Una falla de seguridad de alta gravedad en el software de videoconferencia del cliente TrueConf ha sido explotada como un día cero como parte de una campaña dirigida a entidades gubernamentales en el sudeste asiático denominada Verdadero Caos.

La vulnerabilidad en cuestión es CVE-2026-3502 (Puntuación CVSS: 7,8), falta de verificación de integridad al recuperar el código de actualización de la aplicación, lo que permite a un atacante distribuir una actualización manipulada, lo que resulta en la ejecución de código arbitrario. Se ha parcheado en el cliente TrueConf de Windows a partir de versión 8.5.3lanzado a principios de este mes.

«La falla surge del abuso del mecanismo de validación del actualizador de TrueConf, lo que permite a un atacante que controla el servidor TrueConf local distribuir y ejecutar archivos arbitrarios en todos los puntos finales conectados», Check Point dicho en un informe publicado hoy.

En otras palabras, un atacante que logra hacerse con el control del servidor TrueConf local puede sustituir el paquete de actualización por una versión envenenada, que luego es extraída por la aplicación cliente instalada en los terminales de los clientes, debido al hecho de que no aplica una validación adecuada para garantizar que la actualización proporcionada por el servidor no haya sido manipulada.

Se ha descubierto que la campaña TrueChaos utiliza esta falla en el mecanismo de actualización como arma para probablemente implementar el marco de comando y control (C2) de código abierto Havoc en puntos finales vulnerables. La actividad se ha atribuido con moderada confianza a un actor de amenaza del nexo chino.

Los ataques que explotan la vulnerabilidad fueron registrados por primera vez por la empresa de ciberseguridad a principios de 2026, y la confianza implícita que el cliente deposita en el mecanismo de actualización se utilizó como arma para impulsar un instalador fraudulento que, a su vez, aprovecha la carga lateral de DLL para lanzar una puerta trasera de DLL.

También se ha observado que el implante DLL («7z-x64.dll») realiza acciones prácticas en el teclado para realizar reconocimiento, configurar la persistencia y recuperar cargas útiles adicionales («iscsiexe.dll») desde un servidor FTP («47.237.15).[.]197»). El objetivo principal de «iscsiexe.dll» es garantizar la ejecución de un binario benigno («poweriso.exe») que se coloca para cargar la puerta trasera.

Aunque no está claro cuál es el malware exacto de la etapa final entregado como parte del ataque, se evalúa con alta confianza que el objetivo final es implementar el implante Havoc.

Los vínculos de TrueChaos con un actor de amenazas del nexo chino se basan en las tácticas observadas, como el uso de carga lateral de DLL, Alibaba Cloud y Tencent para la infraestructura C2, y el hecho de que la misma víctima fue atacada en el mismo período de tiempo por ShadowPad, una sofisticada puerta trasera ampliamente utilizada por grupos de hackers vinculados a China.

Además de eso, el uso de Havoc se ha atribuido a otro actor de amenazas chino llamado Amaranth-Dragon en intrusiones dirigidas a agencias gubernamentales y policiales en todo el sudeste asiático en 2025.

«La explotación de CVE-2026-3502 no requirió que el atacante comprometiera cada punto final individualmente», dijo Check Point. «En cambio, el atacante abusó de la relación de confianza entre un servidor central TrueConf local y sus clientes. Al reemplazar una actualización legítima por una maliciosa, convirtieron el flujo de actualización normal del producto en un canal de distribución de malware a través de múltiples redes gubernamentales conectadas».

Tres grupos de actividades de amenazas alineados con China han apuntado a una organización gubernamental en el sudeste asiático como parte de lo que se ha descrito como una «operación compleja y con buenos recursos».

Las campañas han llevado a la implementación de varias familias de malware, incluidas HIUPAN (también conocido como USBFect, MISTCLOAK o U2DiskWatch), PUBLOAD, EggStremeFuel (también conocido como RawCookie), EggStremeLoader (también conocido como Gorem RAT), MASOL RAT, PoshRATTrackBak Stealer, RawCookie, Hypnosis Loader y FluffyGh0st.

