En curso campaña masiva de ciberataques contra sitios gubernamentales, universitarios y empresariales en México
Imagen: AdadiaCarbon | https://www.deviantart.com/adadiacarbon
- Una oleada de ataques atribuida preliminarmente al ciberdelincuente conocido como ameN habría comprometido decenas de portales mexicanos, principalmente en Michoacán. La actividad coincide temporalmente con la divulgación de la vulnerabilidad crítica PHP2Shell, aunque todavía no existen evidencias concluyentes que permitan establecer una relación directa entre ambos acontecimientos.
Por Víctor Ruiz, fundador de SILIKN, CyberOps Associate (CCNA CyberOps), CompTIA Security+ ce Certification, Instructor Certificado en Ciberseguridad (CSCT™), NIST Cybersecurity Framework 2.0 Certified Expert (CSFE), (ISC)² Certified in Cybersecurity℠ (CC), EC-Council Ethical Hacking Essentials (EHE) Certified, EC-Council Certified Cybersecurity Technician (CCT), Ethical Hacking Certified Associate (EHCA), Cisco Ethical Hacker & Cisco Cybersecurity Analyst, Coordinador de la Subcomisión de Ciberseguridad de COPARMEX Querétaro y Líder del Capítulo Querétaro de la Fundación OWASP.
Una campaña masiva de ciberataques contra sitios web gubernamentales, universitarios y empresariales ha sido confirmada por la Unidad de Investigación de SILIKN, luego de que sistemas de inteligencia y monitoreo de amenazas identificaran una intensa actividad de modificación no autorizada de páginas de Internet, conocida técnicamente como defacement, dirigida principalmente contra dominios mexicanos.
De acuerdo con los reportes preliminares, la actividad estaría relacionada con los identificadores ameN y CoupDeGrace, firmas que aparecen asociadas con las alteraciones detectadas en diversos portales. Los registros apuntan a una concentración significativa de incidentes en el estado de Michoacán, aunque la campaña tendría un alcance internacional, con reportes de ataques contra infraestructura gubernamental de distintos países.
La información disponible señala que el atacante identificado como ameN estaría vinculado con una serie de operaciones de desfiguración de sitios web registradas durante el periodo comprendido entre el 26 y el 28 de octubre de 2026. Sin embargo, la atribución de los incidentes continúa siendo preliminar y requiere corroboración mediante el análisis de evidencias técnicas.
Uno de los aspectos que ha despertado mayor preocupación entre los especialistas es la posible relación temporal entre esta actividad y la reciente divulgación de PHP2Shell, una vulnerabilidad crítica de ejecución remota de código. Aunque hasta el momento no existen pruebas técnicas públicas que demuestren que dicha vulnerabilidad haya sido utilizada para comprometer los portales señalados, la coincidencia ha abierto interrogantes sobre los mecanismos empleados por los atacantes.
La aparente afectación de servidores con arquitecturas y sistemas operativos diversos, entre ellos Linux, macOS y FreeBSD, plantea la posibilidad de que las intrusiones estén relacionadas con debilidades presentes en componentes compartidos a nivel de aplicación o lenguaje de programación. No obstante, esta hipótesis debe tratarse con cautela, ya que una campaña automatizada de estas características también podría aprovechar vulnerabilidades conocidas en gestores de contenido, configuraciones deficientes, mecanismos inseguros de carga de archivos o credenciales administrativas comprometidas.
Para determinar si existe una relación efectiva con PHP2Shell, será indispensable que los responsables de la infraestructura presuntamente afectada realicen análisis forenses de sus sistemas, particularmente de los registros de peticiones HTTP, procesos ejecutados, archivos modificados y posibles indicadores de explotación.
Gobiernos municipales de Michoacán, entre los principales objetivos
Entre las instituciones mexicanas señaladas en los reportes destacan los portales oficiales de los gobiernos municipales de Tarímbaro, Tangancícuaro, Santa Ana Maya, Tlalpujahua, Tingambato y Peribán, todos ubicados en Michoacán.
La relación de posibles objetivos también incluye infraestructura web vinculada con la Universidad Nacional Autónoma de México (UNAM), particularmente con el Programa Universitario de Estudios sobre Democracia, Justicia y Sociedad (PUEDJS).
En el sector privado, los registros de inteligencia mencionan a numerosas organizaciones comerciales, laboratorios, empresas tecnológicas y proveedores de servicios. Entre las entidades identificadas figuran Laboratorios García, Val-Corp, Correos México, Adventours, Chatoyer, Seferssa, Alfonso Álvarez Eventos en Línea, Sol deP, Asegúrate, Pawers, Amastore, Jorge de la Garza, Cristal Líquido, Canal 80, Cornea Creativa, Studio C, Modaviva, Power Foods, GL Metálica, Funcional Beat, Producciones DJ, Julieta Rivera, ORM, JWJ Light, Manantial de Avivamiento, Promars México, Besten México, Igency, Ceros y Unos, IT Central, Plan Integral, Picstation, Adysa, Reval Motors, PulseMed, Flycases, Pecunia Legal, All in 1, ATJ, Clickrent, Orbitek, Informativo TV, Dogs Bff, Digitlab, Cantabria Residencial, Sanefoods, EM Sportswear, Lucky Fish, Mercado Costa, Grap Media, Aline Aguilar, FM Gastronomía, Osinet, Saxlan Consultores, Enterlab y Nagomi Restaurante, entre otras.
