Un servidor de Alibaba Cloud expuesto ha revelado una operación de nexo con China que Group-IB rastrea como JadeProx. El clúster se ha dirigido a organizaciones gubernamentales, sanitarias y educativas de Asia y América Latina con un cargador de Windows no documentado anteriormente llamado TriBack Loader.

Group-IB encontró el servidor a mediados de abril de 2026 en la región de Singapur de Alibaba Cloud; estaba desconectado cuando el informe publicado el 23 de julio de 2026.

Su historial de ataques, paquetes de phishing, herramientas posteriores a la explotación y rutas webshell delinearon la operación: intrusiones activas contra el sistema de imágenes médicas de un hospital público vietnamita y el Ministerio de Relaciones Exteriores de Malasia, escaneo y seguimiento de explotación contra la infraestructura educativa de Hong Kong y un paquete de phishing dirigido al Congreso Nacional de Honduras.

Los operadores llegaron al servidor de imágenes del hospital a través de webshells instalados en una interfaz de administración Java expuesta.

Un cargador, cuatro versiones

TriBack Loader aparece en cuatro cadenas de infección basadas en la carga lateral de DLL. La mayoría de las compilaciones recuperadas combinan un ejecutable firmado legítimo con una DLL maliciosa y una carga útil cifrada .dat o .log.

La DLL invierte los bytes de carga útil, los aplica XOR con una tecla móvil y ejecuta el código de shell a través de llamadas Win32 que EDR observa menos de cerca que CreateThread.

Las compilaciones rotan esa llamada final: InitOnceExecuteOnce y una devolución de llamada TimerQueue en dos variantes, y EtwpCreateEtwThread, una rutina de creación de subprocesos no documentada en ntdll, en una tercera. El binario del host firmado también cambió entre variantes. La secuencia API repetida sugiere un constructor de cargador personalizado, dicen los investigadores.

Dos variantes entregadas AdaptixC2un marco de post-explotación de código abierto. Una variante con temática de Claude usó DonutLoader para ejecutar Beagle, una puerta trasera Sofos Fue el primero en documentarlo. Se desconoce la carga útil de la cuarta variante; su archivo complementario cifrado nunca se recuperó.

Un archivo de phishing llevaba como señuelo un extracto de cuenta falso de una empresa de bebidas. Otra campaña se hizo pasar por el software Claude de Anthropic de claude-pro[.]com, registrado el 28 de marzo de 2026, que ofrece un instalador MSI malicioso que, después de un mensaje de UAC, colocó la cadena de descarga en la carpeta de inicio de Windows para su persistencia. La puerta trasera del Beagle que entregó informó a la licencia[.]claude-pro[.]com.

Sophos, trabajando desde el sitio falso, su infraestructura de alojamiento y muestras de malware, encontró la misma clave XOR reutilizada en compilaciones que se remontan a febrero, pero dijo que una clave compartida no era suficiente para concluir con un actor.

Group-IB, trabajando a partir del contenido del servidor expuesto, agrupa esas compilaciones con las intrusiones asiáticas. Todavía no llega a nombrar un grupo establecido: las herramientas se mueven libremente en el ecosistema del nexo con China, señala Group-IB, por lo que una coincidencia en herramientas no es una coincidencia en operadores.

Los operadores también ejecutaron Nuclei con plantillas de gravedad crítica solo en una lista de 14.653 URL relacionadas con la educación de Hong Kong, lo que reveló 13 vulnerabilidades únicas. Esas 14.653 URL son una lista de escaneo y el informe no dice cuántos de los seguimientos tuvieron éxito.

El informe menciona cuatro CVE que los operadores intentaron contra hosts individuales, y The Hacker News confirmó los cuatro contra NVD el 23 de julio de 2026: CVE-2018-11511 en ASUSTOR ADM, CVE-2021-24139 en el complemento de WordPress 10Web Photo Gallery, CVE-2021-31755 en enrutadores Tenda AC11 y CVE-2021-32305 en WebSVN. Cada uno tiene una puntuación base CVSS de 9,8. El error de Tenda ha estado activo Catálogo de vulnerabilidades explotadas conocidas de CISA desde el 3 de noviembre de 2021, con un plazo federal de remediación que expiró dos semanas después.

La detección comienza con la cadena de carga lateral

Sophos evaluó que el sitio falso de Claude probablemente formaba parte de una campaña activa de publicidad maliciosa. Si es así, la exposición va mucho más allá de los ministerios y hospitales, hasta llegar a los usuarios que buscan una descarga de Claude.

La detección funciona fuera del diseño del archivo, porque los nombres de los archivos y los hosts firmados cambian por compilación.

• Marque los archivos binarios de proveedores firmados que se ejecutan desde directorios de inicio, temporales o de escritura por parte del usuario, especialmente cuando un archivo .dat o .log cifrado se encuentra en la misma carpeta.
• Busque copias inesperadas de hostfxr.dll, avk.dll o MpClient.dll, además de carpetas anidadas _CL_###### y ~del.vbs.bat.
• Bloquear o investigar los dominios del cluster: claude-pro[.]com, licencia[.]claude-pro[.]com, estrategia sylverix[.]com, gouvvbo[.]arriba, asesores de vertextrust[.]com y tres proveedores de seguridad similares que comparten una IP, update-trellix[.]com, actualización-crowdstrike[.]com y actualización-sentinelone[.]com. El servidor provisional era 43.106.71[.]28 en el puerto 8000. Ambas listas provienen del informe del 23 de julio del Grupo-IB.
• Group-IB pone primero las aplicaciones Java orientadas a Internet, luego cualquier sistema público que tenga una falla de calificación 9.8 sin parchear, incluidos estos cuatro.

A pesar de toda la ingeniería del cargador, la mitad de escaneo de esta operación se basó en fallas reveladas en 2018 y 2021. Todo el trabajo personalizado se encuentra después del robo.