El actividad se ha atribuido a los siguientes grupos:

• Junio ​​- agosto de 2025: Mustang Panda (también conocido como Stately Taurus).
• Marzo – septiembre de 2025: CL-STA-1048, que se superpone con grupos documentados públicamente bajo los apodos Earth Estries y Crimson Palace.
• Abril y agosto de 2025: CL-STA-1049, que se superpone con un grupo documentado públicamente conocido como Unfading Sea Haze.

Cronograma de actividades

«Estos grupos de actividades se superponen con campañas informadas públicamente destinadas a establecer un acceso persistente», dijeron los investigadores de la Unidad 42 de Palo Alto Networks, Doel Santos y Hiroaki Hara. dicho. «La superposición significativa de tácticas, técnicas y procedimientos (TTP) con campañas conocidas alineadas con China sugiere que los grupos y el grupo de amenaza tienen un objetivo de interés común, coordinando potencialmente sus esfuerzos».

Cadena de infección de CL-STA-1048 26m

La actividad de Mustang Panda, registrada entre el 1 de junio y el 15 de agosto de 2025, implicó el uso de un malware basado en USB conocido como HIUPAN para entregar la puerta trasera PUBLOAD mediante una DLL maliciosa con nombre en código Claimloader. El primer uso registrado de las fechas de Claimloader por parte del actor de amenazas volver a finales de 2022 en ataques contra organizaciones gubernamentales en Filipinas.

Un análisis adicional de la red de víctimas ha descubierto la implementación de COOLCLIENT, otra puerta trasera conocida atribuida a Mustang Panda durante más de tres años. Admite descarga/carga de archivos, grabación de pulsaciones de teclas, tunelización de paquetes y captura de información de mapas de puertos.

Las herramientas utilizadas por CL-STA-1048 varían ya que son ruidosas.

• EggStremeFuel, una puerta trasera liviana que está equipada para descargar/cargar archivos, enumerar archivos y directorios, iniciar o finalizar un shell inverso, enviar la dirección IP global actual y actualizar la configuración C2.
• EggStremeLoader, otro componente del marco de malware EggStreme lanzado por EggStremeFuel. Admite 59 comandos de puerta trasera para respaldar un robo de datos extenso. Esto incluye una variante que facilita la descarga/carga de archivos a través de Dropbox.
• MASOL RAT (también conocido como Backdr-NQ), un troyano de acceso remoto con funciones de descarga/carga de archivos y ejecución de comandos arbitrarios.
• TrackBak, un ladrón de información que recopila registros, datos del portapapeles, información de red y archivos de las unidades.

La actividad vinculada a CL-STA-1049, por otro lado, implica el uso de un novedoso cargador de DLL llamado Hypnosis Loader, que se inicia mediante carga lateral de DLL, para finalmente instalar FluffyGh0st RAT. El vector de acceso inicial exacto utilizado por CL-STA-1048 y CL-STA-1049 aún no está claro.

«La convergencia de estos grupos de actividades, todos los cuales muestran vínculos con actores conocidos alineados con China, apunta a un esfuerzo coordinado para lograr un objetivo estratégico común», dijo la Unidad 42. «La metodología de los atacantes indica que pretendían obtener acceso persistente y a largo plazo a redes gubernamentales sensibles, no sólo causar interrupciones».

Una supuesta operación de ciberespionaje con sede en China se ha dirigido a organizaciones militares del sudeste asiático como parte de una campaña patrocinada por el Estado que se remonta al menos a 2020.

La Unidad 42 de Palo Alto Networks está rastreando la actividad de amenazas bajo el apodo CL-STA-1087donde CL se refiere a grupo y STA significa motivación respaldada por el estado.

«La actividad demostró paciencia operativa estratégica y un enfoque en la recopilación de inteligencia muy específica, en lugar del robo masivo de datos», dijeron los investigadores de seguridad Lior Rochberger y Yoav Zemah. «Los atacantes detrás de este grupo buscaron y recopilaron activamente archivos muy específicos sobre capacidades militares, estructuras organizativas y esfuerzos de colaboración con las fuerzas armadas occidentales».

