Actor de amenazas ModernStealer vinculado a afirmaciones de filtración de datos del gobierno y la defensa

ModernStealer es el alias detrás de una serie de anuncios en foros clandestinos que ofrecen presunto material militar, gubernamental, nuclear y aeroespacial. Las publicaciones aparecieron en foros de la dark web y en Telegram, lo que convierte a un solo alias en motivo de preocupación para los equipos de defensa y del sector público.

El rastro de identidades

El análisis vinculó a ModernStealer con un identificador de contacto de Session —la aplicación de mensajería cifrada— y con una cuenta de Telegram bajo el nombre Sassoon Don. A partir de ahí, los investigadores encontraron esos mismos artefactos asociados a otras identidades que anunciaban material clasificado.

El punto de partida útil fue un identificador de contacto que reapareció en un anuncio de ModernStealer donde se ofrecía una supuesta base de datos de la Autoridad Reguladora Nuclear de Pakistán (PNRA). El mismo identificador de Telegram fue utilizado por la identidad PriorOps en una publicación que afirmaba ofrecer una base de datos con personal del Ejército Popular de Liberación.

Recomendaciones para organizaciones gubernamentales y de defensa

• Revisar los accesos remotos y su configuración.
• Aplicar autenticación multifactor resistente al phishing.
• Eliminar las cuentas inactivas o sin uso.
• Vigilar los inicios de sesión anómalos.

Indicadores de compromiso (IoC)

Los enlaces aparecen desactivados (defanged) y parcialmente redactados, tal como en la fuente original.

Cuentas y canales de Telegram

• Nombre de usuario @S**********n — contacto vinculado a la identidad Sassoon Don (redactado en la fuente)
• ID de usuario 7605334264 — identificador inmutable asociado a la cuenta de Sassoon Don
• ID de usuario 1628612534 — cuenta distinta que posteriormente usó el nombre ModernStealer
• ID de canal 3990978039 — canal asociado a la cuenta de Sassoon Don
• ID de canal 3646663287 — canal asociado a la cuenta de Sassoon Don
• ID de canal 3542147875 — canal asociado a la cuenta de Sassoon Don
• https://t.me/Hexvi********ach — canal donde apareció el contacto de Session compartido

Anuncios en foros

• https://darkforums.**/Thread****PK-TUR-PAK-DEFENSE-DRONE-DEAL — publicación en DarkForums sobre un presunto acuerdo de drones de defensa entre Turquía y Pakistán
• https://darkforums.**/Thr*****PK-Nuclear-Regulatory-Authority-PNRA-DATABASE — publicación en DarkForums que reclama una base de datos de la PNRA
• https://breached.**/threads/pakistan-military-procurement****99/ — hilo en el foro Breached asociado a la identidad Zu1f1q4r
• https://breached.**/threads/intelligence-bureau-pakistan****1/ — hilo en Breached que reclama material del Intelligence Bureau de Pakistán
• https://breached.**/threads/pakistan-fia-documents******0/ — hilo en Breached que reclama documentos de la Agencia Federal de Investigación (FIA) de Pakistán
• https://breached.*****/showt*************669 — hilo en Breached.live asociado a la identidad PriorOps

Consultar publicación original ↗