{"id":1128,"date":"2026-06-09T13:29:03","date_gmt":"2026-06-09T13:29:03","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/09\/falla-de-winrar-explotada-por-grupos-alineados-con-rusia-para-desplegar-ladrones-en-ucrania-cyberdefensa-mx\/"},"modified":"2026-06-09T13:29:03","modified_gmt":"2026-06-09T13:29:03","slug":"falla-de-winrar-explotada-por-grupos-alineados-con-rusia-para-desplegar-ladrones-en-ucrania-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/09\/falla-de-winrar-explotada-por-grupos-alineados-con-rusia-para-desplegar-ladrones-en-ucrania-cyberdefensa-mx\/","title":{"rendered":"Falla de WinRAR explotada por grupos alineados con Rusia para desplegar ladrones en Ucrania \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Dos campa\u00f1as de ciberataques alineadas con Rusia han seguido explotando una falla de seguridad en WinRAR para atacar a organizaciones ucranianas, casi un a\u00f1o despu\u00e9s de que se publicaran parches para la vulnerabilidad.<\/p>\n

Trend Micro ha atribuido la actividad a Earth Dahu (tambi\u00e9n conocido como Gamaredon) y SHADOW-EARTH-066 (tambi\u00e9n conocido como UAC-0226). Implica la explotaci\u00f3n de CVE-2025-8088, una falla de recorrido de ruta que permite a un atacante escribir archivos fuera del directorio de extracci\u00f3n a trav\u00e9s de NTFS Alternate Data Streams (ADS). WinRAR lo parch\u00f3 en julio de 2025.<\/p>\n

Los hallazgos muestran \u00abc\u00f3mo el software no administrado mantiene abierto un punto de entrada explotado mucho despu\u00e9s de que se env\u00eda la soluci\u00f3n\u00bb, dijeron los investigadores de Trend Micro Hiroyuki Kakara y Feike Hacquebord. dicho<\/a> en un an\u00e1lisis publicado el lunes.<\/p>\n

La cadena de exploits WinRAR explotada por SHADOW-EARTH-066 es una desviaci\u00f3n de los droppers de macros de Excel utilizados anteriormente por el actor de amenazas para entregar un ladr\u00f3n de informaci\u00f3n llamado GIFTEDCROOK. La \u00faltima versi\u00f3n utiliza archivos RAR dise\u00f1ados que incluyen un documento PDF se\u00f1uelo y tres cargas \u00fatiles ADS ocultas que se encuentran fuera del directorio de extracci\u00f3n para iniciar la infecci\u00f3n.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Esto incluye un archivo de acceso directo de Windows (LNK) que se coloca en la carpeta Inicio para que se ejecute autom\u00e1ticamente cada vez que un usuario inicia sesi\u00f3n. Esto, a su vez, genera un cargador de PowerShell a trav\u00e9s de \u00abcmd.exe\u00bb, que luego usa la carga de DLL en memoria para finalmente iniciar una versi\u00f3n actualizada de GIFTEDCROOK (\u00abresult.dll\u00bb).<\/p>\n

El malware se dirige a contrase\u00f1as y cookies de navegadores basados \u200b\u200ben Chromium (Google Chrome, Microsoft Edge y Opera) y Mozilla Firefox, adem\u00e1s de recopilar documentos que coinciden con ciertas extensiones de la m\u00e1quina de la v\u00edctima. Una vez que los datos se filtran a un servidor externo, todos los artefactos maliciosos se eliminan para ocultar el rastro forense.<\/p>\n

\"\"<\/a><\/div>\n

Un cambio notable es el cambio de Telegram como canal de exfiltraci\u00f3n a servidores dedicados de comando y control (C2), una modificaci\u00f3n clave que probablemente se alinea con el bloqueo de Rusia de la plataforma de mensajer\u00eda en el pa\u00eds a principios de febrero.<\/p>\n

El segundo grupo de hackers afiliado a Rusia que utiliza CVE-2025-8088 como arma es Earth Dahu, que ha incorporado la falla a su arsenal desde al menos septiembre de 2025. El adversario es conocido por su \u00abesfuerzo a escala industrial\u00bb para mantener el acceso a largo plazo a las organizaciones comprometidas.<\/p>\n

\u00abEarth Dahu utiliz\u00f3 la vulnerabilidad con una cadena de infecci\u00f3n de HTA a VBScript que entregaba m\u00f3dulos de espionaje\u00bb, se\u00f1al\u00f3 Trend Micro. \u00abSeg\u00fan las marcas de tiempo internas de los archivos RAR y las convenciones de nomenclatura de archivos, la cadena permaneci\u00f3 activa al menos hasta el 10 de abril de 2026\u00bb.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Estos ataques, como tambi\u00e9n document\u00f3 recientemente Sekoia la semana pasada, conducen a la implementaci\u00f3n de GammaPhish, una aplicaci\u00f3n HTML (HTA), que luego se utiliza para recuperar un descargador de VBScript llamado GammaLoad. Posteriormente, el descargador intermedio ofrece m\u00f3dulos adicionales como GammaSteel.<\/p>\n

GammaLoad es \u00abuna colecci\u00f3n de VBScripts dise\u00f1ada para garantizar el acceso continuo e implementar cargas \u00fatiles a lo largo del tiempo aprovechando Dead Drop Resolvers (DDR)\u00bb, Sekoia dicho<\/a>agregando que se usa para implementar un cuentagotas dise\u00f1ado para iniciar un cargador de VBScript responsable de ejecutar GammaAcero<\/a>un completo ladr\u00f3n de informaci\u00f3n que puede monitorear los cambios en los archivos en tiempo real.<\/p>\n

\u00abWinRAR est\u00e1 profundamente arraigado en las operaciones diarias de las organizaciones ucranianas, lo que lo convierte en un objetivo atractivo para la explotaci\u00f3n\u00bb, afirm\u00f3 Trend Micro. \u00abLa convergencia de grupos establecidos respaldados por el Estado y grupos rastreados de forma independiente en una \u00fanica vulnerabilidad refleja la escala de las amenazas cibern\u00e9ticas que enfrenta Ucrania\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Dos campa\u00f1as de ciberataques alineadas con Rusia han seguido explotando una falla de seguridad en WinRAR para atacar a organizaciones ucranianas, casi un a\u00f1o despu\u00e9s de que se publicaran parches para la vulnerabilidad. Trend Micro ha atribuido la actividad a Earth Dahu (tambi\u00e9n conocido como Gamaredon) y SHADOW-EARTH-066 (tambi\u00e9n conocido como UAC-0226). Implica la explotaci\u00f3n […]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[2987,31,24,2988,947,263,585,2989,36,127,1278,493,20],"class_list":["post-1128","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-alineados","tag-con","tag-cyberdefensa-mx","tag-desplegar","tag-explotada","tag-falla","tag-grupos","tag-ladrones","tag-para","tag-por","tag-rusia","tag-ucrania","tag-winrar"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1128","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1128"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1128\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1128"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1128"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1128"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}