{"id":1309,"date":"2026-06-26T08:30:42","date_gmt":"2026-06-26T08:30:42","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/26\/google-detalla-la-nueva-puerta-trasera-stockstay-de-turla-utilizada-en-ataques-de-espionaje-en-ucrania-cyberdefensa-mx\/"},"modified":"2026-06-26T08:30:42","modified_gmt":"2026-06-26T08:30:42","slug":"google-detalla-la-nueva-puerta-trasera-stockstay-de-turla-utilizada-en-ataques-de-espionaje-en-ucrania-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/26\/google-detalla-la-nueva-puerta-trasera-stockstay-de-turla-utilizada-en-ataques-de-espionaje-en-ucrania-cyberdefensa-mx\/","title":{"rendered":"Google detalla la nueva puerta trasera STOCKSTAY de Turla utilizada en ataques de espionaje en Ucrania \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>El actor de amenazas patrocinado por el estado ruso conocido como Turla ha sido atribuido a una puerta trasera .NET previamente indocumentada llamada <b>ESTANCIA EN STOCK<\/b> que se ha desplegado contra organizaciones gubernamentales y militares en Ucrania, y entidades que tienen intereses en la pol\u00edtica exterior italiana.<\/p>\n<p>Al describir la puerta trasera de Windows como desarrollada continuamente por el grupo de pirater\u00eda, Google Threat Intelligence Group (GTIG) dijo que la herramienta de ciberespionaje comparte c\u00f3digo significativo y superposiciones funcionales con Kazuar, un implante b\u00e1sico utilizado por el adversario desde 2017. La actividad de desarrollo sospechada de malware se remonta a diciembre de 2022.<\/p>\n<p>\u00abSTOCKSTAY es una puerta trasera multicomponente escrita en .NET, que utiliza el marco Windows Forms, que se comunica con su comando y control (C2) a trav\u00e9s de una conexi\u00f3n WebSocket segura, utilizando el c\u00f3digo abierto. <a href=\"https:\/\/github.com\/sta\/websocket-sharp\">websocket-n\u00edtido<\/a> biblioteca\u00bb, GTIG <a href=\"https:\/\/cloud.google.com\/blog\/topics\/threat-intelligence\/stockstay-turla-intelligence-gathering\">dicho<\/a>.<\/p>\n<p>\u00abSTOCKSTAY consta de varios componentes distintos que se comunican entre s\u00ed a trav\u00e9s de un canal de comunicaci\u00f3n entre procesos (IPC), basado en el intercambio de <a href=\"https:\/\/learn.microsoft.com\/en-us\/windows\/win32\/dataxchg\/wm-copydata\">WM_COPYDATA<\/a> mensajes.\u00bb<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>La evidencia indica que el implante fue dise\u00f1ado originalmente para imitar una herramienta de visualizaci\u00f3n de datos del mercado de valores, antes de ser adaptado para hacerse pasar por otros programas inofensivos como visores de PDF y utilidades de calculadora. El punto de partida es un componente de descarga con nombre en c\u00f3digo STOCKSTAY.MARKETMAKER que instala y ejecuta tres m\u00f3dulos adicionales:<\/p>\n<ul>\n<li><b>STOCKSTAY.BROKER DE BOLSA<\/b>un tunelizador con reconocimiento de proxy que facilita las capacidades de comunicaci\u00f3n de red a la suite STOCKSTAY m\u00e1s amplia al establecer una conexi\u00f3n WebSocket segura a un servidor remoto espec\u00edfico.<\/li>\n<li><b>STOCKSTAY.STOCKTRADER<\/b>la principal puerta trasera que permite la recopilaci\u00f3n de informaci\u00f3n.