Se ha observado una operación de recolección de credenciales a gran escala que explota la vulnerabilidad React2Shell como vector de infección inicial para robar credenciales de bases de datos, claves privadas SSH, secretos de Amazon Web Services (AWS), historial de comandos de shell, claves API de Stripe y tokens de GitHub a escala.

Cisco Talos ha atribuido la operación a un grupo de amenazas que rastrea como UAT-10608. Al menos 766 hosts que abarcan múltiples regiones geográficas y proveedores de nube se han visto comprometidos como parte de la actividad.

«Después del compromiso, UAT-10608 aprovecha scripts automatizados para extraer y filtrar credenciales de una variedad de aplicaciones, que luego se publican en su comando y control (C2)», los investigadores de seguridad Asheer Malhotra y Brandon White. dicho en un informe compartido con The Hacker News antes de su publicación.

«El C2 alberga una interfaz gráfica de usuario (GUI) basada en web titulada ‘NEXUS Listener’ que se puede utilizar para ver información robada y obtener conocimientos analíticos utilizando estadísticas precompiladas sobre las credenciales recopiladas y los hosts comprometidos».

Se considera que la campaña está dirigida a aplicaciones Next.js que son vulnerables a CVE-2025-55182 (puntuación CVSS: 10.0), una falla crítica en los componentes del servidor React y el enrutador de aplicaciones Next.js que podría resultar en la ejecución remota de código, para el acceso inicial, y luego eliminar el marco de recopilación de NEXUS Listener.

Esto se logra mediante un cuentagotas que procede a implementar un script de recolección de múltiples fases que recopila varios detalles del sistema comprometido:

• Variables ambientales
• Entorno analizado JSON desde el tiempo de ejecución JS
• Claves privadas SSH y claves_autorizadas
• Historial de comandos de Shell
• Tokens de cuenta de servicio de Kubernetes
• Configuraciones de contenedores Docker (contenedores en ejecución, sus imágenes, puertos expuestos, configuraciones de red, puntos de montaje y variables de entorno)
• Claves API
• Credenciales temporales asociadas a roles de IAM consultando el servicio de metadatos de instancia para AWS, Google Cloud y Microsoft Azure
• Procesos en ejecución

La compañía de ciberseguridad dijo que la amplitud del conjunto de víctimas y el patrón de focalización indiscriminada se alinean con el escaneo automatizado, probablemente aprovechando servicios como Shodan, Censys o escáneres personalizados, para identificar implementaciones de Next.js accesibles públicamente y probarlas para detectar la vulnerabilidad.

Un elemento central del marco es una aplicación web protegida con contraseña que pone todos los datos robados a disposición del operador a través de una interfaz gráfica de usuario que presenta capacidades de búsqueda para examinar la información.

«La aplicación contiene una lista de varias estadísticas, incluida la cantidad de hosts comprometidos y el número total de cada tipo de credencial que se extrajo con éxito de esos hosts», dijo Talos. «La aplicación web permite al usuario navegar a través de todos los hosts comprometidos. También enumera el tiempo de actividad de la propia aplicación».

La versión actual de NEXUS Listener es V3, lo que indica que la herramienta ha pasado por importantes iteraciones de desarrollo antes de llegar a la etapa actual.

Talos, que pudo obtener datos de una instancia de NEXUS Listener no autenticada, dijo que contenía claves API asociadas con Stripe, plataformas de inteligencia artificial (OpenAI, Anthropic y NVIDIA NIM), servicios de comunicación (SendGrid y Brevo), junto con tokens de bot de Telegram, secretos de webhook, tokens de GitHub y GitLab, cadenas de conexión de bases de datos y otros secretos de aplicaciones.

La extensa operación de recopilación de datos destaca cómo los delincuentes podrían utilizar el acceso a hosts comprometidos como arma para realizar ataques posteriores. Se recomienda a las organizaciones que auditen sus entornos para hacer cumplir el principio de privilegio mínimo, habilitar el escaneo secreto, evitar la reutilización de pares de claves SSH, implementar la aplicación de IMDSv2 en todas las instancias de AWS EC2 y rotar las credenciales si se sospecha que están comprometidas.

«Más allá del valor operativo inmediato de las credenciales individuales, el conjunto de datos agregado representa un mapa detallado de la infraestructura de las organizaciones víctimas: qué servicios ejecutan, cómo están configurados, qué proveedores de nube utilizan y qué integraciones de terceros existen», dijeron los investigadores.

«Esta inteligencia tiene un valor significativo para diseñar ataques de seguimiento dirigidos, campañas de ingeniería social o vender acceso a otros actores de amenazas».

Desenmascarar a los impostores es algo que el mundo del arte ha enfrentado durante décadas, y hay lecciones valiosas de las obras de Elmyr de Hory que pueden aplicarse al mundo de la ciberseguridad defensiva. Durante la década de 1960, De Hory ganó fama como falsificador de primer nivel, haciendo pasar obras maestras falsificadas de Picasso, Matisse y Renoir a coleccionistas desprevenidos y museos de renombre. Durante las siguientes décadas, más de mil de sus obras pasaron desapercibidas para los expertos que confiaban en firmas confiables, patrones familiares y procedencia acreditada.

No es diferente a los desafíos que enfrentan los SOC ahora. Estamos firmemente en la Era de la Imitación. Los ciberatacantes, equipados con inteligencia artificial, están dominando el arte de imitar lo familiar, haciéndose pasar por usuarios confiables y enmascarando su actividad dentro de procesos legítimos y tráfico de red ordinario. Como muestra la historia, a menudo es más fácil identificar a los impostores cuando sabes qué buscar.

Conclusiones clave para los defensores:

• El mimetismo es la nueva normalidad: El 81% de los ataques están libres de malware
• La IA agente ayuda a los atacantes a esconderse de manera más efectiva dentro del tráfico y comportamientos inocentes de la red.
• La defensa por capas ahora requiere más capas para extender la protección a través de las cadenas de suministro de software y las identidades federadas.
• NDR mejora la visibilidad para detectar y neutralizar «falsificaciones»

El auge del mimetismo en los ataques modernos

Así como De Hory reutilizó lienzos y pigmentos viejos para hacer que sus pinturas parecieran más auténticas, los atacantes emplean métodos similares en el ámbito digital, aprovechando herramientas y credenciales confiables para mezclar su actividad maliciosa. Y si bien las técnicas basadas en la imitación han sido durante mucho tiempo un elemento básico del manual del atacante, en los últimos años se han vuelto más sofisticadas. Los ataques Living-off-the-Land (LotL) y las herramientas de ataque mejoradas con IA han elevado el listón de la falsificación. Informe de amenazas globales 2026 de CrowdStrike afirma que el 81% de los ataques ahora están libres de malware y se basan en herramientas y técnicas legítimas, que es el sello distintivo de las tácticas de LotL. Detectar estas falsificaciones rápidamente no es sólo una opción: es una de las mejores posibilidades de interrumpir un ataque antes de que cause un daño real.

