{"id":140,"date":"2026-03-04T09:00:39","date_gmt":"2026-03-04T09:00:39","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/03\/04\/silver-dragon-vinculado-a-apt41-apunta-a-gobiernos-que-utilizan-cobalt-strike-y-google-drive-c2-cyberdefensa-mx\/"},"modified":"2026-03-04T09:00:39","modified_gmt":"2026-03-04T09:00:39","slug":"silver-dragon-vinculado-a-apt41-apunta-a-gobiernos-que-utilizan-cobalt-strike-y-google-drive-c2-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/03\/04\/silver-dragon-vinculado-a-apt41-apunta-a-gobiernos-que-utilizan-cobalt-strike-y-google-drive-c2-cyberdefensa-mx\/","title":{"rendered":"Silver Dragon vinculado a APT41 apunta a gobiernos que utilizan Cobalt Strike y Google Drive C2 \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Investigadores de ciberseguridad han revelado detalles de un grupo de amenazas persistentes avanzadas (APT) denominado <strong>Drag\u00f3n plateado<\/strong> que se ha relacionado con ataques cibern\u00e9ticos dirigidos a entidades en Europa y el sudeste asi\u00e1tico desde al menos mediados de 2024.<\/p>\n<p>\u00abSilver Dragon obtiene su acceso inicial explotando servidores de Internet p\u00fablicos y enviando correos electr\u00f3nicos de phishing que contienen archivos adjuntos maliciosos\u00bb, Check Point <a href=\"https:\/\/research.checkpoint.com\/2026\/silver-dragon-targets-organizations-in-southeast-asia-and-europe\/\" rel=\"noopener\" target=\"_blank\">dicho<\/a> en un informe t\u00e9cnico. \u00abPara mantener la persistencia, el grupo secuestra servicios leg\u00edtimos de Windows, lo que permite que los procesos de malware se mezclen con la actividad normal del sistema\u00bb.<\/p>\n<p>Se estima que Silver Dragon opera dentro del marco de APT41. APT41 es el criptonimo asignado a un prol\u00edfico grupo de hackers chino conocido por su objetivo de ciberespionaje en los sectores de salud, telecomunicaciones, alta tecnolog\u00eda, educaci\u00f3n, servicios de viajes y medios de comunicaci\u00f3n ya en 2012. Tambi\u00e9n se cree que participa en actividades con motivaci\u00f3n financiera potencialmente fuera del control estatal.<\/p>\n<p>Se ha descubierto que los ataques organizados por Silver Dragon apuntan principalmente a entidades gubernamentales, y el adversario utiliza balizas Cobalt Strike para persistir en los hosts comprometidos. Tambi\u00e9n se sabe que emplea t\u00e9cnicas como el t\u00fanel DNS para la comunicaci\u00f3n de comando y control (C2) para evitar la detecci\u00f3n.<\/p>\n<p>Check Point dijo que identific\u00f3 tres cadenas de infecci\u00f3n diferentes para entregar Cobalt Strike: <a href=\"https:\/\/attack.mitre.org\/techniques\/T1574\/014\/\" rel=\"noopener\" target=\"_blank\">Secuestro de dominio de aplicaci\u00f3n<\/a>DLL de servicio y phishing basado en correo electr\u00f3nico.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/not-fast-enough-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhlXM830ruQd2xT6M7JNeNRjaFa1onD12WjSCHihTFMTzbyfT9h-irPmXy_h3E1HGSs6sdv7FTmnyNVTM5kmSb7BuUtZe8gKoTQt99P1sSzRcqqXpOJP6eoAOhR3DGb6qHx9kOZ_HBZUMmVnsnd0DM7QfUp81bgzTvvgLww6oqB-EhnDfWXH5pWCYhAsyLs\/s728-e100\/tl-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>\u00abLas dos primeras cadenas de infecci\u00f3n, el secuestro de AppDomain y el Service DLL, muestran una clara superposici\u00f3n operativa\u00bb, dijo la empresa de ciberseguridad. \u00abAmbas se entregan a trav\u00e9s de archivos comprimidos, lo que sugiere su uso en escenarios posteriores a la explotaci\u00f3n. En varios casos, estas cadenas se implementaron tras el compromiso de servidores vulnerables expuestos p\u00fablicamente\u00bb.