Operação Escaneo: grupo MexicanMafia usa táticas de APT contra instituições mexicanas

A Operação Escaneo não é só mais um ataque de ransomware ou vazamento esporádico. É um modelo operacional completo, com ciclo fechado de reconhecimento, exploração, movimentação, persistência e exfiltração, tudo mapeado em artefatos reais de um servidor de staging exposto. O Kimera não é um script amador: ele orquestra dnsx, naabu e httpx em paralelo, remove limites de file descriptors e integra Nuclei e Dalfox sem intervenção humana. Isso significa que o grupo automatiza fases inteiras do kill chain antes mesmo de tentar uma única exploração.

O uso de GRE em roteadores Cisco como camada de persistência é crítico: não é só um túnel reverso. É uma mudança de topologia de rede invisível a EDRs, firewalls e sistemas de detecção baseados em host. Enquanto as equipes de segurança monitoram processos suspeitos no Windows ou logs de webshell, o tráfego já está fluindo por uma interface virtual dentro do próprio equipamento de rede, como se fosse tráfego legítimo de gerência. E isso não é teórico: foram encontrados scripts de configuração GRE específicos para IOS-XE, com fallback automático para túneis Chisel quando o GRE falha.

Em junho de 2026, a CloudSEK confirmou o que até então eram indícios fragmentados: a mexicanMafia evoluiu de um coletivo de vendedores de dados em fóruns para um grupo com capacidade de desenvolvimento contínuo de ferramentas (Kimera V2), infraestrutura C2 redundante (Neo-reGeorg + GRE + Chisel) e disciplina operacional de longa duração, como demonstrado nos 13 dias com 3.708 sessões Chisel registradas. Antes, os ataques eram divulgados como golpes pontuais (ex: Oaxaca, SAT). Agora, há evidência concreta de ciclo operacional fechado, com testes de Zerologon, PwnKit e exploração de SAP/Oracle para execução direta, algo ausente nas primeiras divulgações de 2024.

Esse é o primeiro caso documentado na América Latina em que um ator criminoso aplica técnicas de APT estatal (como túneis GRE em hardware de rede) com escopo exclusivamente financeiro, sem discurso político ou espionagem estratégica. O impacto prático é imediato: equipes de SOC precisam repensar detecção. Não basta procurar por webshells PHP; é preciso inspecionar tráfego GRE em portas 47 e 1723 em roteadores Cisco, validar assinaturas de firmware modificado e cruzar logs de N-able RMM com acessos a dispositivos de rede via SSH. Além disso, o aumento de 78% em incidentes de ransomware na região em 2025 mostra que essa profissionalização não é isolada: é um padrão emergente, impulsionado por 'narco digital' e serviços cibernéticos terceirizados.