{"id":1311,"date":"2026-06-26T10:33:58","date_gmt":"2026-06-26T10:33:58","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/26\/microsoft-advierte-sobre-una-campana-de-phishing-de-fotografias-zip-dirigida-a-hoteles-con-implante-node-js-cyberdefensa-mx\/"},"modified":"2026-06-26T10:33:58","modified_gmt":"2026-06-26T10:33:58","slug":"microsoft-advierte-sobre-una-campana-de-phishing-de-fotografias-zip-dirigida-a-hoteles-con-implante-node-js-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/26\/microsoft-advierte-sobre-una-campana-de-phishing-de-fotografias-zip-dirigida-a-hoteles-con-implante-node-js-cyberdefensa-mx\/","title":{"rendered":"Microsoft advierte sobre una campa\u00f1a de phishing de fotograf\u00edas ZIP dirigida a hoteles con implante Node.js \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Una campa\u00f1a activa de phishing ha estado dirigida a hoteles y otras organizaciones hoteleras en Europa y Asia desde abril de 2026, utilizando archivos ZIP con temas fotogr\u00e1ficos para colocar un implante Node.js y profundizar en las m\u00e1quinas de la recepci\u00f3n, dice Microsoft.<\/p>\n

La compa\u00f1\u00eda no ha atribuido la actividad a ning\u00fan actor de amenazas conocido y el objetivo final de los operadores a\u00fan no est\u00e1 claro.<\/p>\n

El atractivo reside en c\u00f3mo funcionan los hoteles. Los correos electr\u00f3nicos de phishing llevan el nombre para mostrar \u00abAdministrador de reservas (a trav\u00e9s de Calendly)\u00bb y hacen referencia a quejas de los hu\u00e9spedes, infestaciones de chinches, consultas sobre habitaciones, inspecciones sanitarias y rese\u00f1as de estad\u00edas.<\/p>\n

Los se\u00f1uelos ven\u00edan en japon\u00e9s, dan\u00e9s y holand\u00e9s, siendo el japon\u00e9s el m\u00e1s com\u00fan. La l\u00ednea de asunto no menciona ning\u00fan destinatario o propiedad, lo que indica un env\u00edo de gran volumen basado en listas en lugar de un phishing personalizado. La presi\u00f3n es reputacional: quejas, advertencias finales, amenazas de inspecciones.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

La entrega es la parte interesante. Los operadores enrutan mensajes a trav\u00e9s del sistema de notificaci\u00f3n por correo electr\u00f3nico de Calendly y el servicio de redireccionamiento de URL de Google, un truco al que Microsoft llama lavado de autenticaci\u00f3n<\/b>. Los correos electr\u00f3nicos enviados a trav\u00e9s de la ruta directa de Calendly pasan por SPF, DKIM y DMARC, porque en realidad se env\u00edan desde una infraestructura autorizada.<\/p>\n

Los controles confirman que el remitente tiene permiso para enviar. No dicen nada sobre para qu\u00e9 sirve el mensaje. Luego, una cadena de m\u00faltiples saltos gu\u00eda a la v\u00edctima desde un enlace de Calendly a trav\u00e9s de share.google y una redirecci\u00f3n de Google a un dominio .cfd reci\u00e9n registrado y con Cloudflare. Ese dominio se encuentra detr\u00e1s de un desaf\u00edo Turnstile que tambi\u00e9n funciona como antian\u00e1lisis.<\/p>\n

Haga clic y el objetivo descargar\u00e1 un archivo llamado foto-.cremallera. Dentro hay un atajo que se hace pasar por una imagen: IMG-.png.lnk en la primera ola, FOTO-.png.lnk en el segundo.<\/numbers><\/numbers><\/numbers><\/p>\n

\"\"<\/a><\/div>\n

Al abrirlo se activa PowerShell. El script utiliza aritm\u00e9tica BigInt para decodificar una URL de descarga oculta, extrae un .ps1 a %TEMP% y coloca un tiempo de ejecuci\u00f3n leg\u00edtimo de Node.js v24.13.0 desde nodejs.org en el espacio del usuario, que luego ejecuta el implante de JavaScript. No se necesita ninguna instalaci\u00f3n de Node en todo el sistema.<\/p>\n

El implante se rastrea como TonRAT<\/b>. Resuelve sus dominios C2 a trav\u00e9s de la API de blockchain de TON y luego abre un canal WebSocket cifrado, seg\u00fan SOC Prime<\/a>. Obtener dominios sobre la marcha hace que las listas de bloqueo est\u00e1ticas sean menos \u00fatiles.<\/p>\n

Despu\u00e9s del compromiso, el implante dirigi\u00f3 direcciones IP fijas a trav\u00e9s de puertos no est\u00e1ndar: 8443, 8445, 8453, 5555 y 56001 a 56003. Algunos hosts tambi\u00e9n mostraron automatizaci\u00f3n del navegador sin cabeza (\u2013headless \u2013no-sandbox), una verificaci\u00f3n de geolocalizaci\u00f3n de ip-api.com y un apagado forzado a trav\u00e9s de cmd \/c Shutdown -s -t 0. Microsoft no ha informado<\/a> Robo de datos confirmado, ransomware o v\u00edctimas nombradas.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

La correcci\u00f3n completa debe afectar a ambas rutas de persistencia: la entrada RunOnce que apunta a ProgramData y la clave Run de Node.js, adem\u00e1s de los archivos runtime y .js en AppData\\Local\\Nodejs. Tirar de uno deja al otro vivo. Los sistemas de recepci\u00f3n, reservas y front office son los primeros lugares donde buscar.<\/p>\n

La campa\u00f1a no es nueva. SOC Prime y ITOCHU<\/a> document\u00f3 el mismo phishing de hotel y la cadena LNK-to-PowerShell-to-Node.js unas dos semanas antes, y Microsoft dice que sus hallazgos coinciden con esos informes.<\/p>\n

El phishing con temas de reservas dirigido al personal del hotel ha sido un patr\u00f3n recurrente, incluidas las campa\u00f1as de ClickFix que utilizaron PureRAT para robar los inicios de sesi\u00f3n de Booking.com.<\/p>\n

Lo que ninguno de los informes puede responder todav\u00eda es lo que quieren estos operadores. El acceso es duradero, es f\u00e1cil equivocarse en la limpieza y la carga \u00fatil final no ha sido fijada. Esto es suficiente para tratar esto como algo m\u00e1s que otro phishing relacionado con reservas.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Una campa\u00f1a activa de phishing ha estado dirigida a hoteles y otras organizaciones hoteleras en Europa y Asia desde abril de 2026, utilizando archivos ZIP con temas fotogr\u00e1ficos para colocar un implante Node.js y profundizar en las m\u00e1quinas de la recepci\u00f3n, dice Microsoft. La compa\u00f1\u00eda no ha atribuido la actividad a ning\u00fan actor de amenazas […]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[51,133,31,24,462,3332,3333,3334,50,2332,365,54,132,818],"class_list":["post-1311","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-advierte","tag-campana","tag-con","tag-cyberdefensa-mx","tag-dirigida","tag-fotografias","tag-hoteles","tag-implante","tag-microsoft","tag-node-js","tag-phishing","tag-sobre","tag-una","tag-zip"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1311","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1311"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1311\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1311"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1311"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1311"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}