Hackers rusos utilizan routers para robar tokens de Microsoft Office

Un grupo de hackers vinculado al servicio de inteligencia ruso GRU ha estado utilizando vulnerabilidades en routers antiguos para robar tokens de autenticación de Microsoft Office de más de 18.000 redes, según un informe de Black Lotus Labs. El ataque, denominado Forest Blizzard, se ha dirigido a agencias gubernamentales y dispositivos de usuarios finales.

Hackers asociados a las unidades militares rusas están utilizando fallas conocidas en routers de Internet más antiguos para cosechar masivamente tokens de autenticación de usuarios de Microsoft Office, advirtieron expertos en seguridad hoy. La campaña de espionaje permitió a los hackers estatales rusos extraer en silencio los tokens de autenticación de usuarios en más de 18.000 redes sin desplegar ningún software malicioso o código.

Microsoft dijo en un blog post de hoy que identificó más de 200 organizaciones y 5.000 dispositivos de usuarios finales que quedaron atrapados en una red de espionaje sigilosa pero notablemente simple construida por un actor de amenazas ruso conocido como “Forest Blizzard”.

Cómo se redirigieron las solicitudes de DNS dirigidas al router. Imagen: Black Lotus Labs.

También conocido como APT28 y Fancy Bear, Forest Blizzard se atribuye a las unidades de inteligencia militar dentro de la Dirección Principal de Inteligencia del Estado Mayor General (GRU) de Rusia. APT 28 famosa y oportunamente comprometió la campaña de la campaña de Hillary Clinton, el Comité Nacional Demócrata y el Comité Demócrata para la Campaña Presidencial en 2016 en un intento de interferir con las elecciones presidenciales de EE. UU.

Los ingenieros de seguridad de Black Lotus Labs, Ryan English, encontraron que las unidades de routers controladas por el GRU no necesitaban instalar malware en los routers objetivo, que principalmente eran dispositivos Mikrotik y TP-Link de SOHO más antiguos, que estaban detrás en las actualizaciones de seguridad. En cambio, utilizaron vulnerabilidades conocidas para modificar la configuración de Sistema de Nombres de Dominio (DNS) de los routers para incluir servidores DNS controlados por los atacantes.

Como los ajustes de DNS fueron redirigidos en el router. Imagen: Microsoft.

Como los tokens se transmiten típicamente después de que el usuario ha iniciado sesión y ha pasado por la autenticación multifactor, los atacantes podrían obtener acceso directo a las cuentas de las víctimas sin tener que vigilar los credenciales de los usuarios y/o los códigos de un solo uso.

“Todos están buscando algún malware sofisticado para dejar algo en sus dispositivos móviles o algo”, dijo English. “Estos tipos no usaron malware. Lo hicieron de una manera antigua y de “graybeard” que no es muy sexy pero hace el trabajo”.

Microsoft se refiere a la actividad de Forest Blizzard como usar el secuestro de DNS “para apoyar ataques de intermediario en el punto medio (AiTM) en las conexiones TLS contra los dominios de Microsoft Outlook en la web”. La empresa dijo que, si bien apuntar a dispositivos SOHO no es una táctica nueva, es la primera vez que Microsoft ha visto a Forest Blizzard usar el secuestro de DNS a escala para apoyar los ataques AiTM de conexiones TLS después de explotar dispositivos de borde”.

Danny Adamitis, ingeniero de Black Lotus Labs, dijo que será interesante ver cómo Forest Blizzard reaccionará a la reciente atención a su operación de espionaje, señalando que el grupo inmediatamente cambió sus tácticas en respuesta a un informe similar de la NCSC (PDF) en agosto de 2025. En ese momento, Forest Blizzard estaba usando malware para controlar un grupo más pequeño y dirigido de routers comprometidos. Pero el día después del informe de la NCSC, el grupo rápidamente abandonó el enfoque de malware en favor de alterar masivamente la configuración de DNS en miles de routers vulnerables.

TP-Link fue uno de los fabricantes de routers que enfrentó un veto completo en los Estados Unidos. Pero el 23 de marzo, la Comisión Federal de Comunicaciones (FCC) tomó un enfoque más amplio, anunciando que ya no certificaría routers de Internet de consumo fabricados fuera de los Estados Unidos.

La FCC advirtió que los routers fabricados en el extranjero se habían convertido en una amenaza para la seguridad nacional insostenible y que los routers mal protegidos presentan “un grave riesgo de ciberseguridad que podría ser aprovechado para interrumpir inmediatamente y gravemente la infraestructura crítica de EE. UU. y dañar directamente a las personas de EE. UU.”

Expertos han argumentado que pocos nuevos routers de consumo estarían disponibles para la venta bajo esta nueva política de la FCC (además, quizás, los routers de Internet satelitales de Starlink de Musk, que se fabrican en Texas). La FCC dice que los fabricantes de routers pueden solicitar una “aprobación condicional” especial del Departamento de Guerra o del Departamento de Seguridad Nacional, y que la nueva política no afecta a los routers de consumo comprados previamente.

Fuente:
https://krebsonsecurity.com/2026/04/russia-hacked-routers-to-steal-microsoft-office-tokens/

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.