{"id":1317,"date":"2026-06-26T17:47:46","date_gmt":"2026-06-26T17:47:46","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/26\/la-apt-de-habla-china-implementa-una-nueva-puerta-trasera-tinyrct-en-la-campana-del-sudeste-asiatico-cyberdefensa-mx\/"},"modified":"2026-06-26T17:47:46","modified_gmt":"2026-06-26T17:47:46","slug":"la-apt-de-habla-china-implementa-una-nueva-puerta-trasera-tinyrct-en-la-campana-del-sudeste-asiatico-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/26\/la-apt-de-habla-china-implementa-una-nueva-puerta-trasera-tinyrct-en-la-campana-del-sudeste-asiatico-cyberdefensa-mx\/","title":{"rendered":"La APT de habla china implementa una nueva puerta trasera TinyRCT en la campa\u00f1a del sudeste asi\u00e1tico \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Un actor de amenaza persistente avanzada (APT) de habla china ha sido vinculado a una nueva puerta trasera personalizada llamada TinyRCT como parte de ataques cibern\u00e9ticos dirigidos a entidades gubernamentales e infraestructura cr\u00edtica en el sudeste asi\u00e1tico.<\/p>\n

La actividad, particularmente dirigida a empresas estatales en los sectores energ\u00e9tico y gubernamental, ha sido atribuida a un actor de amenazas llamado CL-STA-1062<\/b>que seg\u00fan la Unidad 42 de Palo Alto Networks comparte se superpone con UAT-7237, un grupo de pirater\u00eda que fue se\u00f1alado por primera vez por Cisco Talos en agosto de 2025 en relaci\u00f3n con una campa\u00f1a dirigida contra entidades de infraestructura web en Taiw\u00e1n.<\/p>\n

La Unidad 42 dijo que tambi\u00e9n observ\u00f3 campa\u00f1as CL-STA-1062 en operaciones anteriores dirigidas a sectores estrat\u00e9gicos en el este de Asia desde marzo de 2022, lo que sugiere un enfoque m\u00e1s amplio pero sostenido en la regi\u00f3n.<\/p>\n

\u00abDesde un punto de vista t\u00e9cnico, los atacantes detr\u00e1s de CL-STA-1062 se basan en un conjunto de herramientas h\u00edbrido\u00bb, Unidad 42 dicho<\/a> en un informe t\u00e9cnico. \u00abSi bien utilizan con frecuencia herramientas comunes de c\u00f3digo abierto como SoftEther VPN, Mimikatz y VNT, recientemente introdujeron TinyRCT, una puerta trasera hecha a medida y que antes no estaba documentada\u00bb.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

TinyRCT est\u00e1 equipado para ejecutar comandos arbitrarios, enumerar archivos y filtrarlos, capturar la pantalla del dispositivo y eliminarse del host comprometido.<\/p>\n

En una campa\u00f1a detectada en septiembre de 2025, se dice que el actor de amenazas se infiltr\u00f3 en una entidad gubernamental del sudeste asi\u00e1tico y despleg\u00f3 un shell web para extraer datos de un servidor MS SQL. Durante el mismo ataque, se descubri\u00f3 que los actores de la amenaza realizaban reconocimiento de red en una entidad gubernamental separada en el mismo pa\u00eds.<\/p>\n

\u00abEsto sugiere un esfuerzo para identificar oportunidades de movimiento lateral y ampliar su acceso. En un caso, observamos al atacante organizar y exfiltrar un directorio completo de c\u00f3digo fuente del servidor web de la entidad gubernamental\u00bb, dijo la Unidad 42, agregando que detect\u00f3 la violaci\u00f3n de al menos 10 organizaciones diferentes en el sudeste asi\u00e1tico entre octubre y diciembre de 2025.<\/p>\n

Desde al menos mediados de 2025, CL-STA-1062 ha centrado su mirada en la infraestructura cr\u00edtica, con el adversario escaneando m\u00faltiples entidades en la regi\u00f3n en busca de vulnerabilidades y luego estableciendo un punto de apoyo a trav\u00e9s de shells web ASPX que facilitan el reconocimiento inicial y las solicitudes salientes de las redes infectadas a la infraestructura controlada por el atacante, lo que lleva al despliegue de cargas \u00fatiles adicionales.<\/p>\n

