{"id":1330,"date":"2026-06-26T19:53:19","date_gmt":"2026-06-26T19:53:19","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/26\/el-nuevo-malware-sharkloader-implementa-cobalt-strike-en-los-ciberataques-strikeshark-cyberdefensa-mx\/"},"modified":"2026-06-26T19:53:19","modified_gmt":"2026-06-26T19:53:19","slug":"el-nuevo-malware-sharkloader-implementa-cobalt-strike-en-los-ciberataques-strikeshark-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/26\/el-nuevo-malware-sharkloader-implementa-cobalt-strike-en-los-ciberataques-strikeshark-cyberdefensa-mx\/","title":{"rendered":"El nuevo malware SharkLoader implementa Cobalt Strike en los ciberataques StrikeShark \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Se ha observado una campa\u00f1a de ciberataque recientemente descubierta que entrega una familia de malware previamente no documentada llamada <b>cargador de tiburones <\/b>que act\u00faa como un cargador para implementar Cobalt Strike Beacon en hosts comprometidos.<\/p>\n<p>Kaspersky, que rastrea la actividad bajo el nombre de <b>HuelgaTibur\u00f3n<\/b>dijo que la campa\u00f1a se ha dirigido a una organizaci\u00f3n diplom\u00e1tica en Indonesia, organizaciones gubernamentales en Taiw\u00e1n, empresas de desarrollo de software en varios pa\u00edses y entidades asociadas con otros sectores ubicados en Hong Kong, L\u00edbano, Siria, Colombia, Macedonia del Norte, Nepal y Serbia. <\/p>\n<p>\u00abLa victimolog\u00eda observada sugiere una campa\u00f1a con un amplio alcance geogr\u00e1fico y un conjunto de objetivos diversos en lugar de un enfoque limitado en una industria o regi\u00f3n espec\u00edfica\u00bb, dijo el proveedor ruso de ciberseguridad. <a href=\"https:\/\/securelist.com\/strikeshark-campaign\/120326\/\" target=\"_blank\">dicho<\/a>.<\/p>\n<p>La campa\u00f1a no muestra v\u00ednculos directos con ning\u00fan actor o grupo de amenazas conocido, aunque los operadores han utilizado varias herramientas de c\u00f3digo abierto posteriores al compromiso, como FScan y Pillager, com\u00fanmente utilizadas por desarrolladores de habla china. Se cree que la campa\u00f1a es obra de un actor amenazador de habla china.<\/p>\n<p>Las cadenas de ataque involucran las dos v\u00edas de acceso iniciales: la explotaci\u00f3n de fallas conocidas de Exchange Server, como CVE-2021-26855 (tambi\u00e9n conocido como ProxyLogon), para atacar a la entidad diplom\u00e1tica de Indonesia, o a trav\u00e9s de una vulnerabilidad de recorrido de ruta que afecta a Openfire (CVE-2023-32315) en el caso de organizaciones de desarrollo de software taiwanesas, o un error cr\u00edtico de ejecuci\u00f3n remota de c\u00f3digo en GeoServer (CVE-2024-36401) para atacar a un colombiano. organizaci\u00f3n.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Otras vulnerabilidades de elusi\u00f3n de autenticaci\u00f3n y ejecuci\u00f3n remota de c\u00f3digo utilizadas por el actor de amenazas se enumeran a continuaci\u00f3n:<\/p>\n<p>Se eval\u00faa que los actores de amenazas probablemente est\u00e9n empleando exploits de prueba de concepto (PoC) disponibles p\u00fablicamente alojados en GitHub u otras plataformas de c\u00f3digo abierto para obtener acceso inicial de manera oportunista. Al lograr un punto de apoyo, los actores de amenazas establecen persistencia mediante el despliegue de shells web para activar una cadena de carga lateral de DLL que involucra \u00ab<a href=\"https:\/\/securelist.com\/detecting-dll-hijacking-with-machine-learning-in-kaspersky-siem\/117567\/\">Configuraci\u00f3n del sistema.exe<\/a>\u00bb (CVE-2021-27076) para entregar SharkLoader (\u00abSystemSettings.dll\u00bb).