Una guía de campo para la falsificación de redes:

Actores agentes asistidos por IA

Autónomos o semiautónomos, generan identidades falsas, códigos e imitan comportamientos a escala.

de Hory contaba con una compleja red de apoyo para vender sus pinturas, en la que participaban marchantes de arte y otros representantes de muchos países y ciudades. Cuando algunos compradores potenciales empezaron a sospechar, empezó a vender sus obras bajo diversos seudónimos. Esto es similar a lo que está sucediendo ahora con el uso de agentes de IA económicos. Estos no sólo están acostumbrados a forjar identidades creíbles para realizar fraude, pero ahora se utilizan para producir explotar código para filtrar secretos y scripts para infectar puntos finales, formando la base de un ataque a mayor escala. Agentes sofisticados y de autoaprendizaje observan el comportamiento de la red y ajustan continuamente su propio tráfico, reflejando sus patrones para engañar las detecciones de anomalías. Cambian el tráfico C2 en ráfagas que coinciden con picos legítimos y manipulan sus señales lo suficiente para evitar destacarse. Y se están utilizando agentes legítimos como orquestadores de otras herramientas de explotación para automatizar y ampliar los ataques.

Impostores de la cadena de suministro y la nube

Componentes falsificados o comprometidos que se hacen pasar por software, actualizaciones o servicios en la nube confiables.

Los atacantes utilizan agentes de inteligencia artificial maliciosos para crear una capa de complejidad para las cadenas de suministro de software. Los agentes sustituyen software malicioso y disfrazan este código como otra actualización benigna, lo que hace que los orígenes del exploit y las causas fundamentales sean más difíciles de descubrir. Este tipo de exploits significa que los atacantes no necesitan engañar directamente a los defensores de la red o a los desarrolladores de software. esto es lo que Investigadores de Microsoft encontraron el gusano Shai Hulud v2. Los atacantes modificaron cientos de paquetes de software para proporcionar un ecosistema coordinado para recolectar credenciales de desarrollador y secretos de API, luego aumentaron su potencia propagándose a través de recursos compartidos de red internos confiables, todo mientras se hacían pasar por actualizaciones de software legítimas. Si bien los ataques a la cadena de suministro existen desde hace muchos años (piense en SolarWinds), los agentes de inteligencia artificial han hecho que su producción y distribución sean más rápidas.

El engaño basado en la nube también se ha acelerado. Durante años, los atacantes han utilizado páginas de inicio de sesión falsas y repositorios en la nube falsificados que imitan el diseño y la marca de servicios legítimos para engañar a los usuarios para que entreguen sus credenciales. Las herramientas impulsadas por IA tienen el potencial de intensificar la creación de estas falsificaciones convincentes, permitiendo a los atacantes generar sitios fraudulentos más rápidamente y a mayor escala.

Túneles encubiertos

Técnicas que ocultan el tráfico malicioso dentro de protocolos permitidos o canales cifrados

de Hory amplió su red utilizando galerías y otros representantes para enmascarar sus transacciones y vender sus falsificaciones. Los atacantes actuales hacen algo similar: ocultan sus conversaciones de red mediante túneles IP para ocultar la actividad maliciosa dentro del tráfico que parece legítimo. Otro mecanismo de encubrimiento utiliza solicitudes y respuestas intencionalmente no coincidentes, como solicitar datos web confidenciales desde un destino previamente desconocido para evadir la detección. Los atacantes también utilizan estos métodos para desactivar las protecciones de seguridad y luego permanecen inactivos dentro de una red corporativa durante meses, esperando el momento adecuado para atacar. A estos métodos se suman las tiendas de aplicaciones móviles, que han estado plagadas durante años de aplicaciones falsas que contienen malware, como este ejemplo más reciente de un herramienta de búsqueda visual que oculta un exploit de ejecución remota.

Infraestructura fraudulenta

Servidores, dominios o servicios controlados por atacantes diseñados para imitar infraestructura legítima.

De Hory evadió la detección moviéndose con frecuencia, de ciudad en ciudad, alrededor del mundo. Los ciberatacantes emplean una estrategia similar: ponen bajo su control servidores, dominios y servicios similares que se hacen pasar por una infraestructura confiable. Reciente investigación de microsoft muestra actores de amenazas que atraen a los usuarios con mensajes falsos de reuniones de Teams que condujeron a sitios de recolección de credenciales disfrazados de páginas de inicio de sesión legítimas. Conexiones falsas como esta pueden ser precursoras de una serie de movimientos para tomar el control de los recursos y datos de su red. Luego se pueden emplear servidores falsos para comprometer y extraer datos confidenciales, y luego aprovechar la información para lanzar una campaña de ransomware.

Finalmente, el phishing

Y la falsificación es el núcleo de cualquier campaña de phishing. Las campañas actuales utilizan todo tipo de falsificaciones, incluido el uso de direcciones de correo electrónico falsas que parecen ser parte de su dominio pero que son parte de ataques de homoglifos u homógrafos. Estos ataques pueden falsificar dominios legítimos con caracteres sustitutos similares para redirigir conversaciones bajo el control de un pirata informático o usarse como parte de campañas de phishing posteriores. De Hory estaría encantado, ya que se esforzó mucho en copiar las pinceladas, las opciones de color y los estilos de los maestros en sus falsificaciones.

Cómo NDR puede exponer las falsificaciones

Los paralelismos entre las falsificaciones de De Hory y los ciberataques modernos son sorprendentes. Ambos se basan en el mimetismo, el movimiento y la explotación de sistemas confiables. De Hory finalmente quedó expuesto cuando los expertos compararon múltiples obras y detectaron las huellas estilísticas que no podía ocultar. La detección y respuesta de red (NDR) puede detectar a los atacantes de la misma manera, al observar patrones de comportamiento y anomalías que delatan lo que realmente está sucediendo en la red.

Estas son algunas de las formas en que NDR ayuda a exponer actividades maliciosas ocultas a simple vista:

• Detección de anomalías de comportamiento: Identificar desviaciones de las líneas de base de red establecidas, como tiempos de inicio de sesión inusuales, transferencias de datos atípicas o movimientos laterales inesperados que pueden indicar que un impostor está trabajando, incluso cuando las credenciales parecen legítimas.
• Revelar inconsistencias de protocolo y metadatos: Detectar discrepancias que los atacantes no pueden ocultar fácilmente, como combinaciones extrañas de protocolos, tráfico a dominios homógrafos o recién registrados, o sesiones cifradas con detalles de certificados sospechosos.
• Proporcionar contexto: Enriquecer el tráfico sin procesar con metadatos que expliquen el panorama más amplio, como dónde se originan las conexiones, cómo se comportan a lo largo del tiempo y si se ajustan a patrones normales, para que los analistas puedan separar rápidamente las amenazas reales del ruido, como este ejemplo, que muestra cómo un analista de SOC puede probar varias hipótesis para descubrir un ataque.