<\/p>\n<p>Las dos cadenas utilizan un archivo RAR que contiene un script por lotes, y la primera cadena lo utiliza para colocar MonikerLoader, un cargador basado en NET responsable de descifrar y ejecutar una segunda etapa directamente en la memoria. La segunda etapa, por su parte, imita el comportamiento de MonikerLoader, actuando como un conducto para cargar la carga \u00fatil final de la baliza Cobalt Strike.<\/p>\n<p>Por otro lado, la cadena de DLL del servicio utiliza un script por lotes para entregar un cargador de DLL de c\u00f3digo shell denominado BamboLoader, que est\u00e1 registrado como un servicio de Windows. Es un malware C++ muy ofuscado que se utiliza para descifrar y descomprimir el c\u00f3digo shell almacenado en el disco e inyectarlo en un proceso leg\u00edtimo de Windows, como \u00abtaskhost.exe\u00bb. El binario destinado a la inyecci\u00f3n se puede configurar dentro de BamboLoader.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEiPleTdpYzAN-hRx0ZQDAutOQ8NHCiTk-IGca5jGqaztyxqrArnvgmOhypgWJpvWbPPAbTOGyLe5yWXHEJXhKnCz83KXuRXrd_3yWt70Q-ZUemrenbKs42eM4n5OMsDEevSVM9LV3sfgrR9MIaHCq-u7UFwYWTcemgGEZUyuQfeDE15dcuLYqh41nXDfFWp\/s1700-e365\/cp.png\" style=\"clear: left; display: block; float: left;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEiPleTdpYzAN-hRx0ZQDAutOQ8NHCiTk-IGca5jGqaztyxqrArnvgmOhypgWJpvWbPPAbTOGyLe5yWXHEJXhKnCz83KXuRXrd_3yWt70Q-ZUemrenbKs42eM4n5OMsDEevSVM9LV3sfgrR9MIaHCq-u7UFwYWTcemgGEZUyuQfeDE15dcuLYqh41nXDfFWp\/s1700-e365\/cp.png\" alt=\"\" border=\"0\" data-original-height=\"1734\" data-original-width=\"3756\"\/><\/a><\/div>\n<p>La tercera cadena de infecci\u00f3n implica una campa\u00f1a de phishing dirigida principalmente a Uzbekist\u00e1n con accesos directos maliciosos de Windows (LNK) como archivos adjuntos. El archivo LNK armado est\u00e1 dise\u00f1ado para iniciar c\u00f3digo PowerShell mediante \u00abcmd.exe\u00bb, lo que lleva a la extracci\u00f3n y ejecuci\u00f3n de cargas \u00fatiles de la siguiente etapa. Esto incluye cuatro archivos diferentes:<\/p>\n<ul>\n<li>documento se\u00f1uelo<\/li>\n<li>Ejecutable leg\u00edtimo vulnerable a la carga lateral de DLL (\u00abGameHook.exe\u00bb)<\/li>\n<li>DLL maliciosa tambi\u00e9n conocida como BamboLoader (\u00abgraphics-hook-filter64.dll\u00bb)<\/li>\n<li>Carga \u00fatil cifrada de Cobalt Strike (\u00absimhei.dat\u00bb)<\/li>\n<\/ul>\n<p>Como parte de esta campa\u00f1a, el documento se\u00f1uelo se muestra a la v\u00edctima, mientras que, en segundo plano, la DLL maliciosa se descarga a trav\u00e9s de \u00abGameHook.exe\u00bb para finalmente iniciar Cobalt Strike. Los ataques tambi\u00e9n se caracterizan por el despliegue de diversas herramientas posteriores a la explotaci\u00f3n:<\/p>\n<ul>\n<li><strong>Pantalla plateada<\/strong>una herramienta de monitoreo de pantalla .NET utilizada para capturar capturas de pantalla peri\u00f3dicas de la actividad del usuario, incluida la posici\u00f3n precisa del cursor.<\/li>\n<li><strong>SSHcmd<\/strong>una utilidad SSH de l\u00ednea de comandos .NET que proporciona ejecuci\u00f3n remota de comandos y capacidades de transferencia de archivos a trav\u00e9s de SSH.<\/li>\n<li><strong>Puerta de engranajes<\/strong>una puerta trasera NET que comparte similitudes con MonikerLoader y se comunica con su infraestructura C2 a trav\u00e9s de Google Drive.<\/li>\n<\/ul>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/xm-cyber-comm-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjeddeABvLw_c_ToOCMJPgQbMsApaTV3NUf6HM6UvXJMdWuMwDjqX3SsAJ3AFa2tLmqtvPxYwtaaAxhEbjMflJYYBOEtruJgSbLmu5axVBfkb-epbRoJmYPS79p3QMYea_Z3OfeaKYa4ocXewrWsdMRRSUW7UE5dNMGns2eNUwSelaseMB4sblfZnEgxWTH\/s728-e100\/risk-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Una vez ejecutada, la puerta trasera se autentica en la cuenta de Google Drive controlada por el atacante y carga un archivo de latido que contiene informaci\u00f3n b\u00e1sica del sistema. Curiosamente, la puerta trasera utiliza diferentes extensiones de archivo para indicar la naturaleza de la tarea a realizar en el host infectado. Los resultados de la ejecuci\u00f3n de la tarea se capturan y cargan en Drive.