INSPECTING ARCHIVED INTELLIGENCE (OUTDATED VERSION).

Indra investigates ransomware attack on one of its subsidiaries

| 2026-06-19 08:18 HIGH HIGH RANSOMWARE & EXTORTION
JSON
Executive Summary
AI-generated
Indra has initiated an investigation to determine the origin and scope of a detected cyberattack at one of its subsidiaries. The Spanish technology company confirmed the presence of ransomware in one of its environments, although it assured that the incident had limited impact and did not spread to the rest of the group's companies. The case came to light after Hackmanac cybersecurity firm reported on social media X that the group The Gentlemen claimed to have compromised Indra's systems.
Technical Mitigations AI-generated
• Apply the vendor fix for CVE-2026-33825 and treat internet-facing systems that were not patched in time as potentially compromised until verified. • Audit (ATT&CK mitigation for Phishing): Perform audits or scans of systems, permissions, insecure software, insecure configurations, etc.
Intelligence Metadata
Actors / Malware / CVEs / Campaigns
CVE-2026-33825CVE-2026-33825
Target & Sectors
LA
Incident Timeline
‎2026/06/19
Threat actors used BlueHammer to target Windows systems.
organisation creada
La actuación forma parte de Operation Endgame , una iniciativa internacional creada para combatir las redes que facilitan ataques de ransomware y otras formas de ciberdelincuencia.
organisation Después de la infección
Después de la infección, los atacantes pueden robar información, conseguir credenciales, desplazarse por una red empresarial o instalar ransomware.
organisation los atacantes
Después de la infección, los atacantes pueden robar información, conseguir credenciales, desplazarse por una red empresarial o instalar ransomware.
organisation un grupo de ciberdelincuentes
Las autoridades relacionan esta red con Evil Corp , un grupo de ciberdelincuentes conocido por utilizar otros programas maliciosos, como Zeus y Dridex, y por participar en campañas de ransomware y blanqueo de dinero.
organisation campañas de ransomware
Las autoridades relacionan esta red con Evil Corp , un grupo de ciberdelincuentes conocido por utilizar otros programas maliciosos, como Zeus y Dridex, y por participar en campañas de ransomware y blanqueo de dinero.
infrastructure Windows
BlueHammer ya se utiliza en ciberataques de ransomware contra sistemas Windows.
Aunque el parche está disponible desde hace meses, la confirmación de su uso por parte de operadores de ransomware aumenta la urgencia de actualizar los dispositivos Windows que todavía sigan expuestos.
Un usuario con permisos limitados podría acceder a recursos reservados y terminar ejecutando procesos con privilegios SYSTEM, el nivel más alto disponible en Windows.
El analista de vulnerabilidades Will Dormann explicó que el fallo permite acceder a la base de datos Security Account Manager, conocida como SAM, donde Windows almacena los hashes de las contraseñas de las cuentas locales.
organisation BlueHammer
BlueHammer ya se utiliza en ciberataques de ransomware contra sistemas Windows.
organisation ciberataques de ransomware contra sistemas
BlueHammer ya se utiliza en ciberataques de ransomware contra sistemas Windows.
organisation un
Los grupos de ransomware han comenzado a explotar activamente BlueHammer para ciberataques, una vulnerabilidad de escalada de privilegios en Microsoft Defender que permite a un atacante con acceso local elevar sus permisos hasta alcanzar el nivel SYSTEM y tomar el control
Cuando una persona entraba en una de estas webs, podía aparecer un aviso que indicaba que su navegador necesitaba una actualización urgente.
organisation una vulnerabilidad de escalada de privilegios
Los grupos de ransomware han comenzado a explotar activamente BlueHammer para ciberataques, una vulnerabilidad de escalada de privilegios en Microsoft Defender que permite a un atacante con acceso local elevar sus permisos hasta alcanzar el nivel SYSTEM y tomar el control
organisation Microsoft Defender
Los grupos de ransomware han comenzado a explotar activamente BlueHammer para ciberataques, una vulnerabilidad de escalada de privilegios en Microsoft Defender que permite a un atacante con acceso local elevar sus permisos hasta alcanzar el nivel SYSTEM y tomar el control
organisation el control
Los grupos de ransomware han comenzado a explotar activamente BlueHammer para ciberataques, una vulnerabilidad de escalada de privilegios en Microsoft Defender que permite a un atacante con acceso local elevar sus permisos hasta alcanzar el nivel SYSTEM y tomar el control
organisation Aunque el
Aunque el parche está disponible desde hace meses, la confirmación de su uso por parte de operadores de ransomware aumenta la urgencia de actualizar los dispositivos Windows que todavía sigan expuestos.
organisation de operadores de ransomware
Aunque el parche está disponible desde hace meses, la confirmación de su uso por parte de operadores de ransomware aumenta la urgencia de actualizar los dispositivos Windows que todavía sigan expuestos.
organisation urgencia de actualizar los
Aunque el parche está disponible desde hace meses, la confirmación de su uso por parte de operadores de ransomware aumenta la urgencia de actualizar los dispositivos Windows que todavía sigan expuestos.