Alteración de páginas web y posibles mecanismos de intrusión
Los indicadores recopilados sugieren que la campaña estaría caracterizada por la modificación no autorizada de páginas principales, la incorporación de rutas específicas, como “/amen”, y la colocación de archivos HTML ajenos al contenido legítimo de los portales afectados.
Una parte importante de la infraestructura señalada estaría alojada en servidores ubicados en Estados Unidos, principalmente sobre plataformas Linux y FreeBSD.
Los ataques de tipo defacement consisten en modificar sin autorización la apariencia o el contenido de un sitio web. Habitualmente, los responsables sustituyen las páginas originales por mensajes, imágenes, firmas o reivindicaciones con el propósito de demostrar que consiguieron vulnerar los mecanismos de protección de una organización.
Aunque estas acciones suelen asociarse con actividades de hacktivismo o exhibición pública, también pueden representar un indicador de compromisos de seguridad más profundos. La capacidad de modificar archivos alojados en un servidor podría evidenciar la existencia de accesos no autorizados que, dependiendo de los privilegios obtenidos, permitirían ejecutar otras actividades maliciosas.
Por ello, la restauración visual de una página alterada no necesariamente significa que el incidente haya sido contenido. Es fundamental determinar cómo se produjo el acceso inicial, qué permisos consiguieron los atacantes y si existen mecanismos de persistencia que pudieran facilitar nuevas intrusiones.
La magnitud real de los incidentes permanece sin confirmar
Pese al volumen de actividad identificado por los sistemas de monitoreo, hasta el momento no se cuenta con confirmaciones oficiales suficientes por parte de los administradores de los dominios señalados o de las autoridades mexicanas competentes en materia de respuesta a incidentes cibernéticos que permitan establecer el alcance definitivo de la campaña.
Tampoco se ha corroborado la persistencia de las modificaciones detectadas, la existencia de posibles afectaciones adicionales sobre la infraestructura interna ni el vector específico utilizado para ejecutar los ataques.
En consecuencia, los reportes deben considerarse información preliminar de inteligencia de amenazas y no una confirmación definitiva de compromiso de todas las organizaciones mencionadas.
Recomiendan reforzar inmediatamente la seguridad de los servidores web
Ante este escenario, la Unidad de Investigación de SILIKN recomienda a las instituciones públicas, universidades y empresas mexicanas intensificar la vigilancia de sus activos digitales, particularmente de aquellos que mantienen servicios expuestos directamente a Internet.
Los centros de operaciones de seguridad (SOC), equipos de respuesta a incidentes (CSIRT) y administradores de infraestructura deberán prestar especial atención a la integridad de los archivos publicados, la aparición de directorios desconocidos, las modificaciones inesperadas en páginas principales y cualquier actividad irregular registrada en los servidores.
Entre las principales medidas preventivas destaca la restricción de permisos de escritura sobre los directorios públicos, de manera que los usuarios asociados con los servicios web operen bajo configuraciones de solo lectura y las modificaciones se realicen exclusivamente mediante mecanismos seguros, como conexiones autenticadas con llaves SSH o procesos controlados de integración y despliegue continuo (CI/CD).
También resulta prioritario mantener actualizados los gestores de contenido, complementos y componentes de servidor, revisar los privilegios de las cuentas administrativas, fortalecer los mecanismos de autenticación y conservar las evidencias técnicas necesarias para una eventual investigación forense.
En caso de identificar indicios de compromiso, los especialistas recomiendan evitar la eliminación inmediata de los archivos sospechosos sin antes preservar las evidencias correspondientes, debido a que estas podrían resultar fundamentales para determinar el origen y alcance de la intrusión.
La presunta campaña pone nuevamente de manifiesto la importancia de fortalecer los mecanismos de protección de la infraestructura digital mexicana, especialmente en organismos públicos y organizaciones que dependen de sus portales para ofrecer información y servicios a la ciudadanía.
Mientras continúan las investigaciones sobre la actividad atribuida a ameN y CoupDeGrace, así como sobre una eventual relación con PHP2Shell, la recomendación para las organizaciones es mantener una vigilancia activa y adoptar medidas preventivas que permitan detectar oportunamente cualquier intento de modificación no autorizada de sus plataformas digitales.
Para más información, visite: https://www.silikn.net/