Un informe técnico publicado por investigadores externos y reseñado por CircleID detalla cómo la campaña de intrusión identificada como Earth Sirrush (anteriormente SHADOW-EARTH-065 y con traslapes con la designación UAC-0099 de CERT‑UA) empleó una infraestructura DNS y de registro de dominios persistente en operaciones de spearphishing contra entidades ucranianas. El análisis rastrea la actividad del grupo entre 2022 y julio de 2026 y examina indicadores de compromiso (IoC) relacionados con dominios, subdominios, direcciones IP y correos electrónicos.
Qué encontraron los investigadores
Tras revisar listas iniciales de IoC publicadas por TrendAI Research, los analistas aplicaron consultas WHOIS, verificación de correo y servicios de categorización y amenazas para depurar la lista. El resultado final de la investigación incluyó 49 IoC de red: un subdominio, seis direcciones de correo, 21 dominios y 21 direcciones IP analizadas en detalle.
Entre los hallazgos más relevantes están:
- Detección de 21 dominios relacionados con la operación tras la exclusión de candidaturas legítimas.
- Registro de más de 1.000 resoluciones históricas dominio→IP desde 2017 en las consultas de DNS, y 3.761 resoluciones históricas IP→dominio en otra trazada temporal, lo que muestra movimientos y cambios de infraestructura a lo largo de casi una década.
- Identificación de tres direcciones IP históricas del dominio apex de un subdominio analizado (order.cyberflysystems.com) que aparecen asociadas con distribución de malware y phishing entre 2023 y 2026.
- Un muestreo de tráfico de red que relaciona 95 direcciones IP de posibles víctimas con 11 de los IoC.
- Evidencia de que varios dominios fueron registrados con posible intención maliciosa entre 119 y 420 días antes de ser publicados como IoC.
Qué significa técnicamente
La investigación combina varias fuentes de inteligencia: WHOIS histórico para vincular correos y registrantes, API de categorización para evaluar la reputación de dominios, y cronologías de DNS para ver cuándo y cómo los dominios resolvieron a distintas IP. Estas técnicas permiten reconstruir la infraestructura (dominios, subdominios, servidores) usada para distribuir malware o lanzar campañas de phishing y detectar patrones como typosquatting, depósitos de dominios y cambios frecuentes de hosting.
Quiénes se ven afectados y qué deben hacer los administradores
Según el informe, los objetivos fueron agencias gubernamentales ucranianas, organizaciones de defensa, guardias fronterizos y operadores logísticos. Para administradores de servidores, responsables de seguridad y dueños de sitios web en general, las recomendaciones prácticas derivadas de este tipo de hallazgos son:
- Revisar registros DNS y listas de contactos públicos para detectar resoluciones inesperadas o dominios relacionados con su sector.
- Monitorizar comunicaciones entrantes para señales de spearphishing (correos dirigidos, remitentes y dominios inusuales) y comprobar encabezados y autenticación (SPF, DKIM, DMARC).
- Implementar listas de bloqueo y reglas en dispositivos de correo y gateways de seguridad contra los dominios e IP sospechosas publicados como IoC.
- Conservar logs de red y correo que permitan correlacionar posibles conexiones con las IP identificadas y facilitar investigaciones forenses.
- Usar fuentes de inteligencia de dominios y DNS para actualizar detecciones: WHOIS histórico, DNS Chronicle y feeds de dominios maliciosos son útiles para identificar infraestructuras que cambian con frecuencia.
Limitaciones y precauciones
Los autores de la investigación señalan una postura cautelosa: algunos activos catalogados como maliciosos podrían resultar inofensivos tras investigaciones adicionales o cambios contextuales. Por tanto, los operadores deben combinar las listas de IoC con su propia telemetría y análisis antes de tomar medidas definitivas.
El informe completo y artefactos de muestra, según la nota original, están disponibles para descarga en la fuente de la investigación para equipos de respuesta e inteligencia que deseen reproducir el análisis o incorporar los IoC a sus sistemas de detección.
Lee también:
- Debate sobre la API de secretos de WordPress 7.2: hosts piden pruebas antes de RC1
- Actores maliciosos explotan GSocket para mantener acceso persistente a servidores Linux
Fuente: CircleID
