{"id":1442,"date":"2026-07-07T11:31:59","date_gmt":"2026-07-07T11:31:59","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/07\/presuntos-piratas-informaticos-alineados-con-china-explotan-las-fallas-de-roundcube-contra-las-universidades-cyberdefensa-mx\/"},"modified":"2026-07-07T11:31:59","modified_gmt":"2026-07-07T11:31:59","slug":"presuntos-piratas-informaticos-alineados-con-china-explotan-las-fallas-de-roundcube-contra-las-universidades-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/07\/presuntos-piratas-informaticos-alineados-con-china-explotan-las-fallas-de-roundcube-contra-las-universidades-cyberdefensa-mx\/","title":{"rendered":"Presuntos piratas inform\u00e1ticos alineados con China explotan las fallas de Roundcube contra las universidades \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Se ha observado que un grupo de actividad de amenazas presuntamente alineado con China explota el software de correo web Roundcube perteneciente a los departamentos de f\u00edsica e ingenier\u00eda de universidades de EE. UU. y Canad\u00e1 como parte de una nueva campa\u00f1a.<\/p>\n

La actividad implica la explotaci\u00f3n de fallas de seguridad cr\u00edticas ahora parcheadas en la soluci\u00f3n de correo electr\u00f3nico de c\u00f3digo abierto, como CVE-2024-42009 (puntaje CVSS: 9.3), para desviar credenciales, seguido de la implementaci\u00f3n de un shell web para acceso persistente o una conocida herramienta posterior a la explotaci\u00f3n llamada VShell<\/a>.<\/p>\n

Proofpoint est\u00e1 rastreando el grupo de amenazas emergentes bajo el nombre UNK_MassTraction<\/strong>. Se detect\u00f3 por primera vez en mayo de 2026, centr\u00e1ndose espec\u00edficamente en administradores y profesores de departamentos con v\u00ednculos de seguridad nacional o entidades que estudian astrof\u00edsica y f\u00edsica de part\u00edculas.<\/p>\n

\u00abLos correos electr\u00f3nicos dirigidos a departamentos universitarios utilizaron remitentes comprometidos, as\u00ed como dominios abusados \u200b\u200by vulnerables a la suplantaci\u00f3n de identidad debido a la pol\u00edtica laxa de DMARC para enviar los correos electr\u00f3nicos\u00bb, escribi\u00f3 la compa\u00f1\u00eda de seguridad empresarial en un informe t\u00e9cnico compartido con The Hacker News, a\u00f1adiendo que el uso de se\u00f1uelos gen\u00e9ricos indica una \u00abfranja de objetivos m\u00e1s amplia\u00bb m\u00e1s all\u00e1 de su visibilidad.<\/p>\n

Si bien la naturaleza del exploit de secuencias de comandos entre sitios (XSS) es tal que solo requiere que el destinatario abra el correo electr\u00f3nico en el cliente Roundcube para obtener acceso al servidor de correo, se evalu\u00f3 que los departamentos objetivo fueron seleccionados porque todos ejecutaban versiones de Roundcube susceptibles a fallas de seguridad de N d\u00edas.<\/p>\n

Esto indica que el actor de amenazas probablemente llev\u00f3 a cabo un reconocimiento preparatorio de estos objetivos para recopilar informaci\u00f3n sobre sus entornos antes de enviar correos electr\u00f3nicos de phishing que desencadenan un exploit para CVE-2024-42009 y ejecutan c\u00f3digo JavaScript arbitrario en el contexto del navegador web de la v\u00edctima.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

\u00abEs probable que el actor est\u00e9 abusando de los servidores Roundcube como punto de pivote para ingresar a las redes objetivo, y los operadores han dise\u00f1ado deliberadamente su cadena de infecci\u00f3n para evitar la detecci\u00f3n\u00bb, dijeron los investigadores de Proofpoint Greg Lesnewich y Mark Kelly.<\/p>\n

La carga \u00fatil entregada tras la explotaci\u00f3n de la falla XSS, cuyo nombre en c\u00f3digo es IceCube, est\u00e1 dise\u00f1ada para desviar informaci\u00f3n de credenciales almacenada en el navegador junto con autenticaci\u00f3n de dos factores (2FA) y cookies. Tambi\u00e9n lleva a cabo su propio reconocimiento para recopilar informaci\u00f3n sobre el idioma del navegador, el tama\u00f1o de la pantalla y los valores de los campos del formulario. tama\u00f1o de pantalla y valores de campo de formulario.<\/p>\n

La informaci\u00f3n recopilada se env\u00eda a un sistema externo mediante una solicitud HTTP POST. En el siguiente paso, IceCube aprovecha el token CSRF de la sesi\u00f3n para convertir en arma una segunda falla de ejecuci\u00f3n remota de c\u00f3digo posterior a la autenticaci\u00f3n en Roundcube: CVE-2025-49113 (puntuaci\u00f3n CVSS: 9,9): con el objetivo de establecerse en el servidor de correo y colocar VShell o un shell web denominado SquareShell en la memoria.<\/a><\/p>\n

