{"id":1298,"date":"2026-06-25T09:56:27","date_gmt":"2026-06-25T09:56:27","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/25\/nueva-puerta-trasera-mistic-vinculada-a-kongtuke-en-campanas-clickfix-y-modelorat-cyberdefensa-mx\/"},"modified":"2026-06-25T09:56:27","modified_gmt":"2026-06-25T09:56:27","slug":"nueva-puerta-trasera-mistic-vinculada-a-kongtuke-en-campanas-clickfix-y-modelorat-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/25\/nueva-puerta-trasera-mistic-vinculada-a-kongtuke-en-campanas-clickfix-y-modelorat-cyberdefensa-mx\/","title":{"rendered":"Nueva puerta trasera Mistic vinculada a KongTuke en campa\u00f1as ClickFix y ModeloRAT \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Una nueva puerta trasera sigilosa llamada <b>m\u00edstico<\/b> se ha implementado como parte de presuntos ataques con motivaci\u00f3n financiera dirigidos a m\u00faltiples organizaciones que abarcan los sectores de seguros, educaci\u00f3n, TI y servicios profesionales desde abril de 2026.<\/p>\n<p>Seg\u00fan Symantec y el equipo Threat Hunter de Carbon Black, se dice que la puerta trasera, tambi\u00e9n rastreada como MLTBackdoor, est\u00e1 vinculada a un corredor de acceso inicial (IAB) llamado KongTuke (tambi\u00e9n conocido como 404 TDS, Chaya_002, LandUpdate808, TAG-124 y Woodgnat), y se elimin\u00f3 junto con ModeloRAT, un troyano de acceso remoto (RAT) de Python previamente atribuido al grupo.<\/p>\n<p>\u00abLa puerta trasera ejecuta cargas \u00fatiles en la memoria sin ning\u00fan archivo escrito en el disco e incluye un interruptor de apagado que le permite eliminarse a s\u00ed mismo, caracter\u00edsticas consistentes con un operador que busca acceso a largo plazo y de baja visibilidad\u00bb, dijeron los equipos de ciberseguridad de Broadcom. <a href=\"https:\/\/www.security.com\/threat-intelligence\/new-mistic-backdoor-modeloRAT\">dicho<\/a> en un informe compartido con The Hacker News.<\/p>\n<p>ModeloRAT fue se\u00f1alado por primera vez por Huntress en enero de 2026 en relaci\u00f3n con una variante de una campa\u00f1a de ClickFix denominada CrashFix, en la que los actores de KongTuke utilizaron una extensi\u00f3n maliciosa de Google Chrome disfrazada de bloqueador de anuncios para bloquear intencionalmente el navegador web de una v\u00edctima y enga\u00f1arla para que ejecutara comandos arbitrarios con el pretexto de ejecutar un an\u00e1lisis de seguridad.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>El malware tambi\u00e9n se distribuy\u00f3 en una campa\u00f1a ClickFix diferente que implic\u00f3 la ejecuci\u00f3n de comandos que llevaban a cabo una b\u00fasqueda del Sistema de nombres de dominio (DNS) para recuperar la carga \u00fatil de la siguiente etapa, y Microsoft se\u00f1al\u00f3 que la cadena de ataque utiliza DNS como un \u00abcanal ligero de preparaci\u00f3n o se\u00f1alizaci\u00f3n\u00bb.<\/p>\n<p>El uso de ClickFix por parte de Mistic como vector de entrega fue <a href=\"https:\/\/thehackernews.com\/2026\/06\/threatsday-bulletin-worm-code-leaked-ai.html#clickfix-backdoor-expands\">destacado por Zscaler ThreatLabz a principios de este mes, atribuyendo la actividad a un actor de amenazas relacionado con ransomware para establecer un punto de apoyo para el movimiento lateral.<\/a><\/p>\n<p>Los \u00faltimos hallazgos de Broadcom muestran que el malware se basa en t\u00e9cnicas de carga lateral de DLL, utilizando herramientas confiables de seguridad de endpoints de Microsoft (\u00abMpExtMs.exe\u00bb) para integrarse y evitar generar se\u00f1ales de alerta. La puerta trasera se ejecuta directamente en la memoria, lo que permite una amplia gama de capacidades t\u00edpicamente asociadas con una familia de malware de este tipo.