{"id":972,"date":"2026-10-22T19:56:26","date_gmt":"2026-10-22T19:56:26","guid":{"rendered":"https:\/\/cybertica.cr\/?p=972"},"modified":"2026-10-22T19:56:26","modified_gmt":"2026-10-22T19:56:26","slug":"un-ciberdelincuente-ruso-utiliza-claude-code-para-secuestrar-87-000-direcciones-ip","status":"publish","type":"post","link":"https:\/\/cybertica.cr\/?p=972","title":{"rendered":"Un ciberdelincuente ruso utiliza Claude Code para secuestrar 87.000 direcciones IP"},"content":{"rendered":"\n

Un ciberdelincuente ha conseguido comprometer m\u00e1s de 87.000 direcciones IP y convertirlas en un negocio que ha generado 202.000 d\u00f3lares desde 2024.\u00a0<\/strong>
<\/a><\/p>\n\n\n\n

La operaci\u00f3n ha sido descubierta por investigadores de Cybernews<\/em>, que han identificado al responsable bajo el seud\u00f3nimo de LeakySensey.<\/p>\n\n\n\n

El delincuente comercializaba el acceso a las conexiones comprometidas mediante plataformas especializadas, p\u00e1ginas web y bots de Telegram, permitiendo que terceros utilizaran dispositivos ajenos como servidores proxy.<\/p>\n\n\n\n

La investigaci\u00f3n ha revelado que el servicio ha procesado m\u00e1s de 24.000 transacciones en aproximadamente dos a\u00f1os<\/strong>, aprovechando principalmente routers antiguos y equipos VPN que contin\u00faan utilizando protocolos de comunicaci\u00f3n obsoletos.<\/p>\n\n\n\n

M\u00e1s de 87.000 direcciones IP comprometidas mediante ataques de fuerza bruta<\/h2>\n\n\n\n

El funcionamiento de la operaci\u00f3n se basaba en localizar dispositivos accesibles desde Internet y probar autom\u00e1ticamente diferentes combinaciones de credenciales hasta conseguir entrar en ellos.<\/strong><\/p>\n\n\n\n

Entre las contrase\u00f1as utilizadas por los propietarios aparec\u00edan combinaciones tan sencillas como \u00abadmin\u00bb o \u00abadmin123\u00bb, que facilitaban el acceso no autorizado a los equipos.<\/p>\n\n\n\n

Los investigadores identificaron m\u00e1s de 63.000 servidores comprometidos mediante ataques contra PPTP, otros 24.000 a trav\u00e9s de L2TP y 24 equipos adicionales mediante SSH.<\/strong><\/p>\n\n\n\n

Ambos protocolos VPN llevan d\u00e9cadas disponibles y presentan importantes limitaciones de seguridad. Seg\u00fan los datos recogidos en la investigaci\u00f3n, aproximadamente 1,9 millones de dispositivos todav\u00eda exponen PPTP en Internet, mientras que los escaneos relacionados con L2TP identifican m\u00e1s de tres millones de equipos accesibles.<\/p>\n\n\n\n

Una vez obtenidas las credenciales, el atacante instalaba software que permit\u00eda utilizar las conexiones comprometidas como servidores proxy.<\/strong> De esta manera, pod\u00eda alquilar su capacidad de conexi\u00f3n a otros usuarios sin necesidad de disponer de una infraestructura f\u00edsica propia.<\/p>\n\n\n\n

No todas las direcciones IP identificadas estaban operativas simult\u00e1neamente. En el momento del descubrimiento, 17.858 figuraban como preparadas o conectadas para prestar el servicio.<\/p>\n\n\n\n

Claude Code modificado para funcionar sin restricciones de seguridad<\/h2>\n\n\n\n

Uno de los aspectos m\u00e1s llamativos de la investigaci\u00f3n es la utilizaci\u00f3n de una versi\u00f3n alterada de Claude Code<\/strong>, que permit\u00eda automatizar tareas sin las comprobaciones habituales de la herramienta oficial.<\/p>\n\n\n\n