La campaña exhibe características comúnmente asociadas con operaciones avanzadas de amenazas persistentes (APT), incluidos métodos de entrega cuidadosamente diseñados, estrategias de evasión de defensa, infraestructura operativa altamente estable e implementación de carga útil personalizada diseñada para respaldar el acceso no autorizado sostenido a sistemas comprometidos.

Las herramientas utilizadas por el actor de amenazas en la actividad maliciosa incluyen puertas traseras llamadas AppleChris y MemFun, y un recolector de credenciales llamado Getpass.

El proveedor de ciberseguridad dijo que detectó la intrusión después de identificar una ejecución sospechosa de PowerShell, lo que permitió que el script entrara en estado de suspensión durante seis horas y luego creara shells inversos para un servidor de comando y control (C2) controlado por el actor de amenazas. Aún se desconoce el vector de acceso inicial exacto utilizado en el ataque.

La secuencia de infección implica la implementación de AppleChris, cuyas diferentes versiones se colocan en los puntos finales de destino luego del movimiento lateral para mantener la persistencia y evadir la detección basada en firmas. También se ha observado a los actores de amenazas realizando búsquedas relacionadas con actas de reuniones oficiales, actividades militares conjuntas y evaluaciones detalladas de las capacidades operativas.

«Los atacantes mostraron particular interés en archivos relacionados con estructuras y estrategias organizativas militares, incluidos sistemas de comando, control, comunicaciones, computadoras e inteligencia (C4I)», señalaron los investigadores.

Tanto las variantes de AppleChris como MemFun están diseñadas para acceder a una cuenta compartida de Pastebin, que actúa como un solucionador de caída muerta para recuperar la dirección C2 real almacenada en formato decodificado en Base64. Una versión de AppleChris también depende de Dropbox para extraer la información C2, con el enfoque basado en Pastebin utilizado como opción alternativa. Las pastas Pastebin datan de septiembre de 2020.

Lanzado a través de secuestro de DLLAppleChris inicia contacto con el servidor C2 para recibir comandos que le permiten realizar enumeraciones de unidades, listados de directorios, carga/descarga/eliminación de archivos, enumeración de procesos, ejecución remota de shell y creación silenciosa de procesos.

La segunda variante del tunelizador representa una evolución de su predecesor, utilizando solo Pastebin para obtener la dirección C2, además de introducir capacidades avanzadas de proxy de red.

«Para eludir los sistemas de seguridad automatizados, algunas de las variantes de malware emplean tácticas de evasión de espacio aislado en tiempo de ejecución», dijo la Unidad 42. «Estas variantes desencadenan una ejecución retrasada a través de temporizadores de suspensión de 30 segundos (EXE) y 120 segundos (DLL), lo que dura más que las típicas ventanas de monitoreo de los entornos aislados automatizados».

MemFun se inicia mediante una cadena de varias etapas: un cargador inicial inyecta un código shell responsable de iniciar un descargador en memoria, cuyo objetivo principal es recuperar los detalles de configuración de C2 de Pastebin, comunicarse con el servidor C2 y obtener una DLL que, a su vez, activa la ejecución de la puerta trasera.

Dado que la DLL se obtiene del C2 en tiempo de ejecución, les brinda a los actores de amenazas la capacidad de entregar fácilmente otras cargas útiles sin tener que cambiar nada. Este comportamiento transforma a MemFun en una plataforma de malware modular en lugar de una puerta trasera estática como AppleChris.

La ejecución de MemFun comienza con un cuentagotas que ejecuta comprobaciones antiforenses antes de alterar su propia marca de tiempo de creación de archivos para que coincida con la hora de creación del directorio del sistema de Windows. Posteriormente, inyecta la carga útil principal en la memoria de un proceso suspendido asociado con «dllhost.exe» utilizando una técnica denominada proceso de vaciado.

Al hacerlo, el malware se ejecuta bajo la apariencia de un proceso legítimo de Windows para pasar desapercibido y evitar dejar artefactos adicionales en el disco.