<\/li>\n<li><b>STOCKSTAY.BOLSA<\/b>un orquestador o controlador que analiza la configuraci\u00f3n de la puerta trasera para establecer varias opciones con respecto a la ejecuci\u00f3n del malware, como el servidor WebSocket, el intervalo de tiempo y los d\u00edas en los que se supone que no debe funcionar. Tambi\u00e9n se comunica con STOCKSTAY.STOCKBROKER para proporcionar los detalles del servidor y recibir mensajes a trav\u00e9s de la conexi\u00f3n WebSocket establecida, as\u00ed como con STOCKSTAY.STOCKTRADER para emitir comandos que se ejecutar\u00e1n en el host comprometido.<\/li>\n<\/ul>\n<table cellpadding=\"0\" cellspacing=\"0\" class=\"tr-caption-container\" style=\"float: left;\">\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEi2jpA4sC2nD22pzqW5RYgZr8eP95jIASVMGntCgzA1J1W3uFIZeUYWX7JP68Ef4xDlda3G-lg0yNhvq8Vqr1iFFZ-xA6BLs_RXL_mrkLgw9MTwsRdr4HMLXMfJqjpe3nJNL5ZjNFzmRO1kaV8LZ6RRhWkLaDb7D_WK4rNveN6pJu4v9VkbBugxZ1FD1iIj\/s1700-e365\/google-1.png\" style=\"clear: left; display: block; margin-left: auto; margin-right: auto;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEi2jpA4sC2nD22pzqW5RYgZr8eP95jIASVMGntCgzA1J1W3uFIZeUYWX7JP68Ef4xDlda3G-lg0yNhvq8Vqr1iFFZ-xA6BLs_RXL_mrkLgw9MTwsRdr4HMLXMfJqjpe3nJNL5ZjNFzmRO1kaV8LZ6RRhWkLaDb7D_WK4rNveN6pJu4v9VkbBugxZ1FD1iIj\/s1700-e365\/google-1.png\" alt=\"\" border=\"0\" data-original-height=\"1454\" data-original-width=\"2048\"\/><\/a><\/td>\n<\/tr>\n<tr>\n<td class=\"tr-caption\" style=\"text-align: center;\">Arquitectura del malware STOCKSTAY<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Algunos de los comandos de soporte de STOCKSTAY.STOCKTRADER se enumeran a continuaci\u00f3n:<\/p>\n<ul>\n<li>Del, para eliminar los archivos especificados<\/li>\n<li>Dir, para enumerar los directorios especificados.<\/li>\n<li>Obtener, para recuperar uno o m\u00e1s archivos espec\u00edficos que coincidan con ciertas extensiones<\/li>\n<li>MkDir, para crear uno o m\u00e1s directorios<\/li>\n<li>RmDir, para eliminar los directorios especificados<\/li>\n<li>Imagen, para realizar una captura de pantalla de la pantalla del dispositivo<\/li>\n<li>MultyTask, para ejecutar una lista de tareas separadas por punto y coma a la vez<\/li>\n<li>Poner, para subir un archivo al dispositivo<\/li>\n<li>RegRead, para leer un valor del Registro de Windows<\/li>\n<li>RegDelete, para eliminar un valor del Registro de Windows<\/li>\n<li>RegWrite, para establecer un valor del Registro de Windows<\/li>\n<li>Ejecutar, para ejecutar un nuevo proceso.<\/li>\n<li>Sysinfo, para recopilar informaci\u00f3n del sistema.<\/li>\n<li>UnpackArchive, para extraer el archivo ZIP especificado a su directorio actual<\/li>\n<\/ul>\n<p>Google dijo que identific\u00f3 un repositorio GitHub de acceso p\u00fablico (\u00ab<a href=\"https:\/\/github.com\/ChikenFresh\/google-ai-labs-it\">ChikenFresh\/google-ai-labs-it<\/a>\u00ab) que contiene una implementaci\u00f3n de Python del controlador de servidor STOCKSTAY WebSocket orientado a la v\u00edctima que es responsable de manejar los mensajes entrantes de un cliente conectado y registrar su direcci\u00f3n IP.<\/p>\n<p>\u00abLa incapacidad del servidor para descifrar los mensajes entrantes impide la introspecci\u00f3n por parte de los operadores de la plataforma y confunde a\u00fan m\u00e1s la ubicaci\u00f3n de la infraestructura dedicada del actor de la amenaza\u00bb, se\u00f1al\u00f3 GTIG. \u00abEsta arquitectura se parece un poco a la infraestructura Kazuar C2 de m\u00faltiples saltos de Turla\u00bb.