Las direcciones IP antiguas no han desaparecido: los indicadores de compromiso del informe sobre Flax Typhoon reaparecen en nuevos ataques
Un error en una petición dejó al descubierto el servidor de control y llevó a VulnCheck a una infraestructura hasta entonces desconocida.
Los indicadores de compromiso (IOC) resultaron estar mucho más activos de lo que aparentaban en el boletín gubernamental reciente. VulnCheck verificó las direcciones IP del documento sobre Integrity Technology Group y encontró tres direcciones que siguieron atacando sistemas vulnerables meses y años después de los períodos de actividad indicados.
La advertencia conjunta del 8 de octubre fue emitida por el FBI, la Agencia de Seguridad Cibernética y de Infraestructura de EE. UU., la NSA y socios de varios países. Las agencias vincularon la infraestructura descrita con operadores cuyos métodos coinciden con la actividad de Flax Typhoon, Ethereal Panda y Red Juliett, y advirtieron que los IOC publicados requieren verificación antes de bloquearlos.
VulnCheck comparó las direcciones del informe con sus sistemas Canary, que imitan hosts realmente vulnerables. Tres IP de la lista atacaron esos señuelos después de las fechas del boletín. La actividad más reciente tuvo lugar en mayo de 2026, aunque en el documento gubernamental las mismas direcciones aparecieron por última vez entre marzo de 2023 y mayo de 2024.
Los nuevos ataques no replicaron el conjunto de vulnerabilidades del boletín. Dos direcciones aprovecharon la crítica CVE-2025-24893 en XWiki con una puntuación de 9,8 según CVSS 3.1. El fallo permite a un usuario invitado ejecutar código de forma remota a través de SolrSearch, sin autenticación. Anteriormente, la misma vulnerabilidad ya provocó un notable aumento de ataques contra servidores accesibles desde internet.
La cadena registrada no parecía un simple escaneo. Las peticiones primero comprobaban la posibilidad de ejecutar comandos y leer /etc/passwd, para luego pasar al lanzamiento de un reverse shell. En una petición el operador dejó una plantilla de dirección sin completar y otra reveló el servidor de mando y control (C2) 155.138.212.170. A través de él, VulnCheck encontró otros dos IP que no estaban en el boletín original.
La tercera dirección mostró un cuadro distinto. El tráfico incluía el User-Agent libredtail-http, asociado con la familia RedTail, y VulnCheck detecta la misma huella en aproximadamente 5200 orígenes. La comprobación del servidor de mando condujo a otros 178 IP que usaron cadenas similares al menos hasta agosto de 2026. Tal escala parece más propia de un botnet masivo que de una operación manual de un solo grupo.
La diferencia entre los clústeres cambia la interpretación de los IOC antiguos. La coincidencia de IP con el boletín gubernamental no prueba que cada nuevo ataque pertenezca a Flax Typhoon. La infraestructura pudo haber sido reutilizada, revendida o comprometida por otros operadores. En el marco de la investigación, las autoridades estadounidenses anteriormente incautaron los dominios MicroScan y FishHub, vinculados a Integrity Technology Group.
Los autores del boletín aconsejan no limitarse a bloquear direcciones. A los defensores se les recomienda buscar señales de compromiso, cerrar servicios y puertos innecesarios, aplicar parches, filtrar la entrada en aplicaciones web e activar la autenticación multifactor. Las observaciones de VulnCheck muestran que el IOC antiguo es más útil como punto de partida para buscar infraestructura que como una entrada estática en una lista negra.