El shell web, implementado mediante un comando de shell de gadget PHP, es accesible de forma remota en el punto final \u00abplugins\/newmail_notifier\/mail_preview.php\u00bb y permite la ejecuci\u00f3n de c\u00f3digo arbitrario. Sin embargo, si la instalaci\u00f3n del shell web falla por alg\u00fan motivo, la cadena de ataque recurre a un mecanismo alternativo en el que se ejecuta un script de shell a trav\u00e9s de la vulnerabilidad Roundcube para finalmente entregar VShell<\/a>.<\/p>\n

\"\"<\/a><\/div>\n

Se dice que el m\u00e9todo secundario se introdujo en junio de 2026, cuando anteriormente la cadena de ataque simplemente saldr\u00eda al no implementar SquareShell. El script de shell act\u00faa como conducto para un cargador ELF denominado SNOWLIGHT y se ha utilizado en otras intrusiones orquestadas por adversarios chinos. El uso de SNOWLIGHT y VShell se ha vinculado a un cl\u00faster vinculado a China rastreado como UNC5174 en el pasado.<\/p>\n

Esto sugiere que el script de shell posiblemente sea compartido por m\u00faltiples cl\u00fasteres de China-nexus a t\u00edtulo privado, similar a ShadowPad y otras herramientas. La principal responsabilidad del script es buscar una versi\u00f3n de SNOWLIGHT que sea compatible con la arquitectura del sistema del host y luego ejecutarla.<\/p>\n

\u00abIceCube tambi\u00e9n establece lo que llama ‘desencadenantes diferidos’ para garantizar la continuidad de la cadena de infecci\u00f3n\u00bb, afirm\u00f3 Proofpoint. \u00abLos activadores diferidos monitorean si el usuario cierra la p\u00e1gina o cambia de pesta\u00f1a, verifica si el mouse sale de la ventana del navegador y secuestra el bot\u00f3n de cerrar sesi\u00f3n\u00bb.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

\u00abSi se toma alguna de esas acciones, IceCube engancha esos eventos y vuelve a intentar la explotaci\u00f3n de CVE-2025-49113, y se\u00f1ala al C&C [command-and-control] que el usuario abandon\u00f3 la sesi\u00f3n de Roundcube.\u00bb<\/p>\n

Al completar estas acciones o agotar el tiempo de espera, el malware JavaScript destruye las sesiones iniciadas por el usuario y el malware en el servidor, lo que hace que el usuario cierre sesi\u00f3n y borre la evidencia forense asociada con el compromiso del servidor Roundcube.<\/p>\n

Escrito en Go, VShell es una herramienta de administraci\u00f3n remota que proporciona capacidades posteriores al compromiso similares a Cobalt Strike. Ha sido utilizado por varios adversarios alineados con China en los \u00faltimos a\u00f1os.<\/p>\n

Este hecho marca la primera vez que un grupo de piratas inform\u00e1ticos chino se vincula a la explotaci\u00f3n de las fallas de Roundcube, de las que tradicionalmente han abusado los actores de amenazas patrocinados por el estado de Rusia.<\/p>\n

\u00abSi bien el objetivo de esta campa\u00f1a cautiva la imaginaci\u00f3n, es poco probable que UNK_MassTraction resuelva profundas cuestiones de f\u00edsica te\u00f3rica o la paradoja de Fermi en un futuro pr\u00f3ximo\u00bb, concluyeron los investigadores de Proofpoint.<\/p>\n

\u00abUNK_MassTraction mostr\u00f3 un conjunto de herramientas maduro y un uso \u00fanico de las vulnerabilidades de n d\u00edas. La campa\u00f1a es un recordatorio de que la entrega de correo electr\u00f3nico puede facilitar el compromiso del servidor de correo, y que los operadores chinos continuar\u00e1n trat\u00e1ndolos como cualquier otro dispositivo de borde, por lo que los defensores deben priorizar la defensa de los servidores de correo de sus redes tan a fondo como lo hacen con sus concentradores VPN y otros nodos de acceso remoto en sus redes\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Se ha observado que un grupo de actividad de amenazas presuntamente alineado con China explota el software de correo web Roundcube perteneciente a los departamentos de f\u00edsica e ingenier\u00eda de universidades de EE. UU. y Canad\u00e1 como parte de una nueva campa\u00f1a. La actividad implica la explotaci\u00f3n de fallas de seguridad cr\u00edticas ahora parcheadas en […]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[2987,200,31,136,24,729,103,540,95,539,1015,3565,3065],"class_list":["post-1442","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-alineados","tag-china","tag-con","tag-contra","tag-cyberdefensa-mx","tag-explotan","tag-fallas","tag-informaticos","tag-las","tag-piratas","tag-presuntos","tag-roundcube","tag-universidades"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1442","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1442"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1442\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1442"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1442"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1442"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}