Cisco Talos describe una operación de robo automatizado de credenciales a gran escala atribuida al grupo UAT-10608. La campaña se apoya en un framework llamado NEXUS Listener, diseñado para extraer y exfiltrar de forma sistemática credenciales obtenidas desde distintas aplicaciones web.
El alcance del caso es especialmente relevante: la investigación documenta al menos 766 hosts comprometidos en múltiples regiones y proveedores de nube. Entre los datos expuestos figuran credenciales de bases de datos, claves SSH, credenciales de AWS, historiales de comandos en shell, claves de API de Stripe y tokens de GitHub, además de más de 10.120 archivos recopilados.
Más que un incidente aislado, el reporte retrata una operación industrializada, con automatización suficiente para escalar el robo de secretos y reutilizarlos sobre infraestructuras conectadas a internet.