Flujo rápido: El viejo truco que sigue impulsando los ciberataques modernos

Los ciberdelincuentes no siempre necesitan nuevas técnicas. A veces, simplemente encuentran nuevas formas de usar las antiguas. Durante casi dos décadas, el "flujo rápido" ayudó a los atacantes a mantener en línea los sitios de phishing, la infraestructura de malware y los sistemas de mando y control. En lugar de vincular un dominio malicioso a un único servidor fijo, los atacantes enrutan el tráfico a través de un conjunto de dispositivos comprometidos en constante cambio.

Estos pueden incluir un router en tu casa, una pasarela de oficina, un módem, una computadora u otro dispositivo conectado a Internet cuyo propietario puede no saber que fue infectado. Cada dispositivo actúa brevemente como un relé, reenviando el tráfico a la infraestructura real del atacante antes de que otro dispositivo ocupe su lugar. Si los defensores bloquean una dirección, el dominio simplemente apunta a otro sitio.

La infraestructura de flujo rápido sigue mover, dificultando su rastreo, bloqueo y desactivación.

El flujo rápido se está manifestando en los ciberataques actuales

En junio de 2026, investigadores informaron de que el Silent Ransom Group empleaba una red de flujo rápido para ocultar infraestructuras que apoyaban sus ataques en los sectores legal, financiero y de servicios profesionales.

Los nodos estaban repartidos en 18 países y 22 proveedores de servicios de Internet. Rotaron los registros DNS de dos dominios vinculados al grupo, haciendo que los sistemas detrás de esos dominios fueran más difíciles de localizar y bloquear.

El grupo, también conocido como Luna Moth, Chatty Spider y UNC3753, obtiene acceso mediante ingeniería social. Los atacantes se hacen pasar por personal de TI, llaman a empleados, inician sesiones de compartición de pantalla o instalan herramientas de acceso remoto.

El El FBI también advirtió que los miembros del grupo pueden entrar en oficinas y usar dispositivos de almacenamiento para robar datos o instalar malware. Una vez dentro de la red, el grupo se mueve lateralmente, roba datos sensibles y amenaza con publicarlos.

Construido para resistir derribos

En abril de 2025, la NSA, la CISA, el FBI y socios internacionales advirtieron que el flujo rápido suponía una grave amenaza para la seguridad nacional. Grupos criminales y respaldados por el Estado la emplean para ocultar los sistemas tras phishing, malware, espionaje y actividades de mando y control.

Los proveedores de alojamiento a prueba de balas también venden infraestructura a ciberdelincuentes e ignoran los intentos de cerrarla. Fast Flux los ayuda a mantener los servicios maliciosos en línea al mover el tráfico a través de una red de sistemas en constante cambio.

Mantener vivos los ciberataques

El flujo rápido perduró porque resuelve un problema básico del atacante: cómo mantener conectado cuando los defensores empiezan a bloquear tu infraestructura.

"Es una capa de resiliencia", dijo Rachna Srivastava, directora senior de marketing de producto en Illumio. "Es un ataque de cola larga que seguirá llamando hogar meses después."

Esa resiliencia hizo que el flujo rápido sea útil en phishing, malware, ransomware, infraestructura de ciberdelincuencia y espionaje vinculado al Estado.

Rápido cambio a lo largo de los años

• 2007 — Rock Phish
  Rock Phish se dirigió a clientes bancarios con sitios web falsos. Los sitios robaron los datos de acceso. Fast Flux los movió entre computadoras infectadas, lo que los ayudó a mantener en línea.

• 2007–2008 — Gusano de la Tormenta
  Storm Worm se propagó a través de emails spam con titulares de noticias falsas y tarjetas de felicitación. Los enlaces instalaron malware que atrajo a las víctimas a uno de los botnets más grandes de su época. Fast Flux rotaba las direcciones IP de los sitios más rápido de lo que las listas de bloqueo podían seguir.

• 2009–2016 — Avalancha
  Avalanche apoyó malware, phishing, spam y robos bancarios en más de 180 países. El flujo rápido ocultaba la red tras sistemas cambiantes. Su cierre involucró a 30 países y más de 800.000 dominios.

• 2020–2022 — Nefilim
  Nefilim se dirigió a grandes compañías. Robaba datos, bloqueaba archivos y exigía el pago. El flujo rápido ayudó a ocultar los sistemas detrás de los ataques.

