{"id":1432,"date":"2026-07-06T15:50:59","date_gmt":"2026-07-06T15:50:59","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/06\/presuntos-piratas-informaticos-de-china-nexus-utilizan-una-utilidad-de-presentacion-de-impuestos-india-falsa-para-implementar-dcrat\/"},"modified":"2026-07-06T15:50:59","modified_gmt":"2026-07-06T15:50:59","slug":"presuntos-piratas-informaticos-de-china-nexus-utilizan-una-utilidad-de-presentacion-de-impuestos-india-falsa-para-implementar-dcrat","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/06\/presuntos-piratas-informaticos-de-china-nexus-utilizan-una-utilidad-de-presentacion-de-impuestos-india-falsa-para-implementar-dcrat\/","title":{"rendered":"Presuntos piratas inform\u00e1ticos de China-Nexus utilizan una utilidad de presentaci\u00f3n de impuestos india falsa para implementar DcRAT"},"content":{"rendered":"
\n

Se ha observado un grupo de actividades de amenazas sospechosas de un nexo con China dirigido a contribuyentes, profesionales de impuestos y equipos de finanzas corporativas de la India para entregar un troyano de acceso remoto dise\u00f1ado para robar datos confidenciales de hosts comprometidos.<\/p>\n

La campa\u00f1a de varias etapas, cuyo nombre en c\u00f3digo es Operation DragonReturn de Seqrite Labs, implica el env\u00edo de correos electr\u00f3nicos de phishing haci\u00e9ndose pasar por el Departamento de Impuestos sobre la Renta de la India. Se observ\u00f3 por primera vez el 18 de mayo de 2026. La actividad, seg\u00fan la empresa de ciberseguridad, coincide con la temporada anual de presentaci\u00f3n de impuestos sobre la renta en el pa\u00eds.<\/p>\n

\u00abNo es oportunista: la precisi\u00f3n del documento se\u00f1uelo, el uso de citas legales reales, el contenido biling\u00fce y la rotaci\u00f3n activa de la carga \u00fatil indican una operaci\u00f3n de amenaza deliberada, dotada de recursos y sostenida, centrada exclusivamente en el ecosistema de contribuyentes indios\u00bb, afirman los investigadores de seguridad Dixit Panchal y Soumen Burma. dicho<\/a>.<\/p>\n

Se considera que el objetivo final de la campa\u00f1a es la implementaci\u00f3n de malware para obtener ganancias financieras o el robo de datos confidenciales.<\/p>\n

Las cadenas de ataques comienzan con mensajes de phishing que se hacen pasar por el departamento de impuestos sobre la renta de la India, utilizando infracciones fiscales y sanciones para inducir una falsa sensaci\u00f3n de urgencia y enga\u00f1ar a los usuarios para que hagan clic en un enlace malicioso (\u00abgovtop[.]uno\/impuesto sobre la renta\u00bb) incrustado en archivos PDF adjuntos.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

La p\u00e1gina de inicio falsa, por su parte, indica a los usuarios que descarguen un archivo ZIP que contiene lo que parece ser un utilidad fuera de l\u00ednea com\u00fan<\/a> proporcionado por el departamento para presentar declaraciones de impuestos, pero, en realidad, est\u00e1 dise\u00f1ado para descargar una DLL maliciosa (\u00abnvdaHelperRemote.dll\u00bb), que, a su vez, inyecta otra carga \u00fatil en la memoria.<\/p>\n

Esta carga \u00fatil garantiza que se ejecute con privilegios administrativos y, de lo contrario, activa un mensaje de Control de cuentas de usuario (UAC) para que el usuario la ejecute con permisos elevados. Una vez iniciado, realiza comprobaciones para evitar la ejecuci\u00f3n en entornos de an\u00e1lisis y de espacio aislado, y luego recupera una imagen JPG (\u00ablllyd.jpg\u00bb) de un servidor codificado (\u00ab204.194.48[.]250\u00bb) y lo almacena como \u00abC:\\Windows\\background.jpg\u00bb.<\/p>\n

\u00abEste archivo de imagen se utiliza como contenedor para una carga \u00fatil secundaria, de la cual se extrae una DLL de 504 KB y se escribe en ‘C:\\Program Files\\Windows Media Player\\nvdaHelperRemote.dll’\u00bb, explic\u00f3 Seqrite Labs. \u00abDespu\u00e9s de extraer la carga \u00fatil, el malware se copia a s\u00ed mismo como ‘Mixed Reality.exe’ y establece persistencia mediante la creaci\u00f3n de un servicio de Windows llamado MixedSvc, configurado para iniciarse autom\u00e1ticamente al iniciar el sistema\u00bb.<\/p>\n