A medida que los atacantes se vuelven más sofisticados y aprovechan la IA para ampliar su engaño, los defensores necesitan herramientas que puedan ver a través del ruido. NDR, en colaboración con otros productos de seguridad, brinda a los SOC la visibilidad necesaria para detectar estas amenazas de manera temprana, antes de que causen daños reales.

Plataforma NDR abierta de Corelight permite a los SOC detectar amenazas emergentes, incluidas aquellas que aprovechan las técnicas de IA. Su enfoque de detección de múltiples capas incluye detecciones de comportamiento y anomalías que pueden identificar una variedad de actividades de red únicas e inusuales. A medida que los adversarios desarrollan nuevos métodos de ataque, los equipos de seguridad que implementan NDR pueden fortalecer el juego defensivo de su empresa. Visita corelight.com/elitedefense para aprender más.

Una campaña de phishing en curso se dirige a entornos corporativos de habla francesa con currículums falsos que conducen al despliegue de mineros de criptomonedas y ladrones de información.

«La campaña utiliza archivos VBScript altamente ofuscados disfrazados de documentos de currículum vitae, entregados a través de correos electrónicos de phishing», dijeron los investigadores de Securonix Shikha Sangwan, Akshay Gaikwad y Aaron Beardslee. dicho en un informe compartido con The Hacker News.

«Una vez ejecutado, el malware implementa un conjunto de herramientas multipropósito que combina el robo de credenciales, la exfiltración de datos y la minería de criptomonedas Monero para una máxima monetización».

La actividad ha sido nombrada en código. FAUX#ELEVAR por la empresa de ciberseguridad. La campaña se destaca por el abuso de infraestructura y servicios legítimos, como Dropbox para la preparación de cargas útiles, sitios marroquíes de WordPress para alojar la configuración de comando y control (C2) y el correo.[.]ru Infraestructura SMTP para extraer credenciales de navegador y archivos de escritorio robados.

Este es un ejemplo de un ataque estilo vivir de la tierra que eleva el nivel sobre cómo los atacantes pueden engañar a los mecanismos de defensa y colarse en el sistema del objetivo sin llamar mucho la atención.

El archivo dropper inicial es un Visual Basic Script (VBScript) que, al abrirse, muestra un mensaje de error falso en francés, engañando a los destinatarios del mensaje haciéndoles pensar que el archivo está dañado. Sin embargo, lo que sucede detrás de escena es que el script muy ofuscado ejecuta una serie de comprobaciones para evadir los entornos sandbox y entra en un bucle persistente de Control de cuentas de usuario (UAC) que solicita a los usuarios que lo ejecuten con privilegios de administrador.

En particular, de las 224.471 líneas del script, sólo 266 líneas contienen código ejecutable real. El resto del guión está lleno de comentarios basura con frases aleatorias en inglés, lo que aumenta el tamaño del archivo a 9,7 MB.

«El malware también utiliza una puerta de unión a un dominio mediante WMI [Windows Management Instrumentation]asegurando que las cargas útiles sólo se entreguen en máquinas empresariales y que los sistemas domésticos independientes queden excluidos por completo», dijeron los investigadores.

Tan pronto como el dropper obtiene privilegios administrativos, no pierde tiempo en deshabilitar los controles de seguridad y encubrir sus huellas configurando rutas de exclusión de Microsoft Defender para todas las letras de unidades principales (de C a I), deshabilitando UAC mediante un cambio en el Registro de Windows y eliminándose a sí mismo.

El dropper también es responsable de recuperar dos archivos 7-Zip separados protegidos con contraseña alojados en Dropbox:

• gmail2.7z, que contiene varios ejecutables para robar datos y extraer criptomonedas
• gmail_ma.7z, que contiene utilidades para persistencia y limpieza

Entre las herramientas utilizadas para facilitar el robo de credenciales se encuentra un componente que aprovecha el proyecto ChromElevator para extraer datos confidenciales de los navegadores basados ​​en Chromium eludiendo las protecciones de cifrado vinculado a aplicaciones (ABE). Algunas de las otras herramientas incluyen:

• mozilla.vbs, un malware VBScript para robar el perfil y las credenciales de Mozilla Firefox
• wall.vbs, una carga útil de VBScript para la exfiltración de archivos de escritorio
• mservice.exe, un minero de criptomonedas XMRig que se lanza después de recuperar la configuración de minería de un sitio de WordPress marroquí comprometido
• WinRing0x64.sys, un controlador legítimo del kernel de Windows que se utiliza para desbloquear todo el potencial de minería de la CPU
• RuntimeHost.exe, un componente troyano persistente que modifica las reglas del Firewall de Windows y se comunica periódicamente con un servidor C2

Los únicos datos del navegador se extraen mediante dos correos separados.[.]cuentas de remitente ru («olga.aitsaid@mail.ru» y «3pw5nd9neeyn@mail.ru») que comparten la misma contraseña a través de SMTP con otra dirección de correo electrónico operada por el actor de la amenaza («vladimirprolitovitch@duck.com»).

Una vez que se completan las actividades de robo de credenciales y exfiltración, la cadena de ataque inicia una limpieza agresiva de todas las herramientas caídas en un intento por minimizar la huella forense, dejando atrás solo al minero y al troyano.

«La campaña FAUX#ELEVATE demuestra una operación de ataque de múltiples etapas bien organizada que combina varias técnicas notables en una sola cadena de infección», dijo Securonix.

«Lo que hace que esta campaña sea particularmente peligrosa para los equipos de seguridad empresarial es la velocidad de ejecución, la cadena de infección completa se completa en aproximadamente 25 segundos desde la ejecución inicial de VBS hasta la exfiltración de credenciales, y el objetivo selectivo de las máquinas unidas al dominio, lo que garantiza que cada host comprometido proporcione el máximo valor a través del robo de credenciales corporativas y el secuestro persistente de recursos».

Los actores de amenazas norcoreanos detrás de la campaña Contagious Interview, también rastreada como WaterPlum, han sido atribuidos a una familia de malware rastreada como ArmiñoWaffle que se distribuye a través de proyectos maliciosos de Microsoft Visual Studio Code (VS Code).

El uso de VS Code «tasks.json» para distribuir malware es una táctica relativamente nueva adoptada por el actor de amenazas desde diciembre de 2025, y los ataques aprovechan la opción «runOn: folderOpen» para activar automáticamente su ejecución cada vez que se abre cualquier archivo en la carpeta del proyecto en VS Code.

«Esta tarea está configurada para que descargue datos de una aplicación web en Vercel independientemente del sistema operativo que se ejecute. [operating system]»Seguridad NTT dicho en un informe publicado la semana pasada. «Aunque en este artículo asumimos que el sistema operativo que lo ejecuta es Windows, los comportamientos esenciales son los mismos para cualquier sistema operativo».

