Hunt.io vincula SpiceRAT, NodeEdgeRAT y NomadRAT a una misma campaña SilkParasite activa en Asia Central desde mediados de 2022. La firma de inteligencia de amenazas no ha diseccionado una sola muestra de código: ha cartografiado la red que las sostiene.
El trabajo del investigador Guy Yasur amplía y matiza el informe que Bitdefender publicó en agosto de 2026. Donde el fabricante veía siete familias de RAT en compartimentos separados, el análisis de red dibuja una operación única con funciones de soporte compartidas: los mismos dominios padre y los mismos certificados.
La cronología es lo que cambia el marco. En marzo de 2026, el módulo de infraestructura C2 de Hunt.io localizó cinco servidores SpiceRAT activos de forma simultánea, repartidos entre proveedores y países distintos: 46.30.191[.]230, 188.190.29[.]126, 193.29.59[.]159, 31.58.220[.]250 y 171.22.16[.]187. Cinco máquinas sin proveedor común, sin jurisdicción común y con una sola cosa en común.
Trece hosts que ningún análisis de muestra habría encontrado
Los cinco servidores compartían hostnames, certificados TLS y una página web clonada que actuaba como página por defecto. Ese detalle, aparentemente trivial, es la llave. Una consulta sobre el hash SHA-256 devolvió trece hosts.
Tres ya figuraban en la lista de SpiceRAT de Bitdefender. Dos más encajaban con la firma propia de Hunt.io. Los ocho restantes no aparecían en ningún catálogo, pero compartían versiones idénticas de nginx y la misma página estática.
Los indicadores que mejor envejecen no son los que ejecutan código: son los que se repiten byte a byte en trece servidores distintos.
La página es una réplica completa de la portada de RTX Corporation, con su navegación, sus enlaces a filiales y su cotización bursátil. Se sirvió desde ns2.asiainfo.it[.]com, alojado en 188.190.29[.]126.
No ejecutaba una sola línea maliciosa, y precisamente por eso sirve.
Hunt.io baraja dos explicaciones. La primera: la plantilla renderizaba limpia y alguien la capturó por comodidad. La segunda: forma parte de un kit de despliegue por defecto que el operador reutiliza sin pensar. Si es la segunda, estamos ante una cadena de montaje.
El certificado que suplanta el ferrocarril de Uzbekistán
Hay un certificado que destaca sobre el resto. Se emitió para azure.uzrailwaystax[.]com, un dominio que suplanta al operador ferroviario estatal uzbeko, y lo firmó una autoridad financiada por el instituto estatal chino CAICT, dependiente del Ministerio de Industria y Tecnología de la Información.
El emisor, por sí solo, no es un indicador: casi 3.000 servidores alojan certificados de TLC. Lo relevante es la combinación. Un certificado de validación de dominio que suplanta a una entidad estatal de Asia Central y se emite desde una autoridad con sede en China apunta a un canal de aprovisionamiento deliberado.
El mismo certificado aparecía en help.hoster-kg[.]com, alojado en 193.29.58[.]192. Bitdefender atribuía evo.hoster-kg[.]com a NodeEdgeRAT. No comparten servidor, pero sí el registro del dominio padre. Algo parecido ocurre con kg.tdtu[.]org, que comparte dominio padre con mineconom.tdtu[.]org, un indicador C2 de NomadRAT en el informe original.
Los dominios del clúster no se limitan a parecer gubernamentales: suplantan ministerios y empresas estatales concretas. help.galkynysh[.]net imita el campo gasístico de Galkynysh, en Turkmenistán; tmgaz-server[.]com imita Türkmengaz; tm-mfa[.]com imita al Ministerio de Asuntos Exteriores turcomano; tojiktelecomtj[.]com imita a Tojiktelecom, en Tayikistán; sanly.oilgas-tm[.]com, al sector energético turcomano; azure.adm-devom[.]com, a la administración uzbeka; y data.yntymak-ordo[.]com, nada menos que a la residencia del presidente kirguís.
La enumeración de subdominios y el DNS pasivo retrasan el rastro hasta mediados de 2022, con cinco países afectados. Cuatro años de huella y cinco países en el punto de mira.
SilkParasite es, en realidad, una etiqueta reciente para una operación vieja.
Dossier Moncloa: Ojos en la Sombra
El vector es una campaña de ciberespionaje estatal sostenida en el tiempo: siete familias de RAT, infraestructura alquilada en múltiples jurisdicciones y una capa de suplantación de identidades institucionales centroasiáticas. No hay ransomware, no hay destrucción. Hay acceso persistente y silencioso a redes gubernamentales, energéticas y de telecomunicaciones.
La atribución es lo delicado. Hunt.io no nombra un servicio. Señala solapamientos con FamousSparrow, actor de presunto nexo chino ya visto contra hoteles, gobiernos y organizaciones internacionales, y con IndigoZebra (Speccom), documentado por Check Point en 2021 atacando ministerios de Asia Central con convenciones de nombres casi calcadas. La coincidencia de estilo refuerza la hipótesis; no la demuestra.
Quien ataca: un actor de ciberespionaje con nexo chino probable, sin atribución oficial a ningún servicio concreto. Quien defiende: ministerios, operadores energéticos, ferroviarios y de telecomunicaciones de Kazajistán, Uzbekistán, Turkmenistán, Tayikistán y Kirguistán. Quien mira: los Five Eyes, que llevan años siguiendo el rastro centroasiático, y, más cerca de casa, el CNI y el CCN-CERT, obligados a incorporar estos indicadores a sus catálogos de detección aunque el objetivo esté a siete mil kilómetros.
A juzgar por la naturaleza del material comprometido —cartografía de redes gubernamentales y de operadores críticos—, estimo un nivel de clasificación mínimo de Confidencial y, con toda probabilidad, Reservado en el caso de los ministerios de Asuntos Exteriores y de las empresas energéticas suplantadas.
El precedente que más se parece no es Stuxnet ni siquiera SolarWinds. Es la vieja escuela de Operación Aurora: intrusión paciente, años de permanencia, cero prisa. Lo escribí hace años en El quinto elemento y lo mantengo: el próximo gran golpe no se anunciará con una explosión, sino con una sesión que nadie recuerda haber autorizado. El problema no es que un Estado tenga esa capacidad; es que puede ejercerla cuatro años sin que nadie le ponga nombre.
El punto débil del análisis es el de siempre en ciberinteligencia: infraestructura compartida no equivale a operador único. Un mismo kit puede alquilarse, revenderse o caer en manos de terceros, y Hunt.io lo reconoce de forma explícita. Quien afirme que los trece hosts pertenecen a un solo equipo de operadores está yendo más lejos de lo que los datos permiten.
Lo accionable ahora es aburrido y urgente. Revisar el borde y la DMZ en busca del hash de RTX y del certificado que suplanta al ferrocarril uzbeko. Vigilar los puertos RDP sobre TLS altos —64350, 64330, 65535, y 65111— en los ASN donde se concentra el clúster. Y desconfiar de todo dominio que imite a un proveedor de hosting local o a una entidad estatal. El informe completo de Hunt.io, con las tablas de IoC y las consultas HuntSQL, permite reproducir los pivotes. Los equipos de OT, ICS, telecomunicaciones y redes gubernamentales de la región tienen deberes para las próximas semanas.
