{"id":1345,"date":"2026-06-29T16:51:44","date_gmt":"2026-06-29T16:51:44","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/29\/gamaredon-amplia-los-ataques-en-ucrania-con-nuevo-malware-y-abuso-de-servicios-en-la-nube-cyberdefensa-mx\/"},"modified":"2026-06-29T16:51:44","modified_gmt":"2026-06-29T16:51:44","slug":"gamaredon-amplia-los-ataques-en-ucrania-con-nuevo-malware-y-abuso-de-servicios-en-la-nube-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/29\/gamaredon-amplia-los-ataques-en-ucrania-con-nuevo-malware-y-abuso-de-servicios-en-la-nube-cyberdefensa-mx\/","title":{"rendered":"Gamaredon ampl\u00eda los ataques en Ucrania con nuevo malware y abuso de servicios en la nube \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Un grupo ruso de amenazas persistentes avanzadas (APT) ha seguido evolucionando y ampliando su arsenal de malware como parte de su ataque cibern\u00e9tico en curso contra Ucrania a lo largo de 2025.<\/p>\n<p>La empresa eslovaca de ciberseguridad ESET dijo que observ\u00f3 35 campa\u00f1as distintas de phishing lanzadas montadas por Gamaredon contra nuevos objetivos, y la mayor\u00eda de ellas tuvieron lugar en la segunda mitad del a\u00f1o. Los objetivos principales de estos esfuerzos incluyen las instituciones gubernamentales y militares de Ucrania.<\/p>\n<p>\u00abA lo largo de 2025, Gamaredon se mantuvo muy activo y centrado \u00fanicamente en Ucrania\u00bb, ESET <a href=\"https:\/\/www.welivesecurity.com\/en\/eset-research\/gamaredon-2025-leveraging-tunnels-workers-dead-drops-new-alliances\/\">dicho<\/a>. \u00abEl objetivo final del grupo sigue siendo la exfiltraci\u00f3n de informaci\u00f3n sensible y otros datos cr\u00edticos que podr\u00edan ser explotados para apoyar los intereses rusos en la guerra en curso en Ucrania\u00bb.<\/p>\n<p>Las campa\u00f1as de phishing lanzan uso de archivos adjuntos o archivos XHTML que emplean contrabando de HTML para entregar descargadores HTA maliciosos que son responsables de soltar cargas \u00fatiles adicionales, como PteroSand. Algunos de los ataques tambi\u00e9n han utilizado como arma una falla ahora parcheada en WinRAR (CVE-2025-8088) como una forma de colocar el descargador HTA malicioso en la carpeta de inicio de Windows de la v\u00edctima.<\/p>\n<p>Esto, a su vez, hace que el descargador se ejecute autom\u00e1ticamente en el siguiente inicio de sesi\u00f3n, a\u00f1adiendo as\u00ed un mecanismo de persistencia a la cadena de compromiso. Se sabe que los ataques de Gamaredon se basan en armamentistas como PteroLNK y PteroPaste para facilitar el movimiento lateral al infectar unidades USB y unidades de red con archivos LNK maliciosos que, cuando los abre un usuario desprevenido, activan la recuperaci\u00f3n del malware de descarga.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Tambi\u00e9n se utiliza PteroSetup, un armamento de Visual Basic Script (VBScript) m\u00e1s antiguo detectado por primera vez en enero de 2021 y que probablemente se supone que estar\u00e1 descontinuado. La herramienta escanea unidades de red USB y asignadas en busca de archivos de instalaci\u00f3n leg\u00edtimos y, si los encuentra, los reemplaza con archivos autoextra\u00edbles (SFX) 7z que contienen el instalador original y un descargador de VBScript malicioso.<\/p>\n<p>\u00abEn 2025, la dependencia del grupo de servicios de terceros creci\u00f3 significativamente, y los servicios de t\u00faneles y las plataformas de trabajadores sin servidor se convirtieron en una parte cada vez m\u00e1s importante de c\u00f3mo ocultaba su verdadera infraestructura de back-end\u00bb, dijo ESET.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhM2RC19XX7jG85kx8qEFZFEFHI5wEpntnb4zrbTi28D79XBGqwkesfBgQW39BKo5iGPvRjzeSPp8nqY2GtZS3HDD_4zENMDmkjEhfLHWgMQCup2OVLNh3nuWcYt1xSDjQk4msdx7mgJJl6cwGv8Kv9m2X5KxfnFZDYtZW1iAw5ptcsY3k1ooQjAQbZtGZe\/s1700-e365\/rar.jpg\" style=\"clear: left; display: block; float: left;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhM2RC19XX7jG85kx8qEFZFEFHI5wEpntnb4zrbTi28D79XBGqwkesfBgQW39BKo5iGPvRjzeSPp8nqY2GtZS3HDD_4zENMDmkjEhfLHWgMQCup2OVLNh3nuWcYt1xSDjQk4msdx7mgJJl6cwGv8Kv9m2X5KxfnFZDYtZW1iAw5ptcsY3k1ooQjAQbZtGZe\/s1700-e365\/rar.jpg\" alt=\"\" border=\"0\" data-original-height=\"481\" data-original-width=\"972\"\/><\/a><\/div>\n<p>Los ataques tambi\u00e9n se caracterizan por la introducci\u00f3n de seis nuevas herramientas maliciosas de PowerShell, que ampl\u00edan su arsenal de malware personalizado.