<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEiBe-ItR7uvgoekgEBkS6B9AXL6oRlFDwyNhjjcyDV76dF9ozBBvPtRwuXvfKiUOV9SrW0A0j5lWhpICJHq-NVZDuoisp5w4klpNz00H8RWVEkV97b0mm2CTrmUuQ6uMg09tTyoqxGICeOSNYl3Fhtv-jibBngipERZmsfyz1XM03ru9M7Qvc9ssUEdDRCx\/s1700-e365\/kas.jpg\" style=\"display: block;  text-align: center; clear: left; float: left;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEiBe-ItR7uvgoekgEBkS6B9AXL6oRlFDwyNhjjcyDV76dF9ozBBvPtRwuXvfKiUOV9SrW0A0j5lWhpICJHq-NVZDuoisp5w4klpNz00H8RWVEkV97b0mm2CTrmUuQ6uMg09tTyoqxGICeOSNYl3Fhtv-jibBngipERZmsfyz1XM03ru9M7Qvc9ssUEdDRCx\/s1700-e365\/kas.jpg\" alt=\"\" border=\"0\" data-original-height=\"1385\" data-original-width=\"2264\"\/><\/a><\/div>\n<p>Un segundo m\u00e9todo utilizado por StrikeShark para distribuir el cargador es a trav\u00e9s de ejecutables de cuentagotas personalizados que se hacen pasar por instaladores de software o aplicaciones leg\u00edtimos como Google Update y Cisco AnyConnect, y ejecutan el cargador de malware una vez que se completa el proceso de instalaci\u00f3n. Actualmente se desconoce el m\u00e9todo por el cual se administran estos goteros.<\/p>\n<p>\u00abAdem\u00e1s de los se\u00f1uelos con temas de instalador, varios droppers de SharkLoader utilizan documentos PDF se\u00f1uelo para persuadir a las v\u00edctimas a abrir el archivo malicioso\u00bb, explic\u00f3 Kaspersky. \u00abSin embargo, no todas las muestras emplean esta t\u00e9cnica, ya que algunos goteros funcionan \u00fanicamente como un mecanismo de entrega para SharkLoader sin presentar ning\u00fan contenido de se\u00f1uelo\u00bb.<\/p>\n<p>Una vez cargada la DLL, SharkLoader implementa lo que se llama <a href=\"https:\/\/elliotonsecurity.com\/perfect-dll-hijacking\/\">Secuestro perfecto de DLL<\/a>una t\u00e9cnica detallada por el investigador de seguridad Elliot Killick en octubre de 2023, para ejecutar c\u00f3digo malicioso evitando <a href=\"https:\/\/elliotonsecurity.com\/what-is-loader-lock\/\">Bloqueo del cargador de Windows<\/a>a <a href=\"https:\/\/www.originhq.com\/research\/escaping-loader-locks-with-postprocessinitroutine\">bloqueo de todo el sistema<\/a> retenido por el sistema operativo al cargar y descargar archivos DLL.<\/p>\n<p>Espec\u00edficamente, est\u00e1 dise\u00f1ado para descifrar y cargar \u00abDscCoreR.mui\u00bb, que luego se usa para descomprimir y cargar Cobalt Strike en un nuevo hilo creado en estado suspendido, junto con otros dos componentes:<\/p>\n<ul>\n<li>SyncRes.dat, que instala varios enlaces API de Windows mediante el uso de la biblioteca Microsoft Detours para monitorear las excepciones generadas durante el tiempo de ejecuci\u00f3n.<\/li>\n<li>MinHook DLL, que instala enlaces API para las funciones VirtualAlloc y Sleep para copiar el Cobalt Strike Beacon descomprimido en la regi\u00f3n de memoria asignada usando VirtualAlloc. El gancho relacionado con el sue\u00f1o se activa cuando Beacon llama al sue\u00f1o, probablemente en un intento de evadir las t\u00e9cnicas de escaneo de memoria que identifican regiones de c\u00f3digo ejecutable (RWX) en la memoria.