{"id":1409,"date":"2026-07-02T22:25:21","date_gmt":"2026-07-02T22:25:21","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/02\/los-grupos-de-ransomware-recurren-a-citrix-bleed-2-byovd-y-las-credenciales-de-la-cadena-de-suministro-cyberdefensa-mx\/"},"modified":"2026-07-02T22:25:21","modified_gmt":"2026-07-02T22:25:21","slug":"los-grupos-de-ransomware-recurren-a-citrix-bleed-2-byovd-y-las-credenciales-de-la-cadena-de-suministro-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/02\/los-grupos-de-ransomware-recurren-a-citrix-bleed-2-byovd-y-las-credenciales-de-la-cadena-de-suministro-cyberdefensa-mx\/","title":{"rendered":"Los grupos de ransomware recurren a Citrix Bleed 2, BYOVD y las credenciales de la cadena de suministro \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Actores de amenazas asociados con el Anubis<\/b> Se ha observado que una operaci\u00f3n de ransomware aprovecha la vulnerabilidad Citrix Bleed 2 (CVE-2025-5777) para obtener acceso inicial.<\/p>\n

\u00abAunque las t\u00e1cticas difieren entre los afiliados, surgieron patrones comunes en el oficio mediante el uso de herramientas leg\u00edtimas de monitoreo y administraci\u00f3n remota (RMM), acceso a credenciales y procedimientos pr\u00e1cticos con el teclado utilizados para el movimiento lateral\u00bb, Arctic Wolf dicho<\/a> en un informe publicado esta semana.<\/p>\n

\u00abLos afiliados de Anubis abusaron repetidamente de herramientas leg\u00edtimas de administraci\u00f3n y acceso remoto, incluidas ScreenConnect, Zoho Assist, MeshAgent, Remotely, UltraVNC y Total Software Deployment, para integrarse con la actividad normal de TI mientras manten\u00edan el control de los sistemas de las v\u00edctimas\u00bb.<\/p>\n

Anubis es un grupo de ransomware como servicio (RaaS) que surgi\u00f3 por primera vez a finales de 2024 como un cambio de marca del ransomware Sphinx. La operaci\u00f3n de ransomware se anunci\u00f3 formalmente en el foro clandestino Ransomware and Advanced Malware Protection (RAMP) en febrero de 2025. Seg\u00fan datos<\/a> de Ransomware.Live, el grupo de delitos cibern\u00e9ticos se ha cobrado 91 v\u00edctimas en su sitio de filtraci\u00f3n de datos, y solo en junio de 2026 se reportaron 11 v\u00edctimas.<\/p>\n

Algunos de los sectores destacados a los que se dirigen incluyen la atenci\u00f3n sanitaria, los servicios empresariales, la fabricaci\u00f3n, la tecnolog\u00eda y los servicios financieros. M\u00e1s del 50% de las v\u00edctimas se encuentran en Estados Unidos, seguido por el Reino Unido, Australia, Francia y Canad\u00e1.<\/p>\n

En un informe publicado en julio de 2025, Rubrik Zero Labs dijo que Anubis anuncia atractivas divisiones de ganancias, ofreciendo a los afiliados el 80% de los montos del rescate pagado, y lo combina con una funci\u00f3n de borrado de datos irreversible que aumenta la presi\u00f3n sobre las v\u00edctimas para que paguen.<\/p>\n

\u00abCuando se activa el m\u00f3dulo \/WIPEMODE de Anubis, los archivos permanecen en los directorios pero se reducen a un tama\u00f1o de 0 KB independientemente del pago del rescate\u00bb, Rubrik anotado<\/a> En el momento. \u00abSaber que los actores de amenazas pueden revertir los entornos de las v\u00edctimas a este estado de tierra arrasada con un solo comando aumenta significativamente la presi\u00f3n sobre las v\u00edctimas para que paguen antes de que el limpiador se active por completo\u00bb.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Las intrusiones de ransomware, observadas este a\u00f1o, implican tanto el uso de credenciales VPN v\u00e1lidas como la explotaci\u00f3n de CVE-2025-5777 (puntuaci\u00f3n CVSS: 9,3), una falla cr\u00edtica que afecta a Citrix NetScaler ADC y Gateway y que un atacante podr\u00eda abusar de ella para evitar la autenticaci\u00f3n cuando el dispositivo est\u00e1 configurado como Gateway o servidor virtual AAA.<\/p>\n