La carga útil descargada primero verifica si Node.js está instalado en el entorno de ejecución. Si no está, el malware descarga Node.js del sitio web oficial y lo instala. Posteriormente, procede a iniciar un descargador, que sondea periódicamente un servidor externo para buscar un descargador de la siguiente etapa que muestra un comportamiento idéntico al comunicarse con otro punto final en el mismo servidor y ejecutar la respuesta recibida como código Node.js.

Se ha descubierto que StoatWaffle ofrece dos módulos diferentes:

• Un ladrón que captura credenciales y datos de extensiones almacenados en navegadores web (navegadores basados ​​en Chromium y Mozilla Firefox) y los carga en un servidor de comando y control (C2). Si el sistema comprometido se ejecuta en macOS, también roba la base de datos de iCloud Keychain.
• Un troyano de acceso remoto (RAT) que se comunica con el servidor C2 para buscar y ejecutar comandos en el host infectado. Los comandos permiten que el malware cambie el directorio de trabajo actual, enumere archivos y directorios, ejecute código Node.js, cargue archivos, busque recursivamente en el directorio dado y enumere o cargue archivos que coincidan con una determinada palabra clave, ejecute comandos de shell y finalice.

«StoatWaffle es un malware modular implementado por Node.js y tiene módulos Stealer y RAT», dijo el proveedor de seguridad japonés. «WaterPlum desarrolla continuamente nuevo malware y actualiza los existentes».

El desarrollo coincide con varias campañas montadas por el actor de amenazas dirigidas al ecosistema de código abierto:

• un conjunto de paquetes npm maliciosos que distribuyen el malware PylangGhost, lo que marca la primera vez que el malware se propaga a través de paquetes npm.
• Una campaña conocida como PolinRider tiene implantado una carga útil maliciosa de JavaScript ofuscada en cientos de repositorios públicos de GitHub que culmina con la implementación de una nueva versión de BeaverTail, un conocido malware ladrón y descargador atribuido a Contagious Interview.
• Entre los compromisos están cuatro repositorios perteneciente a la organización Neutralinojs GitHub. Se dice que el ataque comprometió la cuenta de GitHub de un colaborador de neutralinojs desde hace mucho tiempo con acceso de escritura a nivel de organización para forzar el código JavaScript que recupera cargas útiles cifradas en transacciones de Tron, Aptos y Binance Smart Chain (BSC) para descargar y ejecutar BeaverTail. Se cree que las víctimas fueron infectadas a través de una extensión maliciosa de VS Code o un paquete npm.

Microsoft, en un análisis de Contagious Interview de este mes, dijo que los actores de amenazas logran acceso inicial a los sistemas de los desarrolladores a través de «procesos de reclutamiento organizados de manera convincente» que reflejan entrevistas técnicas legítimas, y en última instancia persuaden a las víctimas para que ejecuten comandos o paquetes maliciosos alojados en GitHub, GitLab o Bitbucket como parte de la evaluación.

En algunos casos, los objetivos se abordan a través de LinkedIn. Sin embargo, las personas elegidas para este ataque de ingeniería social no son desarrolladores junior, sino fundadores, CTO e ingenieros senior en el sector de criptomonedas o Web3, quienes probablemente tengan un acceso elevado a la infraestructura tecnológica y a las billeteras de criptomonedas de la empresa. Un incidente reciente involucrado Los atacantes atacaron sin éxito al fundador de AllSecure.io a través de una entrevista de trabajo falsa.

Algunas de las familias de malware clave implementadas como parte de estas cadenas de ataque incluyen OtterCookie (una puerta trasera capaz de robar datos en gran escala), InvisibleFerret (una puerta trasera basada en Python) y FlexibleFerret (una puerta trasera modular implementada tanto en Go como en Python). Si bien se sabe que InvisibleFerret generalmente se entrega a través de BeaverTail, se ha descubierto que intrusiones recientes distribuyen el malware como una carga útil de seguimiento, después de aprovechar el acceso inicial obtenido a través de OtterCookie.

Vale la pena mencionar aquí que FlexibleFerret también se conoce como WeaselStore. Sus variantes Go y Python reciben los nombres de GolangGhost y PylangGhost, respectivamente.

En una señal de que los actores de amenazas están refinando activamente su oficio, las mutaciones más recientes de los proyectos de VS Code han evitado los dominios basados ​​en Vercel para que los scripts alojados en GitHub Gist descarguen y ejecuten cargas útiles de la siguiente etapa que, en última instancia, conducen a la implementación de FlexibleFerret. Estos proyectos de VS Code se organizan en GitHub.

«Al incorporar la entrega de malware dirigido directamente en herramientas de entrevistas, ejercicios de codificación y flujos de trabajo de evaluación en los que los desarrolladores confían inherentemente, los actores de amenazas explotan la confianza que los solicitantes de empleo depositan en el proceso de contratación durante períodos de alta motivación y presión de tiempo, lo que reduce la sospecha y la resistencia», dijo el gigante tecnológico.

En respuesta al abuso continuo de VS Code Tasks, Microsoft ha incluido una mitigación en la actualización de enero de 2026 (versión 1.109) que introduce una nueva configuración «task.allowAutomaticTasks», que de forma predeterminada está «desactivada» para mejorar la seguridad y evitar la ejecución no deseada de tareas definidas en «tasks.json» al abrir un espacio de trabajo.

«La actualización también evita que la configuración se defina a nivel del espacio de trabajo, por lo que los repositorios maliciosos con su propio archivo .vscode/settings.json no deberían poder anular la configuración del usuario (global)», Resumen de Seguridad dicho.

«Esta versión y la reciente de febrero de 2026 (versión 1.110) también introduce un mensaje secundario que advierte al usuario cuando se detecta una tarea de ejecución automática en un espacio de trabajo recién abierto. Esto actúa como protección adicional después de que un usuario acepta el mensaje de Workspace Trust».

En los últimos meses, los actores de amenazas norcoreanos también han estado participando en una campaña coordinada de malware dirigida a profesionales de las criptomonedas a través de ingeniería social de LinkedIn, empresas de capital de riesgo falsas y enlaces de videoconferencias fraudulentos. Los recursos compartidos de actividad se superponen con los grupos rastreados como GhostCall y UNC1069.

«La cadena de ataque culmina en una página CAPTCHA falsa estilo ClickFix que engaña a las víctimas para que ejecuten comandos inyectados en el portapapeles en su Terminal», Moonlock Lab de MacPaw. dicho. «La campaña es multiplataforma por diseño y ofrece cargas útiles personalizadas tanto para macOS como para Windows».

Los hallazgos se producen cuando el Departamento de Justicia de EE. UU. (DoJ) anunciado la sentencia de tres hombres, Audricus Phagnasay, de 25 años, Jason Salazar, de 30, y Alexander Paul Travis, de 35, por su papel en la promoción del plan fraudulento de trabajadores de tecnología de la información (TI) de Corea del Norte, en violación de las sanciones internacionales. Los tres individuos se declararon culpables previamente en noviembre de 2025.