\"\"<\/a><\/div>\n

Esto incluye componentes de SoftEther VPN y archivos RAR que contienen el conjunto de herramientas del grupo, incluidas utilidades de c\u00f3digo abierto como yuze<\/a> (un proxy SOCKS5) y VNT<\/a> (una VPN), a menudo disfraz\u00e1ndolos como ejecutables de VMware o un agente XDR (por ejemplo, \u00abXDRAgent.exe\u00bb, \u00abvmtools.exe\u00bb y \u00abvmwared.exe\u00bb).<\/p>\n

Un an\u00e1lisis m\u00e1s profundo de la infraestructura de la campa\u00f1a ha llevado al descubrimiento de una puerta trasera .NET no documentada anteriormente denominada TinyRCT (\u00abPerfWatson2.exe\u00bb), un troyano ligero de acceso remoto que permite el reconocimiento del sistema, la ejecuci\u00f3n de comandos, la carga de archivos, la captura de capturas de pantalla, el control remoto y el borrado de rastros de s\u00ed mismo, mientras toma medidas para evitar la ejecuci\u00f3n en entornos aislados.<\/p>\n

Establece un canal de comunicaci\u00f3n persistente con un servidor remoto (\u00ab45.32.113[.]172\u00bb) a trav\u00e9s de HTTP, pero cifra los datos intercambiados utilizando cifrado AES-128 en modo CBC.<\/p>\n

\u00abEl malware opera en un modelo de baliza, con un intervalo de suspensi\u00f3n predeterminado de 10 segundos entre solicitudes\u00bb, explic\u00f3 la Unidad 42. \u00abSondea el servidor C2 en busca de instrucciones mediante solicitudes GET, mientras env\u00eda datos exfiltrados mediante solicitudes POST\u00bb.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

En cuanto a c\u00f3mo se entrega TinyRCT, toma la forma de un archivo malicioso llamado \u00abchrome_setup.zip\u00bb que contiene un ejecutable leg\u00edtimo (\u00abchrome_setup.exe\u00bb), un archivo de configuraci\u00f3n (\u00abchrome_setup.exe.config\u00bb) y una DLL fraudulenta (\u00abMyAppDomainManager.dll\u00bb) que se utiliza para desencadenar un Inyecci\u00f3n de AppDomainManager<\/a> ataque para cargar la DLL maliciosa, que funciona como un descargador comunic\u00e1ndose con \u00ab139.180.134[.]221\u00bb para recuperar \u00abPerfWatson2.exe\u00bb.<\/p>\n

\u00abLa combinaci\u00f3n de herramientas observada en este grupo de actividades refleja un enfoque pragm\u00e1tico en la selecci\u00f3n de herramientas y capacidades de ataque\u00bb, concluy\u00f3 la Unidad 42. \u00abLos atacantes detr\u00e1s de este grupo contin\u00faan aprovechando herramientas comunes de c\u00f3digo abierto como SoftEther VPN y VNT para facilitar el movimiento lateral\u00bb.<\/p>\n

\u00abNuestro descubrimiento de la puerta trasera TinyRCT en la infraestructura de los atacantes subraya su capacidad de personalizar herramientas para obtener capacidades espec\u00edficas. La combinaci\u00f3n de apuntar a la infraestructura cr\u00edtica y el desarrollo de malware personalizado sugiere que la actividad CL-STA-1062 seguir\u00e1 representando una amenaza para la regi\u00f3n\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Un actor de amenaza persistente avanzada (APT) de habla china ha sido vinculado a una nueva puerta trasera personalizada llamada TinyRCT como parte de ataques cibern\u00e9ticos dirigidos a entidades gubernamentales e infraestructura cr\u00edtica en el sudeste asi\u00e1tico. La actividad, particularmente dirigida a empresas estatales en los sectores energ\u00e9tico y gubernamental, ha sido atribuida a un […]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[2292,753,133,200,24,70,1718,226,312,32,752,3345,33,132],"class_list":["post-1317","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-apt","tag-asiatico","tag-campana","tag-china","tag-cyberdefensa-mx","tag-del","tag-habla","tag-implementa","tag-nueva","tag-puerta","tag-sudeste","tag-tinyrct","tag-trasera","tag-una"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1317","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1317"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1317\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1317"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1317"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1317"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}