\u00abEste comportamiento confirma que la muestra funciona como un descargador e instalador, utilizando ocultaci\u00f3n de carga \u00fatil basada en im\u00e1genes y persistencia del servicio de Windows para mantener el acceso a largo plazo al sistema infectado\u00bb.<\/p>\n

\"\"<\/a><\/div>\n

El binario \u00abMixed Reality.exe\u00bb es responsable de implementar dos cargas \u00fatiles diferentes, una de las cuales es un cargador de malware .NET que lleva a cabo comprobaciones antian\u00e1lisis, establece persistencia, desactiva el escaneo AMSI de Windows y descifra y carga DCRat en la m\u00e1quina infectada. La segunda carga \u00fatil presenta capacidades para tomar capturas de pantalla y filtrar datos a un servidor remoto (\u00abkkxqbh[.]arriba\u00bb).<\/p>\n

No est\u00e1 claro exactamente qui\u00e9n est\u00e1 detr\u00e1s de la actividad, pero el an\u00e1lisis de la infraestructura indica el uso de direcciones IP pertenecientes a ChinaNet, as\u00ed como un panel de administraci\u00f3n web en idioma chino expuesto por el servidor de comando y control (C2) DCRat (\u00ab223.26.63[.]40\u00bb). Adem\u00e1s, Seqrite dijo que identific\u00f3 superposiciones t\u00e1cticas y de infraestructura con Silver Fox, un grupo de cibercrimen chino previamente atribuido a campa\u00f1as de phishing con temas fiscales que entregan ValleyRAT.<\/p>\n

En base a estas similitudes, se sospecha que la campa\u00f1a es obra de un actor de amenazas alineado con China y realizada con el objetivo de establecer un acceso encubierto para la recopilaci\u00f3n de inteligencia, el robo de credenciales y la exfiltraci\u00f3n sistem\u00e1tica de datos, concluy\u00f3 Seqrite.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

La divulgaci\u00f3n se produce como LevelBlue dicho<\/a> Detect\u00f3 dos campa\u00f1as distintas que emplean instaladores falsos para LINE y correos electr\u00f3nicos de phishing con se\u00f1uelos de ajuste salarial para distribuir ValleyRAT dirigido a usuarios de habla china y japonesa.<\/p>\n

La campa\u00f1a basada en correo electr\u00f3nico comienza con un correo electr\u00f3nico malicioso que contiene un enlace URL que, cuando el destinatario accede a \u00e9l, activa la descarga de un archivo ZIP. El archivo act\u00faa como base para una cadena de carga lateral de DLL, y la DLL finalmente descarga y ejecuta ValleyRAT, un troyano de acceso remoto que permite a los operadores tomar el control de un sistema infectado.<\/p>\n

\"\"<\/a><\/div>\n

La cadena de ataque de instaladores falsos, por el contrario, emplea instaladores falsos para software popular para entregar el malware utilizando t\u00e9cnicas como PoolParty Variant 7, mientras que al mismo tiempo se centra en el antian\u00e1lisis y la evasi\u00f3n de detecci\u00f3n, seg\u00fan Cybereason.<\/p>\n

Curiosamente, el uso de PoolParty Variant 7 para inyectar c\u00f3digo shell en \u00abexplorer.exe\u00bb se ha observado previamente en conexi\u00f3n con un cargador de malware personalizado denominado PUENTE TRISTE<\/a>que est\u00e1 dise\u00f1ado para implementar una reimplementaci\u00f3n de Quasar RAT basada en Golang conocida como GOSAR. Elastic Security Labs atribuy\u00f3 el conjunto de intrusi\u00f3n, dirigido a regiones de habla china con instaladores maliciosos para Telegram y Opera, a REF3864.<\/p>\n

\u00abAunque no tenemos pruebas concluyentes, estos puntos en com\u00fan sugieren que pueden haber sido creados por el mismo actor de amenazas\u00bb, dijo el investigador de Cybereason, Hajime Takai. anotado<\/a> en febrero de 2026.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Se ha observado un grupo de actividades de amenazas sospechosas de un nexo con China dirigido a contribuyentes, profesionales de impuestos y equipos de finanzas corporativas de la India para entregar un troyano de acceso remoto dise\u00f1ado para robar datos confidenciales de hosts comprometidos. La campa\u00f1a de varias etapas, cuyo nombre en c\u00f3digo es Operation […]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[3546,3549,1488,530,1246,571,540,36,539,3548,1015,132,3547,92],"class_list":["post-1432","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-chinanexus","tag-dcrat","tag-falsa","tag-implementar","tag-impuestos","tag-india","tag-informaticos","tag-para","tag-piratas","tag-presentacion","tag-presuntos","tag-una","tag-utilidad","tag-utilizan"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1432","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1432"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1432\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1432"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1432"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1432"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}