organisation Las vulnerabilidades de escalada de privilegios
De vulnerabilidad local a herramienta para el ransomware Las vulnerabilidades de escalada de privilegios son especialmente útiles en las operaciones de ransomware.
organisation las operaciones de ransomware
De vulnerabilidad local a herramienta para el ransomware Las vulnerabilidades de escalada de privilegios son especialmente útiles en las operaciones de ransomware.
organisation la primera cuenta comprometida
En muchos casos, la primera cuenta comprometida no dispone de permisos suficientes para desactivar herramientas de seguridad, acceder a datos sensibles o desplegar el ransomware en toda la red.
organisation el malware
Una operación internacional limpia casi 15.000 webs infectadas con el malware SocGholish.
organisation la red de
utilizados para mantener activa la red de SocGholish.
organisation el apoyo de Europol
En esta operación participaron organismos de Países Bajos, Canadá, Estados Unidos y Alemania, con el apoyo de Europol y Eurojust.
organisation Eurojust
En esta operación participaron organismos de Países Bajos, Canadá, Estados Unidos y Alemania, con el apoyo de Europol y Eurojust.
organisation falsas actualizaciones de programas
Su funcionamiento se basa en engañar a los usuarios con falsas actualizaciones de programas o navegadores.
organisation Los
Ad Falsas actualizaciones para infectar ordenadores Los atacantes comprometían páginas web legítimas, muchas de ellas creadas con WordPress.
organisation WordPress
Ad Falsas actualizaciones para infectar ordenadores Los atacantes comprometían páginas web legítimas, muchas de ellas creadas con WordPress.
organisation El mensaje parecía real
El mensaje parecía real, pero el archivo descargado contenía malware.
organisation instalaciones sin actualizar
Los ciberdelincuentes accedían a las webs mediante contraseñas débiles, credenciales robadas o instalaciones sin actualizar.
organisation el riesgo de nuevos
Las autoridades señalaron además que se habían filtrado credenciales relacionadas con alrededor de 1,4 millones de páginas web , lo que aumenta el riesgo de nuevos accesos no autorizados.
organisation Microsoft
Microsoft corrigió CVE-2026-33825 el 14 de abril.
organisation fue corregida
La vulnerabilidad había sido explotada previamente como día cero y fue corregida por Microsoft el pasado 14 de abril dentro de sus actualizaciones de seguridad mensuales.
organisation Microsoft el
La vulnerabilidad había sido explotada previamente como día cero y fue corregida por Microsoft el pasado 14 de abril dentro de sus actualizaciones de seguridad mensuales.
organisation las puertas traseras
Durante la operación, los expertos eliminaron el malware y las puertas traseras encontradas en las webs afectadas.
organisation el ordenador de la víctima
Su función principal es entrar en el ordenador de la víctima y facilitar la instalación de otros programas maliciosos.
organisation un pago
Este último tipo de malware cifra los archivos de una organización y exige un pago para recuperarlos.
organisation La operación permitió retirar
Más de cien servidores y dominios desactivados La operación permitió retirar 106 servidores y dominios
organisation el malware siga
Al desactivar estos sistemas, las autoridades dificultan que el malware siga comunicándose con los atacantes y reciba nuevas instrucciones.
organisation Sin
Sin embargo, este tipo de amenazas puede volver a aparecer con nuevos dominios y servidores.
Sin embargo, una vez dentro, la vulnerabilidad puede ser decisiva para avanzar en el ataque.
organisation una vez dentro
Sin embargo, una vez dentro, la vulnerabilidad puede ser decisiva para avanzar en el ataque.
organisation Cómo
Cómo proteger una web de WordPress Los propietarios de páginas web deben cambiar las contraseñas de acceso, activar la autenticación de dos factores y eliminar las cuentas de administrador que no reconozcan.
organisation las cuentas de administrador que
Cómo proteger una web de WordPress Los propietarios de páginas web deben cambiar las contraseñas de acceso, activar la autenticación de dos factores y eliminar las cuentas de administrador que no reconozcan.
organisation También
También es importante mantener actualizados WordPress, los temas y los complementos instalados.
organisation los complementos
También es importante mantener actualizados WordPress, los temas y los complementos instalados.
organisation SYSTEM
Un usuario con permisos limitados podría acceder a recursos reservados y terminar ejecutando procesos con privilegios SYSTEM, el nivel más alto disponible en Windows.
organisation el nivel más alto
Un usuario con permisos limitados podría acceder a recursos reservados y terminar ejecutando procesos con privilegios SYSTEM, el nivel más alto disponible en Windows.
organisation El analista de vulnerabilidades
El analista de vulnerabilidades Will Dormann explicó que el fallo permite acceder a la base de datos Security Account Manager, conocida como SAM, donde Windows almacena los hashes de las contraseñas de las cuentas locales.
organisation el fallo permite
El analista de vulnerabilidades Will Dormann explicó que el fallo permite acceder a la base de datos Security Account Manager, conocida como SAM, donde Windows almacena los hashes de las contraseñas de las cuentas locales.