Se desconoce la fuente exacta de las credenciales de VPN utilizadas en estas intrusiones. Sin embargo, es posible que se hayan obtenido tras un compromiso previo, o mediante intermediarios de acceso inicial (IAB), relleno de credenciales o actividad de ladr\u00f3n de informaci\u00f3n.<\/p>\n

\u00abAdem\u00e1s de la explotaci\u00f3n de CitrixBleed 2, se observaron inicios de sesi\u00f3n v\u00e1lidos de Cisco AnyConnect VPN desde varios ASN de alojamiento, incluidos AS20473 \u2013 The Constant Company y AS55286 \u2013 ServerMania\u00bb, explic\u00f3 Arctic Wolf. \u00abLa autenticaci\u00f3n de VPN maliciosa fue seguida por una actividad de inicio de sesi\u00f3n que involucraba a RDP y SMB, lo que conduc\u00eda al acceso a credenciales, la creaci\u00f3n de servicios PsExec, la implementaci\u00f3n de RMM y, en \u00faltima instancia, la invocaci\u00f3n de herramientas de transferencia a la nube para la exfiltraci\u00f3n\u00bb.<\/p>\n

El movimiento lateral se facilita a trav\u00e9s de RDP y PsExec, lo que luego conduce al despliegue de varias herramientas RMM leg\u00edtimas para acceso persistente, otorgando a los atacantes la capacidad de transferir archivos y ejecutar c\u00f3digo de forma remota, mientras permanecen fuera del radar. Algunas intrusiones tambi\u00e9n configuran un t\u00fanel Cloudflare (tambi\u00e9n conocido como cloudflared) para establecer t\u00faneles hacia los entornos de las v\u00edctimas.<\/p>\n

La siguiente fase de los ataques implica recopilar credenciales para facilitar un acceso m\u00e1s profundo al entorno comprometido, despu\u00e9s de lo cual se instalan herramientas como S3 Browser, rclone, s5cmd, WinSCP y PuTTY para la transferencia o exfiltraci\u00f3n de datos antes de la implementaci\u00f3n del ransomware. Paralelamente, se toman medidas para debilitar las defensas del sistema y complicar el an\u00e1lisis posterior al incidente.<\/p>\n

\u00abEstas t\u00e9cnicas inclu\u00edan la desactivaci\u00f3n de la protecci\u00f3n en tiempo real de Windows Defender, la actividad de desinstalaci\u00f3n de Sophos, artefactos relacionados con PCHunter y limpieza o manipulaci\u00f3n de registros en m\u00faltiples sistemas\u00bb, explic\u00f3 la empresa de ciberseguridad. \u00abEn al menos una intrusi\u00f3n, se elimin\u00f3 un cifrador Anubis despu\u00e9s de la ejecuci\u00f3n, lo que redujo la disponibilidad de artefactos de carga \u00fatil en el disco para su posterior an\u00e1lisis\u00bb.<\/p>\n

La puerta trasera de los caballeros y el exploit de d\u00eda 0 detallados<\/h3>\n

La revelaci\u00f3n se produce como lo detall\u00f3 Kaspersky. los caballeros<\/a><\/b> La explotaci\u00f3n por parte del grupo RaaS de vulnerabilidades conocidas y credenciales de inicio de sesi\u00f3n robadas o d\u00e9biles para violar objetivos y su uso de una puerta trasera basada en Go para permitir la ejecuci\u00f3n remota de comandos despu\u00e9s del reconocimiento, el movimiento lateral a trav\u00e9s de la Pol\u00edtica de grupo o PsExec y la evasi\u00f3n de defensa utilizando la t\u00e9cnica de traer su propio controlador vulnerable (BYOVD).<\/p>\n

El implante est\u00e1 dise\u00f1ado para recopilar informaci\u00f3n del sistema y exfiltrarla a un servidor externo (\u00ab81.177.215[.]15:9443\u00bb) a trav\u00e9s de una conexi\u00f3n TCP bidireccional y espera respuestas del operador que luego se ejecutan en el host usando \u00abcmd.exe\u00bb si el byte de respuesta es \u00abc\u00bb. Si el byte es \u00abs\u00bb, se establece una conexi\u00f3n de proxy SOCKS.<\/p>\n

\u00abEsta funcionalidad probablemente permita al equipo rojo de The Gentlemen girar dentro de la red objetivo y ampliar su cobertura de escaneo\u00bb, Kaspersky dicho<\/a>. \u00abDadas las capacidades del implante de puerta trasera, como establecer comunicaci\u00f3n bidireccional, ejecutar comandos, configurar un proxy SOCKS y recopilar informaci\u00f3n, est\u00e1 claro que tambi\u00e9n se puede utilizar para expandir la cadena de ataque seg\u00fan sea necesario\u00bb.<\/p>\n

