La ciberseguridad vuelve a situarse en el centro de la agenda empresarial y geopolítica tras la revelación de una nueva campaña de ciberespionaje detectada por Kaspersky a comienzos de 2025. Bajo el nombre de Mysterious Elephant, este actor de amenazas avanzadas persistentes (APT) ha desplegado una sofisticada operación dirigida principalmente a entidades gubernamentales y organizaciones vinculadas a asuntos exteriores en la región de Asia-Pacífico, con un objetivo claro: robar información altamente sensible, incluidos datos compartidos a través de WhatsApp.
El caso pone de relieve una realidad cada vez más incómoda para organizaciones públicas y privadas: las herramientas de comunicación cotidiana, ampliamente normalizadas y percibidas como seguras, se han convertido en un vector estratégico para el espionaje digital. En un contexto global marcado por la tensión geopolítica, la hiperconectividad y la dependencia de plataformas digitales, el perímetro de seguridad tradicional ya no es suficiente.
Un cambio relevante en las tácticas del ciberespionaje
Según el análisis del Equipo Global de Investigación y Análisis de Kaspersky (GReAT), la campaña de 2025 de Mysterious Elephant supone un salto cualitativo respecto a operaciones anteriores del grupo. Los atacantes han refinado sus tácticas, técnicas y procedimientos (TTP), combinando herramientas personalizadas con soluciones de código abierto para maximizar su sigilo y persistencia.
El acceso inicial a las redes comprometidas se logra mediante spear phishing altamente personalizado, documentos maliciosos diseñados específicamente para cada objetivo y kits de explotación adaptados al contexto de la víctima. Esta personalización demuestra un profundo conocimiento previo de las organizaciones atacadas y refuerza la hipótesis de que se trata de operaciones de espionaje planificadas a largo plazo, no de ataques oportunistas.
Una vez dentro de la infraestructura, los ciberdelincuentes despliegan una cadena de herramientas orientadas a elevar privilegios, moverse lateralmente por la red y extraer información confidencial sin levantar sospechas.
PowerShell, el eje silencioso del ataque
Uno de los elementos más destacados de esta campaña es el uso intensivo de scripts de PowerShell como columna vertebral de las operaciones. Esta elección no es casual. PowerShell es una herramienta legítima y ampliamente utilizada en entornos corporativos, lo que permite a los atacantes camuflar su actividad entre procesos habituales del sistema.
A través de estos scripts, Mysterious Elephant ejecuta instrucciones maliciosas, instala cargas adicionales y mantiene el acceso no autorizado durante largos periodos de tiempo. Esta persistencia prolongada incrementa exponencialmente el valor del ataque, ya que permite observar, recopilar y exfiltrar información de forma continuada.
BabShell y el robo selectivo de datos de WhatsApp
En el núcleo técnico del ataque destaca BabShell, una reverse shell diseñada para otorgar a los atacantes acceso remoto completo a los equipos infectados. Una vez activa, esta herramienta recopila información crítica del sistema —nombre de usuario, nombre del equipo, dirección MAC— permitiendo identificar y rastrear cada dispositivo comprometido con precisión quirúrgica.
BabShell actúa además como lanzadera de módulos más avanzados, como MemLoader HidenDesk, capaz de ejecutar malware directamente en memoria mediante técnicas de cifrado y compresión que dificultan su detección por soluciones de seguridad tradicionales.
Lo más preocupante de esta campaña es su foco específico en WhatsApp. Los atacantes han desarrollado módulos especializados para extraer documentos, imágenes y archivos comprimidos compartidos a través de la aplicación, convirtiendo una herramienta de mensajería cotidiana en una fuente directa de inteligencia sensible.
Este hecho debería hacer reflexionar a organizaciones y directivos sobre el uso de aplicaciones de mensajería en contextos profesionales y estratégicos, especialmente cuando se manejan datos confidenciales o información crítica.
Infraestructura diseñada para el sigilo
La infraestructura de Mysterious Elephant está pensada para resistir el análisis y dificultar el rastreo. El grupo utiliza una combinación de dominios e IP distribuidos, registros DNS comodín, servidores privados virtuales (VPS) y servicios de alojamiento en la nube.
Los registros DNS comodín permiten generar subdominios únicos para cada conexión, lo que facilita escalar las operaciones y complica enormemente la identificación de patrones por parte de los equipos de seguridad. Esta arquitectura refuerza la resiliencia del ataque y prolonga su vida útil.
IA, regulación y nuevos riesgos para las organizaciones
El caso Mysterious Elephant se produce en un momento especialmente delicado para las organizaciones. La adopción acelerada de tecnologías digitales, el auge del trabajo híbrido y el uso intensivo de herramientas colaborativas han ampliado la superficie de ataque como nunca antes.
A ello se suma la irrupción masiva de la inteligencia artificial, que ofrece enormes oportunidades de eficiencia, pero también introduce riesgos operativos y regulatorios si no se gestiona de forma responsable. Los responsables de seguridad y los equipos directivos se enfrentan al reto de garantizar que los sistemas sean robustos, explicables, auditables y alineados con los marcos normativos emergentes.
En este contexto, el espionaje digital deja de ser un problema exclusivamente técnico para convertirse en un riesgo estratégico de primer nivel, con impacto directo en la reputación, la continuidad del negocio y la confianza institucional.
Recomendaciones clave para empresas y organizaciones
Ante este tipo de amenazas avanzadas, los analistas de Kaspersky insisten en la necesidad de adoptar un enfoque integral de la ciberseguridad. Entre las principales recomendaciones destacan:
-
Garantizar que todos los equipos de la organización cuenten con soluciones de seguridad activas y actualizadas, sin excepciones.
-
Revisar y limitar los privilegios de cuentas de usuario y servicio, evitando permisos excesivos.
-
Monitorizar de forma continua la red para detectar comportamientos anómalos.
-
Invertir en formación y concienciación de los empleados, especialmente frente a ataques de phishing altamente personalizados.
-
Apoyarse en servicios de detección y respuesta gestionada (MDR) y en inteligencia de amenazas avanzada para anticiparse a ataques sofisticados.
Una llamada de atención para la alta dirección
El caso Mysterious Elephant demuestra que la ciberseguridad ya no es solo una cuestión del departamento de IT. Es una responsabilidad transversal que afecta a la estrategia, la gobernanza y la cultura corporativa.
En un entorno donde la información es poder y los canales de comunicación se han convertido en activos críticos, proteger los datos —incluso los que circulan por aplicaciones aparentemente seguras— es una prioridad ineludible para cualquier organización que aspire a ser resiliente en la era digital.