Phagnasay y Salazar fueron sentenciados a tres años de libertad condicional y una multa de 2.000 dólares. También se les ordenó renunciar a las ganancias ilícitas obtenidas al participar en la conspiración de fraude electrónico. Travis fue sentenciado a un año de prisión y se le ordenó perder 193.265 dólares, la cantidad ganada por los norcoreanos al usar su identidad.

«Estos hombres prácticamente dieron las llaves del reino en línea a probables trabajadores norcoreanos de tecnología en el extranjero que buscaban recaudar ingresos ilícitos para el gobierno de Corea del Norte, todo a cambio de lo que les parecía dinero fácil», dijo en un comunicado Margaret Heap, fiscal estadounidense para el Distrito Sur de Georgia.

La semana pasada, Flare e IBM X-Force publicaron una descripción detallada del trabajador de TI operación y su estructura internaal tiempo que destaca cómo los trabajadores de TI asisten a prestigiosas universidades en Corea del Norte y pasan por un riguroso proceso de entrevistas antes de unirse al plan.

Son «considerados miembros de élite de la sociedad norcoreana y se han convertido en una parte indispensable de los objetivos estratégicos generales del gobierno norcoreano», señalaron las empresas. «Estos objetivos incluyen, entre otros, generación de ingresos, actividad laboral remota, robo de información corporativa y patentada, extorsión y apoyo a otros grupos norcoreanos».

Grupos conectados con el gobierno iraní están implementando malware a través de la aplicación de mensajería Telegram, apuntando a disidentes y otros opositores de Teherán en todo el mundo, dijo el FBI en una alerta el viernes.

El FBI dijo que atacantes vinculados al Ministerio de Inteligencia y Seguridad están detrás de la campaña, que se remonta a 2023. Sin embargo, la oficina está intensificando la alerta ahora debido al conflicto entre Irán y una alianza entre Estados Unidos e Israel, afirma.

«El perfil de víctima observado incluía a disidentes iraníes, periodistas opuestos a Irán, miembros de organizaciones con creencias contrarias a las narrativas del gobierno de Irán y otras personas que Irán percibe como una amenaza para el gobierno iraní. Sin embargo, el malware podría usarse para atacar a cualquier individuo de interés para Irán». la alerta dice. «Este malware resultó en la recopilación de inteligencia, fugas de datos y daños a la reputación de las partes objetivo».

Handala, un grupo iraní pro palestino que se atribuyó el mérito del ataque al fabricante de dispositivos médicos Stryker este mes, utilizó información que recopiló de disidentes piratas informáticos para llevar a cabo una campaña de pirateo y filtración en 2025, evalúa el FBI. (Stryker envió un aviso a la Comisión de Bolsa y Valores el lunes que proporciona una actualización sobre el incidente).

Si bien los funcionarios estadounidenses dicen que no han visto ningún aumento importante en los ataques cibernéticos desde Irán desde que comenzó el conflicto, los expertos han señalado que podrían pasar semanas antes de que surjan patrones.

Telegram es un canal de comunicación popular en Irán. Los piratas informáticos iraníes frecuentan Telegram para discutir ataques planificados. Por otro lado, el Cuerpo de la Guardia Revolucionaria Islámica también ha emitido advertencias a su población de que podrían ser procesados ​​si son miembros de canales de oposición basados ​​en Telegram, IranWire reportado la semana pasada.

El FBI dijo que, a partir de las muestras de malware que examinó, el esquema comienza con piratas informáticos haciéndose pasar por aplicaciones como Pictory, KeePass y Telegram. Los piratas informáticos configuran el comando y control mediante un bot de Telegram.

Para obtener acceso inicial, los piratas informáticos buscan manipular a las víctimas haciéndose pasar por alguien que conocen o como soporte técnico de una plataforma de redes sociales. Luego engañan a las víctimas para que acepten una transferencia de archivos, lo que luego lanza el malware.

«Basado en múltiples observaciones, la etapa 1 del malware parecía estar adaptada al patrón de vida de la víctima para aumentar la probabilidad de que descargara el malware, lo que indica que los ciberactores iraníes probablemente realizaron un reconocimiento del objetivo antes de interactuar con la víctima», dijo el FBI.

La alerta del FBI es la última de una serie de advertencias gubernamentales sobre atacantes que utilizan aplicaciones de mensajería para llevar a cabo sus objetivos.

El portavoz de Telegram, Remi Vaughn, dijo en una respuesta enviada por correo electrónico: «Los malos actores pueden usar, y usan, cualquier canal disponible para controlar el malware, incluidos otros mensajeros, correo electrónico o incluso conexiones web directas. Si bien no hay nada único en el uso de Telegram para controlar el software, los moderadores eliminan rutinariamente cualquier cuenta que se encuentre involucrada con malware».

Según Arctic Wolf, se sospecha que los actores de amenazas están explotando una falla de seguridad de máxima gravedad que afecta al dispositivo de administración de sistemas (SMA) Quest KACE.

La empresa de ciberseguridad dicho observó actividad maliciosa a partir de la semana del 9 de marzo de 2026 en entornos de clientes que es consistente con la explotación de CVE-2025-32975 en sistemas SMA sin parches expuestos a Internet. Actualmente no se sabe cuáles son los objetivos finales del ataque.

CVE-2025-32975 (puntuación CVSS: 10,0) se refiere a un vulnerabilidad de omisión de autenticación que permite a los atacantes hacerse pasar por usuarios legítimos sin credenciales válidas. La explotación exitosa de la falla podría facilitar la toma completa de las cuentas administrativas. Quest solucionó el problema en mayo de 2025.

En la actividad maliciosa detectada por Arctic Wolf, se cree que los actores de amenazas han utilizado la vulnerabilidad como arma para tomar el control de cuentas administrativas y ejecutar comandos remotos para eliminar cargas útiles codificadas en Base64 desde un servidor externo (216.126.225[.]156) mediante el comando curl.

Luego, los atacantes desconocidos procedieron a crear cuentas administrativas adicionales a través de «runkbot.exe«, un proceso en segundo plano asociado con el Agente SMA que se utiliza para ejecutar scripts y administrar instalaciones. También se detectaron modificaciones del Registro de Windows a través de un script de PowerShell para posibles cambios de persistencia o configuración del sistema.

Otras acciones emprendidas por los actores de amenazas se enumeran a continuación:

• Realización de recolección de credenciales utilizando Mimikatz.
• Realizar descubrimiento y reconocimiento enumerando los usuarios que han iniciado sesión y las cuentas de administrador, y ejecutando los comandos «net time» y «net group».
• Obtención de acceso del protocolo de escritorio remoto (RDP) a la infraestructura de respaldo (Veeam, Veritas) y controladores de dominio.

Para contrarrestar la amenaza, se recomienda a los administradores que apliquen las últimas actualizaciones y eviten exponer las instancias de SMA a Internet. El problema se solucionó en las versiones 13.0.385, 13.1.81, 13.2.183, 14.0.341 (parche 5) y 14.1.101 (parche 4).