<\/p>\n<ul>\n<li><strong>*.png<\/strong>para enviar archivos de latidos.<\/li>\n<li><strong>*.pdf<\/strong>para recibir y ejecutar comandos, enumerar el contenido de un directorio, crear un nuevo directorio y eliminar todos los archivos dentro de un directorio espec\u00edfico. Los resultados de la operaci\u00f3n se env\u00edan al servidor en forma de archivo *.db.<\/li>\n<li><strong>*.taxi<\/strong>para recibir y ejecutar comandos para recopilar informaci\u00f3n del host y una lista de procesos en ejecuci\u00f3n, enumerar archivos y directorios, ejecutar comandos a trav\u00e9s de \u00abcmd.exe\u00bb o tareas programadas, cargar archivos en Google Drive y finalizar el implante. El estado de ejecuci\u00f3n se carga como un archivo .bak.<\/li>\n<li><strong>*.rar<\/strong>para recibir y ejecutar cargas \u00fatiles. Si el archivo RAR se llama \u00abwiatrace.bak\u00bb, la puerta trasera lo trata como un paquete de actualizaci\u00f3n autom\u00e1tica. Los resultados se cargan como archivos .bak.<\/li>\n<li><strong>*.7z<\/strong>para recibir y ejecutar complementos en la memoria. Los resultados se cargan como archivos .bak.<\/li>\n<\/ul>\n<p>Los v\u00ednculos de Silver Dragon con APT41 se derivan de superposiciones comerciales con scripts de instalaci\u00f3n posteriores a la explotaci\u00f3n anteriores. <a href=\"https:\/\/cloud.google.com\/blog\/topics\/threat-intelligence\/apt41-initiates-global-intrusion-campaign-using-multiple-exploits\/\" rel=\"noopener\" target=\"_blank\">atribuido a este \u00faltimo<\/a> y el hecho de que el mecanismo de descifrado utilizado por BamboLoader se ha observado en cargadores de shellcode vinculados a la actividad APT del nexo con China.<\/p>\n<p>\u00abEl grupo evoluciona continuamente sus herramientas y t\u00e9cnicas, probando e implementando activamente nuevas capacidades en diferentes campa\u00f1as\u00bb, dijo Check Point. \u00abEl uso de diversos exploits de vulnerabilidad, cargadores personalizados y comunicaci\u00f3n C2 sofisticada basada en archivos refleja un grupo de amenazas adaptable y con buenos recursos\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Investigadores de ciberseguridad han revelado detalles de un grupo de amenazas persistentes avanzadas (APT) denominado Drag\u00f3n plateado que se ha relacionado con ataques cibern\u00e9ticos dirigidos a entidades en Europa y el sudeste asi\u00e1tico desde al menos mediados de 2024. \u00abSilver Dragon obtiene su acceso inicial explotando servidores de Internet p\u00fablicos y enviando correos electr\u00f3nicos de [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":108,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[414,27,415,24,413,417,348,256,412,416,92,242],"class_list":["post-140","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-apt41","tag-apunta","tag-cobalt","tag-cyberdefensa-mx","tag-dragon","tag-drive","tag-gobiernos","tag-google","tag-silver","tag-strike","tag-utilizan","tag-vinculado"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/140","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=140"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/140\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/108"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=140"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=140"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=140"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}