También se utiliza en los ataques una versión personalizada de Mimikatz conocida como Getpass que aumenta los privilegios e intenta extraer contraseñas de texto plano, hashes NTLM y datos de autenticación directamente desde la memoria del proceso «lsass.exe».

«El actor de amenazas detrás del clúster demostró paciencia operativa y conciencia de seguridad», concluyó la Unidad 42. «Mantuvieron el acceso inactivo durante meses mientras se concentraban en la recopilación de inteligencia de precisión e implementaban sólidas medidas de seguridad operativa para garantizar la longevidad de la campaña».

Meta dijo el miércoles que deshabilitó más de 150.000 cuentas asociadas con centros de estafa en el sudeste asiático como parte de un esfuerzo coordinado en asociación con autoridades de Tailandia, Estados Unidos, Reino Unido, Canadá, Corea, Japón, Singapur, Filipinas, Australia, Nueva Zelanda e Indonesia.

El esfuerzo también condujo a 21 arrestos realizados por la Policía Real Tailandesa, dijo la compañía. La acción se basa en una iniciativa piloto en diciembre de 2025 que resultó en que Meta eliminara 59.000 cuentas, páginas y grupos de sus plataformas y seis órdenes de arresto.

«Las estafas en línea se han vuelto significativamente más sofisticadas e industrializadas en los últimos años, con redes criminales a menudo basadas en el Sudeste Asiático en países como Camboya, Myanmar y Laos ejecutando lo que equivalen a operaciones comerciales a gran escala», Meta dicho en un comunicado. «Estas operaciones causan un daño real: alteran vidas, destruyen la confianza y están diseñadas deliberadamente para evitar la detección y la interrupción».

Al mismo tiempo, Meta dijo que es anunciando una serie de herramientas nuevas para proteger a las personas cuando se detectan señales de alerta relacionadas con estafas –

• Nuevas advertencias en Facebook cuando los usuarios reciben cuentas sospechosas.
• Alertar a los usuarios cuando reciben solicitudes sospechosas de vinculación de dispositivos de WhatsApp engañándolos para que escaneen un código QR que vincularía el dispositivo del estafador a su cuenta.
• Detección de estafas avanzada ampliada en Messenger que solicita a los usuarios que compartan mensajes de chat recientes para una revisión de estafas de IA cuando una conversación con un nuevo contacto muestra patrones de estafa comunes, como ofertas de trabajo sospechosas.

El gigante de las redes sociales dijo que eliminó más de 159 millones de anuncios fraudulentos por violar sus políticas en 2025, y que eliminó 10,9 millones de cuentas en Facebook e Instagram asociadas con centros de estafas criminales. Además, la compañía ha anunciado planes para ampliar la verificación de los anunciantes en un intento de reforzar la transparencia y limitar los esfuerzos de los malos actores para tergiversar la identidad de los anunciantes.

El desarrollo se produce cuando el gobierno del Reino Unido lanzó un nuevo Centro contra el crimen en línea para combatir el cibercrimen, incluidos aquellos impulsados ​​por el aumento de compuestos fraudulentos que operan en el sudeste asiático, África occidental, Europa del Este, India y China, reuniendo a especialistas del gobierno, la policía, agencias de inteligencia, bancos, redes móviles y grandes empresas de tecnología.

Se espera que la unidad de disrupción inicie operaciones el próximo mes. También describe planes para implementar inteligencia artificial (IA) para detectar patrones de fraude emergentes, detener más rápidamente transferencias bancarias sospechosas y utilizar «chatbots que buscan estafas» para engañar a los estafadores y recopilar inteligencia.

«Con el respaldo de más de £30 millones en fondos, el centro identificará las cuentas, sitios web y números de teléfono de los que dependen los grupos del crimen organizado y los cerrará a gran escala, bloqueando mensajes de texto fraudulentos, congelando cuentas criminales, eliminando cuentas fraudulentas de redes sociales e interrumpiendo las operaciones en origen», dijo el gobierno del Reino Unido. dicho.