<\/p>\n<ul>\n<li>Cargar o descargar un archivo<\/li>\n<li>Mover, cambiar el nombre o eliminar un archivo<\/li>\n<li>Crear una carpeta<\/li>\n<li>Modificar el intervalo de tiempo despu\u00e9s del cual sondea un servidor remoto en busca de comandos<\/li>\n<li>Ejecute el c\u00f3digo recibido de C2 en la memoria sin dejar ning\u00fan artefacto en el disco<\/li>\n<li>Cargue archivos de objetos de baliza (BOF) para expandir din\u00e1micamente sus capacidades<\/li>\n<li>Terminar y eliminarse<\/li>\n<\/ul>\n<p>\u00abEl objetivo parece ser oportunista, ya que los atacantes lanzan una amplia red y luego eval\u00faan a qu\u00e9 organizaciones podr\u00edan vender acceso en lugar de centrarse en un solo sector\u00bb, dijeron Symantec y Carbon Black, y agregaron que ModeloRAT se ha observado en ataques que implementaron el ransomware Qilin.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/vpn-threat-report-m\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhFlTC7RrRZGiFAgASS0noWSL0qsQGFVp8-Hvuw9yp3X3VKRuTcb5SsPX09wJzrdIM6pu1_5lS4EeZp7Sx4iYBpNJkrGnpr08yyaS1HQ5_5TxaCsP6O0OtHNuOkesn6CbNjao1GPulCJk-uljYMSfMZfBYNrngpe669t7jlRn1FqiEnXhsFD1WVkpaYIVgh\/s728-e100\/ai-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Se sabe que KongTuke opera un sistema de distribuci\u00f3n de tr\u00e1fico (TDS) construido en sitios de WordPress comprometidos, us\u00e1ndolo para servir un conjunto de se\u00f1uelos en constante evoluci\u00f3n que llevan a los visitantes desprevenidos del sitio al malware. El mes pasado, Rapid7 y ReliaQuest revelaron que el actor de amenazas pas\u00f3 a enviar mensajes de Microsoft Teams desde una cuenta de soporte de TI falsa para desencadenar una cadena de ataque que conduce a la implementaci\u00f3n de ModeloRAT.<\/p>\n<p>\u00abEl sigilo de la puerta trasera tambi\u00e9n es notable, al igual que el hecho de que Woodgnat tambi\u00e9n est\u00e9 posiblemente detr\u00e1s del desarrollo de ModeloRAT, lo que indica un grupo que est\u00e1 muy capacitado en el desarrollo de herramientas de acceso remoto sigiloso\u00bb, dijo Broadcom. <\/p>\n<p>\u00abEl uso de herramientas personalizadas en ataques de ransomware se est\u00e1 convirtiendo en un fen\u00f3meno m\u00e1s com\u00fan, con m\u00faltiples ejemplos de grupos de ransomware que utilizan exfiltraci\u00f3n personalizada y otras herramientas en los \u00faltimos tiempos. Backdoor.Mistic parece ser una continuaci\u00f3n de esta tendencia, aunque parece probable que haya sido desarrollado por agentes de acceso que trabajan con afiliados de ransomware en lugar de un grupo de ransomware en s\u00ed\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Una nueva puerta trasera sigilosa llamada m\u00edstico se ha implementado como parte de presuntos ataques con motivaci\u00f3n financiera dirigidos a m\u00faltiples organizaciones que abarcan los sectores de seguros, educaci\u00f3n, TI y servicios profesionales desde abril de 2026. Seg\u00fan Symantec y el equipo Threat Hunter de Carbon Black, se dice que la puerta trasera, tambi\u00e9n rastreada [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[921,528,24,3301,3300,3302,312,32,33,488],"class_list":["post-1298","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-campanas","tag-clickfix","tag-cyberdefensa-mx","tag-kongtuke","tag-mistic","tag-modelorat","tag-nueva","tag-puerta","tag-trasera","tag-vinculada"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1298","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1298"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1298\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1298"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1298"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1298"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}