• 2021–2022 — Hive
  Hive alcanzó a más de 1.500 víctimas en más de 80 países. Los objetivos incluían hospitales, escuelas, bancos e infraestructuras críticas. El flujo rápido ayudó a mantener partes de su red ocultas.

• 2022-2023 — Gamaredon
  Gamaredon empleó spearphishing y malware para atacar organizaciones ucranianas, mientras que el DNS rápido ayudó a ocultar y proteger su infraestructura de mando y control rotando rápidamente direcciones IP.

• 2024 — Red Criminal Sin Atribución
  Los investigadores encontraron 193 dominios vinculados a 2.960 direcciones IP. La red soportaba malware, sitios web dañinos y tráfico de comandos y control.

• 2025 — Actores criminales y vinculados al Estado
  Estados Unidos y agencias aliadas advirtieron que grupos criminales y respaldados por el Estado estaban empleando el flujo rápido. Ayudó a ocultar sistemas de phishing, malware, espionaje y de mando y control.

• 2026 — Grupo Silencioso de Rescate
  Silent Ransom Group se dirigió a despachos y compañías de abogados en finanzas, sanidad, seguros y hotelería. Los atacantes se hicieron pasar por personal de TI, robaron datos y exigieron el pago. El flujo rápido ocultaba los sistemas detrás de los ataques.

Cómo detectar el flujo rápido

El flujo rápido es difícil de detener porque la infraestructura sigue cambiando. Cada dirección IP puede parecer un evento nuevo, pero la verdadera amenaza es el patrón detrás de esos cambios.

Srivastava advirtió que los defensores no pueden investigar ese patrón a mano.

"Si empiezas a hacer esto manualmente, te superarán en carrera", dijo.

Existen varios signos que pueden revelar una actividad rápida de flujo:

• Valores de tiempo para vivir del DNS muy cortos
• Peticiones repetidas al mismo dominio
• Un conjunto creciente de direcciones IP no relacionadas
• Amplia distribución geográfica
•  Cambios frecuentes de servidor de nombres
• Comportamiento incompatible de proxy o certificado

Ninguna de estas señales resulta ser un flujo rápido por sí sola. Pero juntos, pueden demostrar que un dominio se comporta de una manera que no encaja con los patrones típicos de tráfico.

Por qué importa la visibilidad

Los equipos de seguridad deben conectar la actividad DNS con los flujos de red, los puntos finales, los procesos y las cargas de trabajo. Necesitan saber qué proceso aplicar el dominio, qué direcciones IP se devolvieron, qué sistema abrió la conexión y si ese tráfico encaja con el mapa normal de dependencias de la carga de trabajo.

Sin ese contexto, los equipos se quedan persiguiendo indicadores de corta duración. Con él, pueden ver qué carga de trabajo se comunica con infraestructura sospechosa y qué puede alcanzar esa carga a continuación.

Una vez que un sistema está comprometido, la técnica puede ayudar al atacante a seguir llamando a casa, robar datos, distribuir malware o buscar a otra víctima. También puede mezclar con el tráfico de navegación normal, permitiendo que la conexión permanezca activa mucho después de la primera intrusión.

Cómo la segmentación lo detiene

La segmentación no impide que un dominio malicioso rote entre direcciones IP externas. Contiene el riesgo dentro del entorno. Los equipos pueden aislar una carga de trabajo afectada, restringir el tráfico este-oeste y bloquear caminos que no tienen ningún propósito empresarial.

También pueden proteger activos críticos como controladores de dominio, planos de gestión, aplicaciones reguladas y otros sistemas sensibles. Un endpoint infectado no debería tener una ruta abierta hacia esos recursos.

Los equipos pueden usar reglas de licencia granulares, políticas de denegación por defecto y cuarentena rápida para controlar el radio de la explosión. Luego pueden usar el mapa de dependencias para ajustar la política en torno a las cargas de trabajo más importantes primero.

El objetivo no es predecir cada dirección IP que el atacante usará a continuación. Es para cerciorar de que un sistema comprometido no pueda convertir una conexión en acceso más amplio.

Como dijo Srivastava: "La segmentación controlará independientemente de lo que vaya a hacer esa infraestructura C2 de flujo rápido a continuación."

El flujo rápido mantiene a los atacantes conectados. Illumio evita que se extiendan.

Programa una demostración de contención de brechas para ver cómo Illumio ofrece a los equipos de seguridad visibilidad para detectar comportamientos sospechosos de carga de trabajo y segmentación para detener movimientos laterales antes de que se conviertan en una brecha.