Los actores de amenazas afiliados a los Servicios de Inteligencia Rusos están llevando a cabo campañas de phishing para comprometer aplicaciones de mensajería comercial (CMA) como WhatsApp y Signal para tomar el control de cuentas pertenecientes a individuos con alto valor de inteligencia, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) y la Oficina Federal de Investigaciones (FBI). dicho Viernes.

«La campaña está dirigida a personas de alto valor en inteligencia, incluidos funcionarios actuales y anteriores del gobierno estadounidense, personal militar, figuras políticas y periodistas», dijo el director del FBI, Kash Patel. dicho en una publicación en X. «A nivel mundial, este esfuerzo ha resultado en acceso no autorizado a miles de cuentas individuales. Después de obtener acceso, los actores pueden ver mensajes y listas de contactos, enviar mensajes como víctima y realizar phishing adicional desde una identidad confiable».

CISA y el FBI dijeron que la actividad ha resultado en el compromiso de miles de cuentas CMA individuales. Vale la pena señalar que los ataques están diseñados para ingresar a las cuentas objetivo y no explotan ninguna vulnerabilidad o debilidad de seguridad para romper las protecciones de cifrado de las plataformas.

Si bien las agencias no atribuyeron la actividad a un actor de amenazas específico, informes anteriores de Microsoft y Google Threat Intelligence Group han vinculado dichas campañas con múltiples grupos de amenazas alineados con Rusia rastreados como Star Blizzard, UNC5792 (también conocido como UAC-0195) y UNC4221 (también conocido como UAC-0185).

En una alerta similar, el Centro de Coordinación de Crisis Cibernética (C4), parte de la Agencia Nacional de Ciberseguridad de Francia (ANSSI), advirtió sobre un aumento en las campañas de ataque dirigidas a cuentas de mensajería instantánea asociadas con funcionarios gubernamentales, periodistas y líderes empresariales.

«Estos ataques, cuando tienen éxito, pueden permitir que actores maliciosos accedan a historiales de conversaciones o incluso tomen el control de las cuentas de mensajería de sus víctimas y envíen mensajes haciéndose pasar por ellas», C4 dicho.

El objetivo final de la campaña es permitir que los actores de amenazas obtengan acceso no autorizado a las cuentas de las víctimas, permitiéndoles ver mensajes y listas de contactos, enviar mensajes en su nombre e incluso realizar phishing secundario contra otros objetivos abusando de las relaciones de confianza.

Como alertaron recientemente las agencias de ciberseguridad de Alemania y Países Bajos, el ataque implica el adversario se hace pasar por «Soporte de señales» para acercarse a los objetivos e instarlos a hacer clic en un enlace (o alternativamente escanear un código QR) o proporcionar el PIN o el código de verificación. En ambos casos, el esquema de ingeniería social permite a los actores de amenazas obtener acceso a la cuenta CMA de la víctima.

Sin embargo, la campaña tiene dos resultados diferentes para la víctima según el método utilizado:

• Si la víctima opta por proporcionar el PIN o el código de verificación al actor de la amenaza, pierde el acceso a su cuenta, ya que el atacante la ha utilizado para recuperar la cuenta por su parte. Si bien el actor de la amenaza no puede acceder a mensajes anteriores, el método se puede utilizar para monitorear mensajes nuevos y enviar mensajes a otros haciéndose pasar por la víctima.
• Si la víctima termina haciendo clic en el enlace o escaneando el código QR, un dispositivo bajo el control del actor de la amenaza se vincula a la cuenta de la víctima, permitiéndole acceder a todos los mensajes, incluidos los enviados en el pasado. En este escenario, la víctima sigue teniendo acceso a la cuenta CMA a menos que se elimine explícitamente de la configuración de la aplicación.

Para protegerse mejor contra la amenaza, se recomienda a los usuarios que nunca compartir su Código SMS o PIN de verificación con cualquier personatenga cuidado al recibir mensajes inesperados de contactos desconocidos, verifique los enlaces antes de hacer clic en ellos y revise periódicamente los dispositivos vinculados y elimine aquellos que parezcan sospechosos.

«Estos ataques, como todo phishing, se basan en ingeniería social. Los atacantes se hacen pasar por contactos o servicios confiables (como el inexistente ‘Signal Support Bot’) para engañar a las víctimas para que entreguen sus credenciales de inicio de sesión u otra información», Signal dicho en una publicación en X a principios de este mes.

«Para ayudar a prevenir esto, recuerde que su código de verificación por SMS de Signal solo es necesario cuando se registra por primera vez en la aplicación Signal. También queremos enfatizar que el soporte de Signal *nunca* iniciará contacto a través de mensajes dentro de la aplicación, SMS o redes sociales para solicitar su código de verificación o PIN. Si alguien solicita algún código relacionado con Signal, es una estafa».

Los investigadores han descubierto un segundo caso de presuntos piratas informáticos rusos que reutilizaron exploits de iOS que se cree que fueron creados originalmente en nombre del gobierno de los EE. UU., lo que señala lo que dicen que son varias tendencias premonitorias.

iVerificar, Estar atento y Google colaboraron en la investigación publicada el miércoles, una continuación de revelaciones anteriores sobre un kit de explotación similar, Coruña. Si bien el segundo kit, denominado DarkSword, también estaba dirigido a usuarios en Ucrania, la escala es significativa: iVerify estimó que hasta 270 millones de usuarios de iPhone podrían ser susceptibles, mientras que Lookout le dijo a CyberScoop que aproximadamente el 15% de todos los dispositivos iOS actualmente en uso ejecutan iOS 18 o versiones anteriores y podrían ser vulnerables al kit de explotación.

La investigación revela una serie de nuevos detalles, así como patrones interesantes:

• Mientras que los piratas informáticos rusos y chinos utilizaron Coruña con fines de lucro, hay indicios de que DarkSword podría servir tanto para fines financieros como de vigilancia, y/o podría usarse para infligir daño.
• Lookout observó que alguien utilizó un modelo de lenguaje grande para personalizar tanto Coruña como DarkSword.
• El descubrimiento de DarkSword refuerza las preocupaciones anteriores sobre un mercado secundario de exploits, dijeron Lookout e iVerify.
• DarkSword es la segunda campaña «masiva» de iOS descubierta este mes, siendo la primera conocida Coruña.
• Ambos kits sugieren que los ciberataques están migrando hacia los teléfonos móviles, ya que representan una mayor porción del tráfico de Internet, dijo a CyberScoop Rocky Cole, cofundador y director de operaciones de iVerify.
• Google también descubrió que DarkSword se utilizó contra objetivos en Arabia Saudita, Turquía y Malasia.

DarkSword puede filtrar contraseñas guardadas, billeteras criptográficas, mensajes de texto y más, según descubrieron los investigadores. Los atacantes están aprovechando el kit de explotación comprometiendo primero el WebKit de Apple y luego usando WebGPU como punto de pivote para escapar de la zona de pruebas, según Justin Albrecht, director global de inteligencia de amenazas móviles de Lookout.

