaciones cibernéticas de actores vinculados al Estado que se centran en las redes de identidad, cloud y las empresas. Estos grupos combinan intrusiones profundas en la red con el abuso de identidades para burlar las defensas tradicionales.
Se aprovechan de las aplicaciones públicas para el acceso inicial, recopilan credenciales a través phishing o la difusión de contraseñas, y luego se mueven lateralmente con RDP, PsExec o servicios de acceso remoto. La persistencia se consigue mediante tareas programadas, carga lateral de DLL, ventanas ocultas y túneles de protocolo. Los datos se organizan, archivan y filtran silenciosamente a través de canales oscuros, a menudo sin activar las alertas heredadas.
Al mismo tiempo, lanzan campañas centradas en la identidad dentro de Microsoft 365, Azure y Google Workspace: abusan de OAuth, eluden MFA y utilizan Outlook, OneDrive y Teams para mantener el acceso y desviar datos. Estas tácticas se dirigen a infraestructuras críticas, gobiernos, empresas comerciales y ONG de Oriente Medio y Occidente, combinando espionaje y ataques destructivos (wipers, cifrado forzado).
Confiar únicamente en los puntos finales o en los controles perimetrales le deja ciego a toda la cadena de ataque. Si utilizas colaboración en cloud , infraestructura híbrida o acceso remoto, ya estás en su punto de mira.
Quién está detrás de los ataques: Perfiles de APT vinculadas a Irán
A pesar de que sus objetivos varían (desde el espionaje a largo plazo hasta el sabotaje descarado), cada grupo aprovecha tanto los canales de red como los de identidad para penetrar, persistir y extraer. A continuación se ofrece una visión de alto nivel de su acceso inicial, sus TTP de red y sus TTP de cloud .
Cinco técnicas de identidad y Cloud que los equipos SOC deben vigilar
Las amenazas afiliadas a Irán van más allá malware y los exploits tradicionales. Sus campañas se basan ahora en abusar de los sistemas de identidad y vivir dentro de las herramientas de confianza que su organización ya utiliza. Estas cinco técnicas son fundamentales para eludir la detección y mantener la persistencia en entornos de cloud . Cada una de ellas representa una brecha de visibilidad crítica si su equipo confía únicamente en las herramientas EDR o SIEM tradicionales.
- Robo de credenciales mediante spear Phishing
Portales de inicio de sesión falsos que imitan Office 365 o Gmail, pulverización de contraseñas y técnicas de elusión de MFA. - Secuestros de cuentasCloud
Uso de credenciales robadas para acceder al correo electrónico, OneDrive, SharePoint o aplicaciones de Azure. - Movimiento Recon y Lateral
Enumeración de Entra ID (Azure AD), creación de aplicaciones OAuth falsas o suscripciones para persistencia. - Exfiltración de datos a través de herramientas legítimas
Traslado de datos a través de OneDrive, Outlook o API basadas en web para ocultarse dentro del tráfico normal. - Vivir al margen de SaaS y Cloud
Utilizar clientes SaaS integrados, como Outlook, o herramientas de acceso remoto, como AnyDesk/TeamViewer, para controlar las cuentas cloud .
Por qué las APT iraníes tienen como objetivo Cloud y la identidad
Para los grupos de amenazas iraníes, cloud y los sistemas de identidad ofrecen escala, sigilo y valor estratégico. Estos atacantes no sólo son oportunistas, sino que se están adaptando a la forma en que operan ahora las organizaciones. El acceso remoto, la identidad federada y la infraestructura cloud han creado una amplia superficie de ataque con visibilidad limitada para muchos equipos de seguridad.
- La identidad es el nuevo perímetro. Una vez que los atacantes obtienen credenciales válidas, especialmente las vinculadas a plataformas SaaS o funciones de administrador cloud , a menudo eluden por completo la detección. Las herramientas de seguridad centradas en puntos finales o cortafuegos rara vez detectan llamadas a API autenticadas o comportamientos de inicio de sesión anómalos si la sesión parece legítima.
- Los entornosCloud proporcionan cobertura. Las APT iraníes suelen operar en aplicaciones autorizadas como Microsoft 365, Azure y Google Workspace. Se aprovechan de políticas OAuth débiles, accesos condicionales mal configurados y privilegios de administrador excesivos. Esto les permite persistir en entornos en los que los controles tradicionales no se diseñaron para inspeccionar anomalías de comportamiento entre usuarios, funciones y aplicaciones.
- Las redes híbridas ofrecen puntos de inflexión. En muchos casos, los atacantes comprometen los sistemas locales y utilizan ese punto de apoyo para acceder a los recursos conectados cloud . Microsoft ha documentado ataques en los que actores iraníes abusaron de Entra Connect y Azure Arc para tender puentes entre los entornos locales comprometidos y los activos cloud , incluida la creación de nuevas infraestructuras dentro de los inquilinos comprometidos.
