{"id":1042,"date":"2026-06-02T10:31:11","date_gmt":"2026-06-02T10:31:11","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/02\/sidecopy-vinculado-a-pakistan-apunta-al-ministerio-de-finanzas-de-afganistan-con-xeno-rat-cyberdefensa-mx\/"},"modified":"2026-06-02T10:31:11","modified_gmt":"2026-06-02T10:31:11","slug":"sidecopy-vinculado-a-pakistan-apunta-al-ministerio-de-finanzas-de-afganistan-con-xeno-rat-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/02\/sidecopy-vinculado-a-pakistan-apunta-al-ministerio-de-finanzas-de-afganistan-con-xeno-rat-cyberdefensa-mx\/","title":{"rendered":"SideCopy vinculado a Pakist\u00e1n apunta al Ministerio de Finanzas de Afganist\u00e1n con Xeno RAT \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Investigadores de ciberseguridad han revelado detalles de una campa\u00f1a de phishing probablemente realizada por el gobierno alineado con Pakist\u00e1n. Copia lateral<\/b> grupo dirigido al Ministerio de Finanzas de Afganist\u00e1n con un troyano de acceso remoto de c\u00f3digo abierto llamado Xeno RAT.<\/p>\n

\u00abLa campa\u00f1a comienza con una entrega de phishing: un archivo ZIP que contiene un archivo LNK malicioso con un nombre de archivo cuidadosamente elaborado en idioma pashto\u00bb, dijo Dixit Panchal, investigador de Seqrite Labs. dicho<\/a> en un desglose t\u00e9cnico de la actividad.<\/p>\n

Tambi\u00e9n se dirigen como parte de la campa\u00f1a las direcciones provinciales de ingresos y finanzas, los funcionarios gubernamentales de habla past\u00fan y los empleados gubernamentales a nivel provincial. La campa\u00f1a ha recibido el nombre en clave Operaci\u00f3n XENOFISCAL.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

La elecci\u00f3n del past\u00fan para el archivo se\u00f1uelo es una elecci\u00f3n deliberada por parte del atacante, ya que es el idioma principal que se habla en los c\u00edrculos del gobierno afgano. Este aspecto refleja la familiaridad del atacante con el entorno objetivo.<\/p>\n

SideCopy es el nombre dado a un grupo de amenazas vinculado a Pakist\u00e1n que opera bajo el paraguas m\u00e1s amplio de Transparent Tribe (tambi\u00e9n conocido como APT36), utilizando una amplia gama de familias de malware para robar datos confidenciales de hosts comprometidos. En abril de 2025, el adversario fue atribuido a una serie de ataques dirigidos a varios sectores de la India con Xeno RAT, Spark RAT y CurlBack RAT.<\/p>\n

Vista desde esa perspectiva, la \u00faltima campa\u00f1a es una continuaci\u00f3n de un grupo m\u00e1s amplio de actividad cibern\u00e9tica maliciosa dirigida a entidades del sur de Asia.<\/p>\n

\"\"<\/a><\/div>\n

Una vez ejecutado, el archivo de acceso directo de Windows (LNK) aprovecha \u00abmshta.exe\u00bb para recuperar una aplicaci\u00f3n HTML remota (HTA) de un dominio educativo afgano comprometido, lo que lleva a la ejecuci\u00f3n de JavaScript ofuscado en la memoria. El malware tambi\u00e9n establece persistencia basada en el Registro al imitar a Microsoft Edge, al tiempo que elimina Xeno RAT 1.8.7 y un documento se\u00f1uelo como mecanismo de distracci\u00f3n mediante un cargador basado en DLL.<\/p>\n

Xeno RAT est\u00e1 dise\u00f1ado para conectarse con un servidor remoto a trav\u00e9s de TCP para manejar los comandos enviados por el operador. El malware est\u00e1 equipado para cargar y ejecutar m\u00f3dulos DLL externos, transmitir datos al servidor, iniciar el malware a trav\u00e9s de una tarea programada, recuperar informaci\u00f3n antivirus, admitir t\u00faneles de red basados \u200b\u200ben proxy SOCKS5, realizar operaciones de archivos, registrar pulsaciones de teclas, tomar capturas de pantalla, monitorear el portapapeles, rastrear la c\u00e1mara web\/micr\u00f3fono, eliminar m\u00e9todos de persistencia y desinstalarse del host.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

La divulgaci\u00f3n se produce cuando han surgido detalles de una operaci\u00f3n de phishing dirigida que aprovecha archivos .desktop de Linux armados para apuntar a la infraestructura militar india utilizando se\u00f1uelos relacionados con contratos asociados con operaciones de adquisici\u00f3n de veh\u00edculos blindados indios. Se considera que la campa\u00f1a es obra de Transparent Tribe.<\/p>\n

\u00abLa campa\u00f1a parece apuntar a individuos conectados a los ecosistemas de infraestructura militar y de defensa de la India utilizando ingenier\u00eda social basada en WhatsApp y entrega de carga \u00fatil por etapas\u00bb, dijo el investigador de seguridad RD Tarun. dicho<\/a> en un informe publicado el mes pasado.<\/p>\n

\u00abUna vez ejecutado, el lanzador malicioso .desktop inicia una cadena de infecci\u00f3n basada en shell muy ofuscada que involucra recuperaci\u00f3n de carga \u00fatil por etapas, rutinas de decodificaci\u00f3n en l\u00ednea y la implementaci\u00f3n de un implante ELF basado en Golang rastreado en este informe como DeskRAT\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Investigadores de ciberseguridad han revelado detalles de una campa\u00f1a de phishing probablemente realizada por el gobierno alineado con Pakist\u00e1n. Copia lateral grupo dirigido al Ministerio de Finanzas de Afganist\u00e1n con un troyano de acceso remoto de c\u00f3digo abierto llamado Xeno RAT. \u00abLa campa\u00f1a comienza con una entrega de phishing: un archivo ZIP que contiene un […]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[2846,27,31,24,1885,2845,349,209,2844,242,577],"class_list":["post-1042","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-afganistan","tag-apunta","tag-con","tag-cyberdefensa-mx","tag-finanzas","tag-ministerio","tag-pakistan","tag-rat","tag-sidecopy","tag-vinculado","tag-xeno"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1042","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1042"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1042\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1042"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1042"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1042"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}