organisation SAM
El analista de vulnerabilidades Will Dormann explicó que el fallo permite acceder a la base de datos Security Account Manager, conocida como SAM, donde Windows almacena los hashes de las contraseñas de las cuentas locales.
organisation la gestión de permisos permite
Según la descripción de Microsoft, una granularidad insuficiente en la gestión de permisos permite que un atacante autorizado localmente eleve sus privilegios dentro del sistema.
organisation Esto
Esto significa que el fallo no permite comprometer un equipo directamente desde internet.
organisation El
El acceso a esta información puede facilitar el robo de credenciales, el movimiento lateral hacia otros sistemas y la consolidación del control sobre el dispositivo.
organisation el robo de credenciales
El acceso a esta información puede facilitar el robo de credenciales, el movimiento lateral hacia otros sistemas y la consolidación del control sobre el dispositivo.
organisation el movimiento
El acceso a esta información puede facilitar el robo de credenciales, el movimiento lateral hacia otros sistemas y la consolidación del control sobre el dispositivo.
organisation los atacantes podrían
Tras elevar sus privilegios, los atacantes podrían manipular defensas, extraer credenciales, crear nuevas cuentas administrativas, desactivar servicios y ejecutar el cifrado con mayores garantías de éxito.
organisation extraer
Tras elevar sus privilegios, los atacantes podrían manipular defensas, extraer credenciales, crear nuevas cuentas administrativas, desactivar servicios y ejecutar el cifrado con mayores garantías de éxito.
organisation el cifrado
Tras elevar sus privilegios, los atacantes podrían manipular defensas, extraer credenciales, crear nuevas cuentas administrativas, desactivar servicios y ejecutar el cifrado con mayores garantías de éxito.
organisation la cadena de ataque
Este tipo de vulnerabilidad no suele constituir por sí sola toda la cadena de ataque, pero puede convertirse en una pieza fundamental para transformar una intrusión limitada en un compromiso completo.
organisation El exploit
El exploit se filtró antes del parche BlueHammer fue divulgada a comienzos de abril por un investigador conocido como “Nightmare Eclipse”, quien publicó además un código de prueba de concepto.
organisation un código de prueba de concepto
El exploit se filtró antes del parche BlueHammer fue divulgada a comienzos de abril por un investigador conocido como “Nightmare Eclipse”, quien publicó además un código de prueba de concepto.
organisation los procesos de comunicación de vulnerabilidades
Centro de Respuesta de Seguridad de Microsoft gestionaba los procesos de comunicación de vulnerabilidades.
organisation una corrección aumentó
La publicación del exploit antes de que la mayoría de los usuarios pudiera aplicar una corrección aumentó considerablemente el riesgo.
organisation el riesgo
La publicación del exploit antes de que la mayoría de los usuarios pudiera aplicar una corrección aumentó considerablemente el riesgo.
organisation parte de los operadores
Los ataques observados mostraban actividad manual directa por parte de los operadores, lo que sugiere que la vulnerabilidad estaba siendo utilizada dentro de intrusiones dirigidas y no únicamente mediante herramientas automatizadas.
organisation siendo
Los ataques observados mostraban actividad manual directa por parte de los operadores, lo que sugiere que la vulnerabilidad estaba siendo utilizada dentro de intrusiones dirigidas y no únicamente mediante herramientas automatizadas.
organisation dentro de intrusiones dirigidas
Los ataques observados mostraban actividad manual directa por parte de los operadores, lo que sugiere que la vulnerabilidad estaba siendo utilizada dentro de intrusiones dirigidas y no únicamente mediante herramientas automatizadas.
organisation El código de prueba podía
El código de prueba podía servir a otros investigadores para estudiar el fallo, pero también proporcionaba a los atacantes una base para desarrollar herramientas operativas.
organisation el fallo
El código de prueba podía servir a otros investigadores para estudiar el fallo, pero también proporcionaba a los atacantes una base para desarrollar herramientas operativas.
organisation apuntaban
Sin embargo, pocos días después, investigadores de Huntress Labs informaron de señales que apuntaban a su explotación como vulnerabilidad de día cero antes de la llegada del parche.
Tactical Metrics
Metrics
infrastructure
‎Windows
Affected Product
BlueHammer ya se utiliza en ciberataques de ransomware contra sistemas Windows.
Aunque el parche está disponible desde hace meses, la confirmación de su uso por parte de operadores de ransomware aumenta la urgencia de actualizar los dispositivos Windows que todavía sigan expuestos.
Un usuario con permisos limitados podría acceder a recursos reservados y terminar ejecutando procesos con privilegios SYSTEM, el nivel más alto disponible en Windows.
El analista de vulnerabilidades Will Dormann explicó que el fallo permite acceder a la base de datos Security Account Manager, conocida como SAM, donde Windows almacena los hashes de las contraseñas de las cuentas locales.
Intelligence Sources
Bit Life Media 2026-06-19
Bit Life Media 2026-07-01
Bit Life Media 2026-07-01