Lo que no está tan claro es quién, exactamente, está detrás del kit de exploits, además de los vínculos con Rusia. Cole dijo que DarkSword está alojado en la misma infraestructura de comando y control que Coruña, pero es un kit completamente separado creado por personas completamente diferentes. Google ha atribuido las campañas a un grupo al que rastrea como UNC6353, al que describe como un grupo de espionaje respaldado por Rusia, así como UNC6748 y el proveedor turco de vigilancia comercial PARS Defense.

Los motivos de los atacantes también son un poco opacos, mezclando lo que parecen ser tanto espionaje como objetivos financieros. Albrecht señaló que hay un precedente para esto: los grupos de amenazas rusos han atacado las criptomonedas en Ucrania antes, en particular con Infamous Chisel, un kit de explotación de Android implementado por Sandworm.

«Probablemente estén bien financiados y bien conectados, pero se ha confirmado que están robando criptomonedas. Definitivamente hay una motivación financiera», dijo Albrecht a CyberScoop. «Ahora, creo que la gran pregunta es, dependiendo de quién sea el grupo, ¿la motivación financiera en esto es simplemente hacer daño a los ucranianos o es robar criptomonedas?»

Rusia ha estado bajo duras sanciones durante mucho tiempo y está empezando a tener problemas presupuestarios debido a la guerra en curso en Ucrania, señaló. «¿Por qué no empezar a financiar sus operaciones con fondos robados? No estaría fuera de la norma, aunque sería un cambio potencial en sus TTP para las APT rusas en general», dijo Albrecht.

El kit podría ser útil para alguien que intente hacer un análisis de “patrones de vida”, dijo Cole, y por lo tanto útil para fines de vigilancia e inteligencia.

Dijo que un proveedor comercial de software espía podría haber fabricado el kit sin ningún público objetivo en mente, de ahí su calidad de “navaja suiza”. La principal preocupación para Cole es que aparentemente hay un mercado creciente para este tipo de herramientas, y la gente puede sentirse adormecida con una falsa sensación de seguridad acerca de que los iPhone no son vulnerables.

A pesar de la sofisticación de los exploits en sí, los actores de amenazas detrás de DarkSword pueden no tener mucha experiencia, dijo Albrecht. Ninguno de los códigos JavaScript o HTML estaba ofuscado de ninguna manera, y el componente del lado del servidor estaba etiquetado como “Receptor de archivos Dark Sword”, una seguridad operativa deficiente para un actor de amenazas ruso experimentado.

“Yo esperaría que sus experimentados actores de amenazas rusos, sus APT29 del mundo, tuvieran mejores OPSEC”, dijo Albrecht.

Uno de los hallazgos más inusuales de la investigación es la clara presencia de código generado por modelos de lenguaje de gran tamaño. El componente del lado del servidor de DarkSword, por ejemplo, incluye signos reveladores de código generado por IA, completo con notas detalladas y comentarios característicos del resultado LLM. Es un desarrollo que efectivamente reduce la barrera de entrada para el despliegue de exploits móviles avanzados, incluso entre actores patrocinados por el estado, dijo Albrecht.

Los tres equipos de investigación han estado en contacto con Apple sobre los hallazgos, según Albrecht, y es probable que Google haya estado en contacto más cercano desde que comenzaron a investigar la amenaza a fines de 2025. En su blog, Google dijo que informó a Apple de las vulnerabilidades utilizadas en DarkSword a fines de 2025, y que todas las vulnerabilidades fueron reparadas con el lanzamiento de iOS 26.3, aunque la mayoría fueron parcheadas antes.

Una supuesta operación de ciberespionaje con sede en China se ha dirigido a organizaciones militares del sudeste asiático como parte de una campaña patrocinada por el Estado que se remonta al menos a 2020.

La Unidad 42 de Palo Alto Networks está rastreando la actividad de amenazas bajo el apodo CL-STA-1087donde CL se refiere a grupo y STA significa motivación respaldada por el estado.

«La actividad demostró paciencia operativa estratégica y un enfoque en la recopilación de inteligencia muy específica, en lugar del robo masivo de datos», dijeron los investigadores de seguridad Lior Rochberger y Yoav Zemah. «Los atacantes detrás de este grupo buscaron y recopilaron activamente archivos muy específicos sobre capacidades militares, estructuras organizativas y esfuerzos de colaboración con las fuerzas armadas occidentales».

La campaña exhibe características comúnmente asociadas con operaciones avanzadas de amenazas persistentes (APT), incluidos métodos de entrega cuidadosamente diseñados, estrategias de evasión de defensa, infraestructura operativa altamente estable e implementación de carga útil personalizada diseñada para respaldar el acceso no autorizado sostenido a sistemas comprometidos.

Las herramientas utilizadas por el actor de amenazas en la actividad maliciosa incluyen puertas traseras llamadas AppleChris y MemFun, y un recolector de credenciales llamado Getpass.

El proveedor de ciberseguridad dijo que detectó la intrusión después de identificar una ejecución sospechosa de PowerShell, lo que permitió que el script entrara en estado de suspensión durante seis horas y luego creara shells inversos para un servidor de comando y control (C2) controlado por el actor de amenazas. Aún se desconoce el vector de acceso inicial exacto utilizado en el ataque.

La secuencia de infección implica la implementación de AppleChris, cuyas diferentes versiones se colocan en los puntos finales de destino luego del movimiento lateral para mantener la persistencia y evadir la detección basada en firmas. También se ha observado a los actores de amenazas realizando búsquedas relacionadas con actas de reuniones oficiales, actividades militares conjuntas y evaluaciones detalladas de las capacidades operativas.

«Los atacantes mostraron particular interés en archivos relacionados con estructuras y estrategias organizativas militares, incluidos sistemas de comando, control, comunicaciones, computadoras e inteligencia (C4I)», señalaron los investigadores.

Tanto las variantes de AppleChris como MemFun están diseñadas para acceder a una cuenta compartida de Pastebin, que actúa como un solucionador de caída muerta para recuperar la dirección C2 real almacenada en formato decodificado en Base64. Una versión de AppleChris también depende de Dropbox para extraer la información C2, con el enfoque basado en Pastebin utilizado como opción alternativa. Las pastas Pastebin datan de septiembre de 2020.

Lanzado a través de secuestro de DLLAppleChris inicia contacto con el servidor C2 para recibir comandos que le permiten realizar enumeraciones de unidades, listados de directorios, carga/descarga/eliminación de archivos, enumeración de procesos, ejecución remota de shell y creación silenciosa de procesos.

La segunda variante del tunelizador representa una evolución de su predecesor, utilizando solo Pastebin para obtener la dirección C2, además de introducir capacidades avanzadas de proxy de red.