<\/li>\n<\/ul>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/vpn-threat-report-m\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhFlTC7RrRZGiFAgASS0noWSL0qsQGFVp8-Hvuw9yp3X3VKRuTcb5SsPX09wJzrdIM6pu1_5lS4EeZp7Sx4iYBpNJkrGnpr08yyaS1HQ5_5TxaCsP6O0OtHNuOkesn6CbNjao1GPulCJk-uljYMSfMZfBYNrngpe669t7jlRn1FqiEnXhsFD1WVkpaYIVgh\/s728-e100\/ai-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>\u00abFinalmente, despu\u00e9s de instalar los ganchos de API y de que el c\u00f3digo shell de Cobalt Strike Beacon se haya escrito en el b\u00fafer de subprocesos, el malware llama a la API ResumeThread para reanudar el subproceso suspendido y comenzar la ejecuci\u00f3n de la baliza\u00bb, explic\u00f3 Kaspersky.<\/p>\n<p>Si bien SharkLoader no viene con mecanismos de persistencia integrados, se ha descubierto que el actor de amenazas aprovecha las claves de ejecuci\u00f3n del registro y las tareas programadas como una forma de activar el inicio de \u00abSystemSettings.exe\u00bb cuando un usuario inicia sesi\u00f3n o incluso si ning\u00fan usuario inicia sesi\u00f3n.<\/p>\n<p>Los ataques tambi\u00e9n implican una extensa fase de reconocimiento despu\u00e9s del compromiso inicial y la persistencia, en la que el actor de la amenaza participa en la enumeraci\u00f3n de Active Directory, el robo de credenciales apuntando al proceso LSASS y el archivo de base de datos NTDS, y la implementaci\u00f3n de esc\u00e1neres de c\u00f3digo abierto y herramientas de recopilaci\u00f3n de informaci\u00f3n como FScan, Searchall y Pillager.<\/p>\n<p>Dada la ausencia de filtraci\u00f3n activa de datos, no est\u00e1 claro cu\u00e1les son los objetivos finales de StrikeShark. Sin embargo, apuntar a organizaciones gubernamentales y de desarrollo de software sugiere un ciberespionaje con un inter\u00e9s potencial en acaparar inteligencia pol\u00edtica o propiedad intelectual.<\/p>\n<p>\u00abAl mismo tiempo, el uso de SharkLoader y Cobalt Strike, junto con la explotaci\u00f3n de aplicaciones p\u00fablicas e instaladores y droppers maliciosos, sugiere que el atacante tambi\u00e9n puede estar apuntando de manera oportunista a sistemas vulnerables\u00bb, dijo Kaspersky. \u00abLa ausencia de pruebas claras de exfiltraci\u00f3n de datos hasta el momento no excluye esta posibilidad, ya que la operaci\u00f3n de archivos y los m\u00f3dulos de exfiltraci\u00f3n de datos de Cobalt Strike podr\u00edan emplearse en una etapa posterior\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Se ha observado una campa\u00f1a de ciberataque recientemente descubierta que entrega una familia de malware previamente no documentada llamada cargador de tiburones que act\u00faa como un cargador para implementar Cobalt Strike Beacon en hosts comprometidos. Kaspersky, que rastrea la actividad bajo el nombre de HuelgaTibur\u00f3ndijo que la campa\u00f1a se ha dirigido a una organizaci\u00f3n diplom\u00e1tica [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[1067,415,24,226,52,60,169,3352,416,3353],"class_list":["post-1330","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-ciberataques","tag-cobalt","tag-cyberdefensa-mx","tag-implementa","tag-los","tag-malware","tag-nuevo","tag-sharkloader","tag-strike","tag-strikeshark"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1330","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1330"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1330\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1330"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1330"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1330"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}