{"id":1627,"date":"2026-07-17T23:30:58","date_gmt":"2026-07-17T23:30:58","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/17\/subgrupo-goldeneyedog-vinculado-a-la-infraccion-de-digicert-y-al-robo-de-certificados-de-firma-de-codigo-cyberdefensa-mx\/"},"modified":"2026-07-17T23:30:58","modified_gmt":"2026-07-17T23:30:58","slug":"subgrupo-goldeneyedog-vinculado-a-la-infraccion-de-digicert-y-al-robo-de-certificados-de-firma-de-codigo-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/17\/subgrupo-goldeneyedog-vinculado-a-la-infraccion-de-digicert-y-al-robo-de-certificados-de-firma-de-codigo-cyberdefensa-mx\/","title":{"rendered":"Subgrupo GoldenEyeDog vinculado a la infracci\u00f3n de DigiCert y al robo de certificados de firma de c\u00f3digo \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Los investigadores de ciberseguridad han atribuido el incidente de seguridad de DigiCert de abril de 2026 a un grupo de actividad de amenazas denominado Cil\u00edndricoCanino<\/strong>.<\/p>\n

Expel, que comparti\u00f3 detalles t\u00e9cnicos del evento, describi\u00f3 al actor de amenazas como un subgrupo de perroojodorado<\/a><\/strong> (tambi\u00e9n conocido como APT-Q-27, Dragon Breath y Miuuti Group), un grupo de cibercrimen chino conocido por atacar los sectores de los juegos de azar y los juegos de azar utilizando sitios web falsificados para impulsar software con malware. Se sabe que est\u00e1 activo desde al menos 2015.<\/p>\n

\u00abEn abril de 2026, GoldenEyeDog utiliz\u00f3 su malware para acceder al dispositivo de un miembro de soporte en DigiCert, un proveedor de certificados de firma de c\u00f3digo, y aprovech\u00f3 su acceso para robar certificados destinados a clientes de DigiCert\u00bb, dijo el investigador de seguridad de Expel, Aaron Walton. dicho<\/a> en un an\u00e1lisis. \u00abEste ataque destac\u00f3 la capacidad del malware y de los operadores\u00bb.<\/p>\n

Un elemento central de las operaciones del actor de amenazas es una versi\u00f3n modificada de Gh0st RAT (tambi\u00e9n conocido como Farfli), un troyano de acceso remoto (RAT) ampliamente utilizado por grupos de hackers chinos, incluido otro prol\u00edfico grupo de cibercrimen chino rastreado como Silver Fox. El malware modular, conocido como Golden Gh0st RAT, se distribuye mediante Golden Gh0st Loader.<\/p>\n

En un informe publicado en noviembre de 2025, Elastic Security Labs detall\u00f3 el uso por parte del adversario de un cargador de m\u00faltiples etapas con nombre en c\u00f3digo RONINGLOADER para distribuir una variante de Gh0st RAT a trav\u00e9s de instaladores NSIS disfrazados de programas leg\u00edtimos como Google Chrome y Microsoft Teams.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

A principios de este a\u00f1o, se observ\u00f3 otra campa\u00f1a vinculada al grupo de hackers que orquestaba un ataque de varias etapas dirigido al personal de atenci\u00f3n al cliente que trabajaba para empresas Web3, utilizando enlaces sospechosos enviados a trav\u00e9s del chat de atenci\u00f3n al cliente para entregar Gh0st RAT.<\/p>\n

\u00abEstos actores est\u00e1n utilizando malware y atacando a las v\u00edctimas de manera consistente con otras actividades de cibercrimen chinas, incluido el ataque a organizaciones financieras en la regi\u00f3n de Asia y el Pac\u00edfico\u00bb, dijo Expel. \u00abEl malware se dirige a organizaciones financieras de la regi\u00f3n de Asia y el Pac\u00edfico\u00bb.<\/p>\n

\"\"<\/a><\/div>\n

Golden Gh0st RAT comparte superposiciones t\u00e1cticas y de comportamiento con una carga \u00fatil detectado<\/a> por el proveedor de seguridad chino QiAnXin en 2020 en relaci\u00f3n con una campa\u00f1a de ataque dirigida a la industria del juego desde 2019. Tambi\u00e9n se superpone con un malware documentado por ANY.RUN en febrero de 2025 como Zhong Stealer.<\/p>\n

El compromiso de DigiCert<\/h3>\n

Es m\u00e1s, CylindricalCanine ha sido observado<\/a> abusar de los certificados de firma de c\u00f3digo, obtener acceso no autorizado a DigiCert para interceptar certificados de firma de c\u00f3digo destinados a clientes de DigiCert y luego usarlos para firmar su propio malware para evitar la detecci\u00f3n.<\/p>\n

En abril de 2026, la autoridad certificadora (CA) revel\u00f3 que revoc\u00f3 certificados obtenidos de manera fraudulenta desde su portal de soporte interno despu\u00e9s de obtener acceso a dos estaciones de trabajo de analistas de soporte mediante la ejecuci\u00f3n de una carga \u00fatil maliciosa entregada a trav\u00e9s de un canal de chat de un cliente.<\/p>\n

\u00abEl 2 de abril de 2026, un actor de amenazas se puso en contacto con el equipo de soporte de DigiCert a trav\u00e9s de un canal de chat de cliente y entreg\u00f3 un archivo ZIP disfrazado de captura de pantalla del cliente\u00bb, DigiCert explicado<\/a> En el momento. \u00abEl archivo conten\u00eda un ejecutable .scr con una carga maliciosa\u00bb.<\/p>\n

\"\"<\/a><\/div>\n

\u00abEl actor de amenazas utiliz\u00f3 una funci\u00f3n limitada dentro del portal de atenci\u00f3n al cliente, que permite a los analistas de soporte de DigiCert autenticados acceder a las cuentas de los clientes desde la perspectiva del cliente para facilitar las tareas de soporte. El actor de amenazas pudo utilizar esta funci\u00f3n para acceder c\u00f3digos de inicializaci\u00f3n<\/a> para pedidos que fueron aprobados pero pendientes de entrega para pedidos de certificados de firma de c\u00f3digo EV en un conjunto finito de cuentas de clientes\u00bb.<\/p>\n

El descuido fatal aqu\u00ed fue que la posesi\u00f3n de un c\u00f3digo de inicializaci\u00f3n, junto con una orden aprobada, era \u00abfuncionalmente suficiente\u00bb para obtener certificados de firma de c\u00f3digo EV en un conjunto de cuentas de clientes y CA. La compa\u00f1\u00eda dijo que revoc\u00f3 60 certificados emitidos por las siguientes CA:<\/p>\n