Seg\u00fan Expel, el grupo RaaS tambi\u00e9n ha utilizado como arma una vulnerabilidad de d\u00eda cero en un controlador de proveedor externo poco conocido como parte de su arsenal BYOVD para obtener acceso a nivel de kernel, eludir las protecciones de seguridad de Windows y eliminar los procesos de seguridad protegidos asociados con Microsoft, ESET, Palo Alto Networks y SentinelOne. El conductor en cuesti\u00f3n es ktapi.sys<\/a>que forma parte de una API desarrollada por Kontron.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

\u00abA\u00fan no est\u00e1 claro c\u00f3mo los actores de la amenaza llegaron a poseer el archivo o obtuvieron conocimiento de su vulnerabilidad\u00bb, Marcus Hutchins. dicho<\/a>. \u00abBYOVD sigue siendo una gran amenaza para las empresas, ya que permite a los atacantes desactivar sistemas de seguridad de \u00faltima generaci\u00f3n en segundos. Incluso utilizando la \u00faltima versi\u00f3n de Windows, con todas las mitigaciones de exploits habilitadas, no proporciona una protecci\u00f3n completa\u00bb.<\/p>\n

Asociaci\u00f3n de ransomware entre VECT y TeamPCP<\/h3>\n

Los hallazgos tambi\u00e9n surgen tras una investigaci\u00f3n de la Unidad Contra Amenazas de Sophos sobre la asociaci\u00f3n entre VECT<\/b> y TeamPCP, que se anunci\u00f3 en marzo de 2026 para combinar el robo de credenciales impulsado por ataques a la cadena de suministro con la implementaci\u00f3n de ransomware.<\/p>\n

\u00abLa asociaci\u00f3n formal entre TeamPCP y VECT permite a VECT implementar ransomware en todas las organizaciones comprometidas en los ataques a la cadena de suministro de Trivy y LiteLLM\u00bb, dijo Sophos en un informe compartido con The Hacker News. \u00abAntes de la asociaci\u00f3n con VECT, TeamPCP ejecutaba otra operaci\u00f3n de ransomware bajo la marca CipherForce. CipherForce enumer\u00f3 a seis v\u00edctimas en su sitio de filtraci\u00f3n en febrero de 2026 y lo renombr\u00f3 como sitio de filtraci\u00f3n de TeamPCP en mayo\u00bb.<\/p>\n

\"\"<\/a><\/div>\n

An\u00e1lisis recientes de Check Point y SALTO SEC<\/a> han descubierto que VECT contiene fallas de implementaci\u00f3n que causan que cualquier archivo de m\u00e1s de 128 KB se destruya permanentemente en lugar de cifrarse, lo que llev\u00f3 a TeamPCP a emitir una declaraci\u00f3n indicando que nunca hab\u00edan usado el cifrado de VECT en ataques. \u00abSomos due\u00f1os de CipherForce, nuestro propio casillero privado\u00bb, afirm\u00f3 el grupo.<\/p>\n

\u00abLa alianza Vect\/TeamPCP representa un cambio significativo en el panorama de amenazas de ransomware, incluso teniendo en cuenta las deficiencias t\u00e9cnicas que socavan su eficacia operativa\u00bb, Sophos dicho<\/a>.<\/p>\n

\u00abLa convergencia del robo de credenciales de la cadena de suministro a gran escala, una operaci\u00f3n RaaS madura y la movilizaci\u00f3n masiva de foros clandestinos constituye un modelo sin precedentes de implementaci\u00f3n de ransomware industrializado que reduce significativamente la barrera de entrada del ciberdelito\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Actores de amenazas asociados con el Anubis Se ha observado que una operaci\u00f3n de ransomware aprovecha la vulnerabilidad Citrix Bleed 2 (CVE-2025-5777) para obtener acceso inicial. \u00abAunque las t\u00e1cticas difieren entre los afiliados, surgieron patrones comunes en el oficio mediante el uso de herramientas leg\u00edtimas de monitoreo y administraci\u00f3n remota (RMM), acceso a credenciales y […]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[3493,1071,249,1057,469,24,585,95,52,508,3492,250],"class_list":["post-1409","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-bleed","tag-byovd","tag-cadena","tag-citrix","tag-credenciales","tag-cyberdefensa-mx","tag-grupos","tag-las","tag-los","tag-ransomware","tag-recurren","tag-suministro"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1409","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1409"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1409\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1409"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1409"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1409"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}