Imagina encontrar el servidor del atacante completamente expuesto. Toda la toolchain operacional. Logs de sesión. Credenciales en claro. Fue exactamente lo que CloudSEK descubrió en junio de 2026 al identificar Operation Escaneo. Analizamos el reporte y la señal es clara: la ciberamenaza en América Latina pasó de banking trojans a operaciones de nivel APT.
La maleta abierta: staging server expuesto en DigitalOcean
Según CloudSEK, un VPS en DigitalOcean (62.171.185.97) funcionaba como staging server de la operación. Dentro de él, la toolchain completa: framework de reconocimiento personalizado Kimera (V1 y V2), arsenal de 15 CVEs explotados, logs de 3.708 sesiones de túnel Chisel, 407MB de datos BloodHound del AD, dumps de FortiGate con credenciales VPN en claro, scripts de explotación SAP/Oracle, infra de cracking de credenciales y logs de reverse shell que confirman explotación activa.
La maleta del atacante, abierta. No es un reporte teórico, es el espejo de una operación en curso. Según CloudSEK, el descubrimiento y el análisis ocurrieron el 17 de junio de 2026.
Kimera: framework personalizado de reconocimiento distribuido
La anatomía técnica es lo que diferencia esta campaña. Según CloudSEK, Kimera es un framework de reconocimiento distribuido con pipeline automatizado desde el descubrimiento hasta la explotación. La enumeración de subdominios combina 4 herramientas concurrentes: dnsx a 200 threads, naabu a 5.000 pps, fingerprinting httpx y escaneo Nuclei automático con validación XSS vía dalfox.
El significado para LATAM es claro. Un actor regional está operando con tradecraft de nivel estatal, construyendo frameworks personalizados en lugar de usar herramientas commodity. Eso cambia el cálculo de riesgo para cualquier organización operando en la región.
Los 15 CVEs: arsenal de borde y legado
Según CloudSEK, el arsenal explotado cubre 15 CVEs: Fortinet (CVE-2022-42475, CVE-2023-27997, CVE-2024-21762), cadena Ivanti (CVE-2023-46805 + CVE-2024-21887, CVE-2025-0282), GhostCat, Zerologon, PwnKit, SMBGhost, Log4Shell, VMware AirWatch, más MS17-010 y MS08-067.
La mayoría de estos CVEs ya tiene parche. El problema es el parcheo inconsistente en el borde y en appliances legados. MS17-010 y MS08-067 son de 2017 y 2008, todavía funcionan porque todavía existen hosts sin corregir. Operation Escaneo no depende de zero-days. Depende de higiene.
Persistencia en capas: del webshell al router
Según CloudSEK, la persistencia es en capas. Webshells Neo-reGeorg con canales AES y alfabeto Base64 personalizado. Túneles reversos Chisel, 3.708 sesiones registradas. Túnel GRE en router Cisco vía inyección de script TCL en IOS-XE para C2 a nivel de red, evadiendo la detección host-based. AnyDesk y N-able como persistencia adicional.
La persistencia a nivel de router es particularmente grave. Sobrevive a la reinstalación de endpoints. Queda fuera del alcance de las herramientas EDR tradicionales. Cuando el atacante establece C2 a nivel de red, la respuesta al incidente necesita ir más allá del endpoint.
Capacidad SAP/Oracle: explotación de aplicaciones empresariales
Según CloudSEK, el atacante tiene capacidad documentada de explotación SAP/Oracle. Módulos RFC de SAP (SXPG_CALL_SYSTEM, SXPG_COMMAND_INSERT) para ejecución de comandos OS vía SAP ERP. Oracle DBMS_SCHEDULER con loop UTL_FILE. PostgreSQL sys_eval para exfiltración de claves SSL privadas.
Esto es significativo. SAP y Oracle son el núcleo de finanzas, RRHH y operaciones en grandes empresas. La explotación vía módulos RFC legítimos significa que el atacante abusa de funcionalidad nativa, no necesita malware. El mismo principio de FortiBleed aplicado a aplicaciones empresariales.
Exfiltración: 407MB de BloodHound y 1,3 millones de registros PII
Según CloudSEK, la exfiltración documentada incluye 407MB de datos BloodHound del AD, más de 1,3 millones de registros PII de un proveedor de transporte, dumps de FortiGate, hashes Kerberoast y credenciales de navegador. El volumen de BloodHound indica un mapeo profundo del AD para movimiento lateral. Los 1,3 millones de registros PII indican crimen financiero en paralelo.
Atribución: MexicanMafia/PanchoVilla con confianza MEDIA
Según CloudSEK, la atribución a MexicanMafia/PanchoVilla tiene confianza MEDIA. Patrones regex en español en los scripts de recolección de credenciales confirman el foco regional. El alcance es México primario, Ecuador secundario y Portugal terciario.
CloudSEK identifica objetivos híbridos: crimen financiero y recolección de inteligencia en paralelo, posiblemente sin coordinación central. Según Koushik Pal, en entrevista a Dark Reading, la explicación más simple es monetización oportunista corriendo en paralelo a la recolección de inteligencia.
Conclusión: LATAM alcanzó nivel APT
Lo repetimos: la ciberamenaza en América Latina pasó de banking trojans a operaciones de nivel APT. Frameworks personalizados. Persistencia a nivel de router. Explotación de SAP/Oracle. Tradecraft de nivel estatal viniendo de un actor regional. El staging server expuesto fue suerte. La próxima campaña no va a dejar la maleta abierta.
Toda organización operando en América Latina necesita reevaluar su modelo de amenazas. Ahora. En Tech86 ayudamos a empresas a auditar la exposición a CVEs de borde, detectar persistencia en routers, revisar la segmentación para túneles Chisel y webshells, y reevaluar modelos de amenaza asumiendo adversarios con capacidad APT, no solo criminales comunes.