<\/p>\n<p>Los ataques que distribuyen STOCKSTAY han aprovechado constantemente se\u00f1uelos de tem\u00e1tica acad\u00e9mica o diplom\u00e1tica para apuntar a organizaciones gubernamentales y militares dentro de Ucrania, y las primeras versiones de la puerta trasera se utilizaron en ataques dirigidos a entidades en Italia, los Pa\u00edses Bajos, Polonia y Alemania. Dicho esto, se desconoce qu\u00e9 entidades europeas fueron se\u00f1aladas en estos ataques. <\/p>\n<table cellpadding=\"0\" cellspacing=\"0\" class=\"tr-caption-container\" style=\"float: left;\">\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEifds_fej3eLUylgsnZl0yK1HqzWd2sw00zhDctxmW5P77HJ2Zk4tuIsFRYZwOyZjDyWlywyFWgl13KHGN3jwR9twSn4FQRmEycAwZ7kEPB_H8ZB84VJ9eVY3kSYE3iCuud73ci2qT0lu52RuuiKhGSlKxDLNUYh9vDQYHy24ux778wdhyphenhyphen5F2bxfZOgZdjV\/s1700-e365\/google-2.png\" style=\"clear: left; display: block; margin-left: auto; margin-right: auto;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEifds_fej3eLUylgsnZl0yK1HqzWd2sw00zhDctxmW5P77HJ2Zk4tuIsFRYZwOyZjDyWlywyFWgl13KHGN3jwR9twSn4FQRmEycAwZ7kEPB_H8ZB84VJ9eVY3kSYE3iCuud73ci2qT0lu52RuuiKhGSlKxDLNUYh9vDQYHy24ux778wdhyphenhyphen5F2bxfZOgZdjV\/s1700-e365\/google-2.png\" alt=\"\" border=\"0\" data-original-height=\"1275\" data-original-width=\"2048\"\/><\/a><\/td>\n<\/tr>\n<tr>\n<td class=\"tr-caption\" style=\"text-align: center;\">Cronolog\u00eda de las observaciones de STOCKSTAY<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>En al menos un caso observado a principios de 2025, se dice que los actores de Turla emplearon un correo electr\u00f3nico de phishing que conten\u00eda un archivo adjunto RDP malicioso que, cuando se abre, establece una conexi\u00f3n entre el dispositivo de la v\u00edctima y la infraestructura controlada por el actor, a trav\u00e9s de la cual se pueden implementar cargas \u00fatiles adicionales, incluido STOCKSTAY.<\/p>\n<p>En noviembre de 2025, se descubri\u00f3 que una ola de phishing por correo electr\u00f3nico dirigida a Ucrania entregaba el implante a trav\u00e9s de archivos RAR que explotan CVE-2025-8088, una vulnerabilidad de WinRAR que ha sido explotada por varios grupos de hackers rusos como Sandworm, Gamaredon y RomCom.<\/p>\n<p>Otras campa\u00f1as han aprovechado instaladores MSI (en un caso alojados en GitHub) y archivos RAR que contienen un script de aplicaci\u00f3n HTML (HTA), el \u00faltimo de los cuales est\u00e1 dise\u00f1ado para ejecutar una variante de STOCKSTAY.MARKETMAKER. Luego, el descargador recupera un archivo ZIP que contiene los componentes principales de STOCKSTAY alojado en una instancia comprometida de WordPress.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/vpn-threat-report-m\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhFlTC7RrRZGiFAgASS0noWSL0qsQGFVp8-Hvuw9yp3X3VKRuTcb5SsPX09wJzrdIM6pu1_5lS4EeZp7Sx4iYBpNJkrGnpr08yyaS1HQ5_5TxaCsP6O0OtHNuOkesn6CbNjao1GPulCJk-uljYMSfMZfBYNrngpe669t7jlRn1FqiEnXhsFD1WVkpaYIVgh\/s728-e100\/ai-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Un aspecto digno de menci\u00f3n del malware es que Turla lo ha empleado en m\u00faltiples etapas distintas de sus operaciones, una como una forma de obtener acceso inicial a entornos que no han sido perfilados previamente y durante la post-explotaci\u00f3n despu\u00e9s del reconocimiento para su ejecuci\u00f3n en un host espec\u00edfico.