Un ciberdelincuente ha conseguido comprometer más de 87.000 direcciones IP y convertirlas en un negocio que ha generado 202.000 dólares desde 2024.
La operación ha sido descubierta por investigadores de Cybernews, que han identificado al responsable bajo el seudónimo de LeakySensey.
El delincuente comercializaba el acceso a las conexiones comprometidas mediante plataformas especializadas, páginas web y bots de Telegram, permitiendo que terceros utilizaran dispositivos ajenos como servidores proxy.
La investigación ha revelado que el servicio ha procesado más de 24.000 transacciones en aproximadamente dos años, aprovechando principalmente routers antiguos y equipos VPN que continúan utilizando protocolos de comunicación obsoletos.
Más de 87.000 direcciones IP comprometidas mediante ataques de fuerza bruta
El funcionamiento de la operación se basaba en localizar dispositivos accesibles desde Internet y probar automáticamente diferentes combinaciones de credenciales hasta conseguir entrar en ellos.
Entre las contraseñas utilizadas por los propietarios aparecían combinaciones tan sencillas como «admin» o «admin123», que facilitaban el acceso no autorizado a los equipos.
Los investigadores identificaron más de 63.000 servidores comprometidos mediante ataques contra PPTP, otros 24.000 a través de L2TP y 24 equipos adicionales mediante SSH.
Ambos protocolos VPN llevan décadas disponibles y presentan importantes limitaciones de seguridad. Según los datos recogidos en la investigación, aproximadamente 1,9 millones de dispositivos todavía exponen PPTP en Internet, mientras que los escaneos relacionados con L2TP identifican más de tres millones de equipos accesibles.
Una vez obtenidas las credenciales, el atacante instalaba software que permitía utilizar las conexiones comprometidas como servidores proxy. De esta manera, podía alquilar su capacidad de conexión a otros usuarios sin necesidad de disponer de una infraestructura física propia.
No todas las direcciones IP identificadas estaban operativas simultáneamente. En el momento del descubrimiento, 17.858 figuraban como preparadas o conectadas para prestar el servicio.
Claude Code modificado para funcionar sin restricciones de seguridad
Uno de los aspectos más llamativos de la investigación es la utilización de una versión alterada de Claude Code, que permitía automatizar tareas sin las comprobaciones habituales de la herramienta oficial.
El ciberdelincuente había desarrollado un sistema compuesto por cinco scripts de Python capaces de modificar los archivos ejecutables de Claude Code cada vez que aparecía una actualización.
Estas alteraciones eliminaban las solicitudes de confirmación para acceder a archivos, permitían ejecutar planes automáticamente y ampliaban la compatibilidad con modelos de inteligencia artificial de diferentes proveedores.
La infraestructura también incorporaba cuentas de distintos servicios: 12 de Antigravity, cinco de Codex, dos de Gemini y una de Claude. Todas ellas estaban conectadas mediante una herramienta intermediaria que permitía distribuir las solicitudes entre diferentes modelos y proveedores.
Los investigadores encontraron versiones modificadas de Claude Code preparadas para funcionar en Windows, Linux y sistemas de Apple, distribuidas mediante paquetes privados de NPM.
La documentación examinada apunta a que el atacante había configurado la herramienta para ejecutar tareas de manera continuada y sin intervención humana, aunque la investigación no permite atribuir cada una de las intrusiones exclusivamente a la inteligencia artificial.
Un servidor desprotegido permitió descubrir toda la operación
La actividad quedó al descubierto el 20 de julio de 2026, cuando los investigadores localizaron un servidor del propio ciberdelincuente que permanecía accesible sin las medidas de protección adecuadas.
En su interior encontraron herramientas utilizadas en los ataques, inventarios de direcciones IP, credenciales, información de clientes y registros de operaciones comerciales.
La base de datos contenía más de 56.000 usuarios, incluidos más de 11.000 con cuentas vinculadas a Telegram. También permitió identificar diferentes plataformas a través de las cuales se revendía el acceso a los servidores proxy.
La infraestructura comercial utilizaba Cryptomus para gestionar los pagos en criptomonedas y se presentaba públicamente como una empresa de desarrollo de software y consultoría tecnológica.
Paradójicamente, el responsable también había sufrido incidentes de seguridad. Otro atacante consiguió instalar un minero de Monero en uno de sus servidores, mientras que una intrusión adicional provocó el robo de claves de acceso a su servicio.
Los investigadores localizaron evidencias que apuntan a Rusia como posible ubicación del operador, aunque su identidad y localización exactas no han quedado confirmadas.
Deja una respuesta