«Para eludir los sistemas de seguridad automatizados, algunas de las variantes de malware emplean tácticas de evasión de espacio aislado en tiempo de ejecución», dijo la Unidad 42. «Estas variantes desencadenan una ejecución retrasada a través de temporizadores de suspensión de 30 segundos (EXE) y 120 segundos (DLL), lo que dura más que las típicas ventanas de monitoreo de los entornos aislados automatizados».

MemFun se inicia mediante una cadena de varias etapas: un cargador inicial inyecta un código shell responsable de iniciar un descargador en memoria, cuyo objetivo principal es recuperar los detalles de configuración de C2 de Pastebin, comunicarse con el servidor C2 y obtener una DLL que, a su vez, activa la ejecución de la puerta trasera.

Dado que la DLL se obtiene del C2 en tiempo de ejecución, les brinda a los actores de amenazas la capacidad de entregar fácilmente otras cargas útiles sin tener que cambiar nada. Este comportamiento transforma a MemFun en una plataforma de malware modular en lugar de una puerta trasera estática como AppleChris.

La ejecución de MemFun comienza con un cuentagotas que ejecuta comprobaciones antiforenses antes de alterar su propia marca de tiempo de creación de archivos para que coincida con la hora de creación del directorio del sistema de Windows. Posteriormente, inyecta la carga útil principal en la memoria de un proceso suspendido asociado con «dllhost.exe» utilizando una técnica denominada proceso de vaciado.

Al hacerlo, el malware se ejecuta bajo la apariencia de un proceso legítimo de Windows para pasar desapercibido y evitar dejar artefactos adicionales en el disco.

También se utiliza en los ataques una versión personalizada de Mimikatz conocida como Getpass que aumenta los privilegios e intenta extraer contraseñas de texto plano, hashes NTLM y datos de autenticación directamente desde la memoria del proceso «lsass.exe».

«El actor de amenazas detrás del clúster demostró paciencia operativa y conciencia de seguridad», concluyó la Unidad 42. «Mantuvieron el acceso inactivo durante meses mientras se concentraban en la recopilación de inteligencia de precisión e implementaban sólidas medidas de seguridad operativa para garantizar la longevidad de la campaña».

Un actor de amenazas persistentes avanzadas (APT) vinculado a China ha estado apuntando a infraestructuras de telecomunicaciones críticas en América del Sur desde 2024, apuntando a sistemas Windows y Linux y dispositivos de borde con tres implantes diferentes.

La actividad está siendo rastreado por Cisco Talos bajo el apodo UAT-9244describiéndolo como estrechamente asociado con otro grupo conocido como FamousSparrow.

Vale la pena señalar que se considera que FamousSparrow comparte superposiciones tácticas con Salt Typhoon, un grupo de espionaje del nexo con China conocido por apuntar a proveedores de servicios de telecomunicaciones. A pesar de la huella similar entre UAT-9244 y Salt Typhoon, no hay evidencia concluyente que vincule a los dos grupos.

En la campaña analizada por la empresa de ciberseguridad, se descubrió que las cadenas de ataque distribuyen tres implantes previamente no documentados: TernDoor dirigido a Windows, PeerTime (también conocido como Angrypeer) dirigido a Linux y BruteEntry, que se instala en dispositivos de borde de red.

Se desconoce el método de acceso inicial exacto utilizado en los ataques, aunque el adversario se ha dirigido previamente a sistemas que ejecutan versiones obsoletas de Windows Server y Microsoft Exchange Server para lanzar shells web para actividades posteriores.

TernDoor se implementa mediante carga lateral de DLL, aprovechando el ejecutable legítimo «wsprint.exe» para iniciar una DLL maliciosa («BugSplatRc64.dll») que descifra y ejecuta la carga útil final en la memoria. Se dice que UAT-9244 ha utilizado la puerta trasera, una variante de Crowdoor (en sí misma una variante de SparrowDoor), desde al menos noviembre de 2024.

Establece persistencia en el host mediante una tarea programada o la clave Ejecutar registro. También presenta diferencias con CrowDoor al utilizar un conjunto dispar de códigos de comando e incorporar un controlador de Windows para suspender, reanudar y finalizar procesos. Además, solo admite un modificador de línea de comandos («-u») para desinstalarse del host y eliminar todos los artefactos asociados.

Una vez iniciado, ejecuta una verificación para asegurarse de que se haya inyectado en «msiexec.exe», después de lo cual decodifica una configuración para extraer los parámetros de comando y control (C2). Posteriormente, establece comunicación con el servidor C2, lo que le permite crear procesos, ejecutar comandos arbitrarios, leer/escribir archivos, recopilar información del sistema e implementar el controlador para ocultar componentes maliciosos y administrar procesos.

Un análisis más detallado de la infraestructura del UAT-9244 ha llevado al descubrimiento de una puerta trasera de igual a igual (P2P) de Linux denominada PeerTime, que está compilada para varias arquitecturas (es decir, ARM, AARCH, PPC y MIPS) para infectar una variedad de sistemas integrados. La puerta trasera ELF, junto con un binario de instrumento, se implementa mediante un script de shell.

«El binario Instrumentor ELF comprobará la presencia de Docker en el host comprometido utilizando los comandos docker y docker –q», dijeron los investigadores de Talos Asheer Malhotra y Brandon White. «Si se encuentra Docker, se ejecuta el cargador PeerTime. El instrumento consta de cadenas de depuración en chino simplificado, lo que indica que es un binario personalizado creado e implementado por actores de amenazas de habla china».

El objetivo principal del cargador es descifrar y descomprimir la carga útil final de PeerTime y ejecutarla directamente en la memoria. PeerTime viene en dos versiones: una versión escrita en C/C++ y una variante más nueva programada en Rust. Además de tener la capacidad de cambiarse el nombre a sí mismo como un proceso inofensivo para eludir la detección, la puerta trasera emplea el protocolo BitTorrent para obtener información C2, descargar archivos de sus pares y ejecutarlos en el sistema comprometido.

También se encuentran en los servidores del actor de amenazas un conjunto de scripts de shell y cargas útiles, incluido un escáner de fuerza bruta con nombre en código BruteEntry que se instala en dispositivos perimetrales para convertirlos en nodos proxy de escaneo masivo dentro de una Operational Relay Box (ORB) capaz de forzar servidores Postgres, SSH y Tomcat por fuerza bruta.

Esto se logra mediante un script de shell que coloca dos componentes basados ​​en Golang: un orquestador que entrega BruteEntry, que luego contacta a un servidor C2 para obtener la lista de direcciones IP a las que se dirigirán los ataques de fuerza bruta. En última instancia, la puerta trasera informa los inicios de sesión exitosos al servidor C2.

«El ‘éxito’ indica si la fuerza bruta tuvo éxito (verdadero o falso), y las ‘notas’ proporcionan información específica sobre si la fuerza bruta tuvo éxito», dijo Talos. «Si el inicio de sesión falló, la nota dice ‘Se intentaron todas las credenciales’».