<\/p>\n<p>\u00abEsta configuraci\u00f3n implica que, en esta etapa, el actor sabe exactamente qu\u00e9 m\u00e1quina est\u00e1 siendo atacada, probablemente a trav\u00e9s de los accesos existentes al entorno de destino\u00bb, explic\u00f3 GTIG. Esto se vio dentro de las redes ucranianas donde STOCKSTAY se despleg\u00f3 hacia el final de una operaci\u00f3n que anteriormente hab\u00eda dependido en gran medida de otras herramientas del grupo, como Kazuar\u00bb.<\/p>\n<p>Las superposiciones de STOCKSTAY con Kazuar surgen de las similitudes en c\u00f3mo se delinean las responsabilidades entre los diferentes componentes. El uso de Kazuar de los m\u00f3dulos Kernel, Bridge y Worker dentro de Kazuar fue detallado ampliamente por el equipo de Microsoft Threat Intelligence el mes pasado. La separaci\u00f3n de distintos componentes basados \u200b\u200ben roles en STOCKSTAY se detect\u00f3 por primera vez en una muestra cargada en VirusTotal en diciembre de 2023 desde los Pa\u00edses Bajos.<\/p>\n<p>Estos puntos en com\u00fan han planteado la posibilidad de que tanto STOCKSTAY como Kazuar hayan sido desarrollados y mantenidos en parte por el mismo desarrollador o equipo.<\/p>\n<p>\u00abCreemos que STOCKSTAY se est\u00e1 desarrollando a imagen de KAZUAR, y es probable que varias decisiones de dise\u00f1o surjan de la gran experiencia del actor de amenazas en la realizaci\u00f3n de operaciones utilizando este conjunto de herramientas de larga data\u00bb, dijo Google. \u00abAmbos ecosistemas dependen en gran medida del desarrollo .NET y se ha observado que utilizan sitios de WordPress comprometidos durante varias etapas de sus operaciones\u00bb.<\/p>\n<p>\u00abEvaluamos con poca confianza que nuestras observaciones del despliegue de STOCKSTAY junto a KAZUAR durante las operaciones activas pueden ser el resultado de que el actor de amenazas busca probar nuevas capacidades en operaciones activas, particularmente donde pueden esperar que su acceso existente sea remediado en un futuro cercano\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>El actor de amenazas patrocinado por el estado ruso conocido como Turla ha sido atribuido a una puerta trasera .NET previamente indocumentada llamada ESTANCIA EN STOCK que se ha desplegado contra organizaciones gubernamentales y militares en Ucrania, y entidades que tienen intereses en la pol\u00edtica exterior italiana. Al describir la puerta trasera de Windows como [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[233,24,1547,907,256,312,32,3330,33,2554,493,3274],"class_list":["post-1309","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-ataques","tag-cyberdefensa-mx","tag-detalla","tag-espionaje","tag-google","tag-nueva","tag-puerta","tag-stockstay","tag-trasera","tag-turla","tag-ucrania","tag-utilizada"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1309","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1309"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1309\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1309"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1309"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1309"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}