<\/p>\n<ul>\n<li><b>pterodee<\/b> y <b>PteroCache<\/b> para buscar y ejecutar cargas \u00fatiles de PowerShell en la memoria<\/li>\n<li><b>PteroDum<\/b> para buscar y ejecutar cargas \u00fatiles de VBScript en la memoria<\/li>\n<li><b>pteroimpar<\/b> para recuperar una \u00fanica carga \u00fatil de PowerShell utilizando la API Telegra.ph y probablemente utilizada en campa\u00f1as en las que los actores de Gamaredon colaboraron con Turla<\/li>\n<li><b>PteroEfigie<\/b> para recuperar el servidor de comando y control (C2) utilizando el servicio de almacenamiento en la nube GoFile<\/li>\n<li><b>Pteropasta<\/b>para convertir unidades USB en armas y descargar cargas \u00fatiles de PowerShell adicionales a trav\u00e9s de un canal cifrado<\/li>\n<\/ul>\n<p>\u00abSi bien el grupo tom\u00f3 una breve pausa operativa en enero de 2025, Gamaredon dedic\u00f3 gran parte de su esfuerzo en la primera mitad de ese a\u00f1o a desarrollar e implementar nuevas herramientas\u00bb, dijo el investigador de ESET Zolt\u00e1n Rusn\u00e1k.<\/p>\n<p>\u00abSe realizaron muchas actualizaciones en el per\u00edodo previo a los principales d\u00edas festivos en Rusia y Crimea. En particular, no se observaron actualizaciones durante o inmediatamente despu\u00e9s de estos d\u00edas festivos, lo que sugiere adem\u00e1s que los operadores de Gamaredon probablemente sean empleados afiliados al gobierno\u00bb.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/vpn-threat-report-m\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhFlTC7RrRZGiFAgASS0noWSL0qsQGFVp8-Hvuw9yp3X3VKRuTcb5SsPX09wJzrdIM6pu1_5lS4EeZp7Sx4iYBpNJkrGnpr08yyaS1HQ5_5TxaCsP6O0OtHNuOkesn6CbNjao1GPulCJk-uljYMSfMZfBYNrngpe669t7jlRn1FqiEnXhsFD1WVkpaYIVgh\/s728-e100\/ai-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Otro aspecto digno de menci\u00f3n de la campa\u00f1a del actor de amenazas gira en torno al uso de una amplia gama de servicios leg\u00edtimos como canales de exfiltraci\u00f3n de datos y resolutores de entrega muerta para obtener detalles del servidor C2 y apuntar el malware a la infraestructura ya oculta detr\u00e1s de t\u00faneles o trabajadores sin servidor. Estos incluyen \u2013<\/p>\n<ul>\n<li>Tel\u00e9grafo<\/li>\n<li>Teletipo<\/li>\n<li>Rentry.co<\/li>\n<li>Escribir.como<\/li>\n<li>buz\u00f3n<\/li>\n<li>Ir a archivo<\/li>\n<li>Comunidad DEV (dev.to)<\/li>\n<li>Mastodonte<\/li>\n<li>lesma<\/li>\n<li>Nopaste.net<\/li>\n<li>Pegar.ee<\/li>\n<li>wasabi<\/li>\n<li>Tebi<\/li>\n<li>Intercolo<\/li>\n<li>buz\u00f3n<\/li>\n<\/ul>\n<p>\u00abComo en a\u00f1os anteriores, el grupo compens\u00f3 la relativa simplicidad de su malware con persistencia, actualizaciones frecuentes y un abuso cada vez m\u00e1s creativo de servicios leg\u00edtimos en l\u00ednea\u00bb, dijo ESET. \u00abGamaredon ampli\u00f3 a\u00fan m\u00e1s su uso de puntos muertos, t\u00faneles, trabajadores, DNS din\u00e1mico y almacenamiento en la nube, haciendo que sus operaciones sean m\u00e1s flexibles y m\u00e1s dif\u00edciles de interrumpir\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Un grupo ruso de amenazas persistentes avanzadas (APT) ha seguido evolucionando y ampliando su arsenal de malware como parte de su ataque cibern\u00e9tico en curso contra Ucrania a lo largo de 2025. La empresa eslovaca de ciberseguridad ESET dijo que observ\u00f3 35 campa\u00f1as distintas de phishing lanzadas montadas por Gamaredon contra nuevos objetivos, y la [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[358,1425,233,31,24,2853,52,60,97,169,563,493],"class_list":["post-1345","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-abuso","tag-amplia","tag-ataques","tag-con","tag-cyberdefensa-mx","tag-gamaredon","tag-los","tag-malware","tag-nube","tag-nuevo","tag-servicios","tag-ucrania"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1345","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1345"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1345\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1345"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1345"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1345"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}