El ciberdelincuente hab\u00eda desarrollado un sistema compuesto por cinco scripts de Python capaces de modificar los archivos ejecutables de Claude Code<\/strong> cada vez que aparec\u00eda una actualizaci\u00f3n.<\/p>\n\n\n\n

Estas alteraciones eliminaban las solicitudes de confirmaci\u00f3n para acceder a archivos, permit\u00edan ejecutar planes autom\u00e1ticamente y ampliaban la compatibilidad con modelos de inteligencia artificial de diferentes proveedores.<\/p>\n\n\n\n

La infraestructura tambi\u00e9n incorporaba cuentas de distintos servicios<\/strong>: 12 de Antigravity, cinco de Codex, dos de Gemini y una de Claude. Todas ellas estaban conectadas mediante una herramienta intermediaria que permit\u00eda distribuir las solicitudes entre diferentes modelos y proveedores.<\/p>\n\n\n\n

Los investigadores encontraron versiones modificadas de Claude Code preparadas para funcionar en Windows, Linux y sistemas de Apple, distribuidas mediante paquetes privados de NPM.<\/p>\n\n\n\n

La documentaci\u00f3n examinada apunta a que el atacante hab\u00eda configurado la herramienta para ejecutar tareas de manera continuada y sin intervenci\u00f3n humana, aunque la investigaci\u00f3n no permite atribuir cada una de las intrusiones exclusivamente a la inteligencia artificial.<\/p>\n\n\n\n

Un servidor desprotegido permiti\u00f3 descubrir toda la operaci\u00f3n<\/h2>\n\n\n\n

La actividad qued\u00f3 al descubierto el 20 de julio de 2026, cuando los investigadores localizaron un servidor del propio ciberdelincuente que permanec\u00eda accesible sin las medidas de protecci\u00f3n adecuadas.<\/p>\n\n\n\n

En su interior encontraron herramientas utilizadas en los ataques, inventarios de direcciones IP, credenciales, informaci\u00f3n de clientes y registros de operaciones comerciales.<\/p>\n\n\n\n

La base de datos conten\u00eda m\u00e1s de 56.000 usuarios<\/strong>, incluidos m\u00e1s de 11.000 con cuentas vinculadas a Telegram. Tambi\u00e9n permiti\u00f3 identificar diferentes plataformas a trav\u00e9s de las cuales se revend\u00eda el acceso a los servidores proxy.<\/p>\n\n\n\n

La infraestructura comercial utilizaba Cryptomus para gestionar los pagos en criptomonedas y se presentaba p\u00fablicamente como una empresa de desarrollo de software y consultor\u00eda tecnol\u00f3gica.<\/p>\n\n\n\n

Parad\u00f3jicamente, el responsable tambi\u00e9n hab\u00eda sufrido incidentes de seguridad<\/strong>. Otro atacante consigui\u00f3 instalar un minero de Monero en uno de sus servidores, mientras que una intrusi\u00f3n adicional provoc\u00f3 el robo de claves de acceso a su servicio.<\/p>\n\n\n\n

Los investigadores localizaron evidencias que apuntan a Rusia como posible ubicaci\u00f3n del operador,<\/strong> aunque su identidad y localizaci\u00f3n exactas no han quedado confirmadas.<\/p>\n","protected":false},"excerpt":{"rendered":"

Un ciberdelincuente ha conseguido comprometer m\u00e1s de 87.000 direcciones IP y convertirlas en un negocio que ha generado 202.000 d\u00f3lares desde 2024.\u00a0 La operaci\u00f3n ha sido descubierta por investigadores de Cybernews, que han identificado al responsable bajo el seud\u00f3nimo de LeakySensey. El delincuente comercializaba el acceso a las conexiones comprometidas mediante plataformas especializadas, p\u00e1ginas web […]<\/p>\n","protected":false},"author":1,"featured_media":973,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-972","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/posts\/972","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=972"}],"version-history":[{"count":1,"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/posts\/972\/revisions"}],"predecessor-version":[{"id":974,"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/posts\/972\/revisions\/974"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/media\/973"}],"wp:attachment":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=972"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=972"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=972"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}