- Las herramientasCloud nube son de doble uso. PowerShell, Microsoft Graph API, la mensajería de Teams y la delegación de buzones de correo están pensadas para facilitar la colaboración. Los actores iraníes están utilizando esas mismas capacidades para enumerar entornos, compartir malware y mover datos. Como rara vez introducen nuevos binarios o infraestructura externa, evitan activar los indicadores clásicos de compromiso.
En resumen, los ataques a cloud y a la identidad permiten a las APT iraníes moverse de forma silenciosa y eficaz. Se mezclan con el comportamiento de los usuarios, evitan las defensas tradicionales y aprovechan brechas que la mayoría de las organizaciones no ven hasta que es demasiado tarde.
Controles de seguridad para desbaratar el tráfico de APT iraníes
Para reducir su exposición a las técnicas detalladas anteriormente y hacer de su entorno un objetivo más difícil, le recomendamos las siguientes acciones inmediatas:
- Aplique la autenticación multifactor para detener phishing y la omisión de la autenticación multifactor.
- Habilite el acceso condicional y las políticas de dispositivos en cuentas cloud.
- Supervise la actividad de inicio de sesión para detectar IP sospechosas, geografías inusuales e inicios de sesión originados por VPN.
- Bloquea las aplicaciones y los permisos OAuth: revisa todos los consentimientos de las aplicaciones y las cuentas de servicio en Microsoft 365/Azure.
- Audite regularmente las cuentas privilegiadas, especialmente las que tienen funciones de administrador en Exchange/Azure.
- Implemente la formación de usuarios: reconozca los portales de inicio de sesión falsos y las tácticas de ingeniería social.
- Supervise la filtración de datos: establezca reglas de DLP y políticas de Cloud Access Security Broker (CASB).
- Compruebe el comportamiento push de MFA: restrinja las notificaciones tras repetidos intentos fallidos o utilice opciones de MFA phishing como FIDO2.
Estos controles refuerzan su entorno, pero para detectar el uso indebido de credenciales y la ocultación en la red se requiere una visibilidad activa basada en el comportamiento.
Cómo la plataforma Vectra AI detecta lo que otros pasan por alto
La mayoría de las herramientas de seguridad no detectan la actividad de las APT iraníes porque no están diseñadas para supervisar cómo operan los atacantes en entornos de cloud e identidad. La plataforma Vectra AI se diseñó específicamente para colmar esta laguna.
En lugar de basarse en indicadores estáticos o registros manipulables, Vectra AI utiliza la detección de comportamientos basada en IA para identificar actividades anómalas en la red, Active Directory, Microsoft 365, Entra ID, Copilot para M365, AWS y Azure Cloud. Supervisa continuamente cómo interactúan los usuarios con las aplicaciones, las credenciales, los tokens y los datos, sacando a la luz señales que indican un peligro sin necesidad de que los actores de la amenaza activen alarmas obvias.
Pero la detección por sí sola no basta. La plataforma Vectra AI también proporciona claridad sobre qué alertas son realmente importantes, eliminando el ruido y permitiendo a los equipos SOC centrarse en las señales que indican amenazas reales. Con acciones de respuesta integradas, los analistas pueden tomar medidas inmediatas para contener un ataque -ya sea revocando sesiones o bloqueando cuentas- antes de que se extienda el daño. Esta combinación de detección, claridad y control da a los equipos de seguridad la confianza necesaria para responder con decisión a los sofisticados ataques modernos. Según IDC, las organizaciones que utilizan Vectra AI identifican un 52% más de amenazas en al menos un 50% menos de tiempo.
A continuación se explica cómo Vectra AI detecta cada una de las cinco técnicas principales utilizadas por las APT iraníes:
El sitio PlataformaVectra AI no requiere agentes. Se integra de forma nativa con Microsoft y aplica una lógica de detección en tiempo real adaptada a los ataques basados en identidades. Este enfoque ofrece alertas precisas de alta fidelidad y capacidades de respuesta automatizada que permiten a los equipos de los SOC actuar con decisión sin ahogarse en falsos positivos.
¿Ya es cliente de Vectra AI NDR?
Para defenderse de esta nueva oleada de ataques cloud identidad y cloud, recomendamos encarecidamente ampliar su despliegue actual con cobertura de identidad y Cloud . Esto garantiza una visibilidad y protección unificadas en los entornos híbridos en los que prosperan estas amenazas.
Ahora es el momento de ver lo que otros no pueden.
- Vea la demostración autoguiada de la plataforma Vectra AI para comprobar cómo ayudamos a los equipos SOC a detectar amenazas que otros no pueden.
- Lea la opinión de nuestro vicepresidente de producto, Mark Wojtasiak, sobre por qué Vectra AI destaca en The 2025 Gartner® Magic Quadrant™ for Network Detection and Response (NDR).
- Obtenga más información sobre por qué Vectra AI es líder y supera a otros en el Informe GigaOm Radar 2025 para la Detección y Respuesta a Amenazas de Identidad (ITDR).