{"id":1843,"date":"2026-07-30T11:44:45","date_gmt":"2026-07-30T11:44:45","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/30\/los-piratas-informaticos-aprovechan-anysign4pc-a-traves-de-sitios-coreanos-pirateados-para-instalar-puertas-traseras-sin-avisos-cyberdefensa-mx\/"},"modified":"2026-07-30T11:44:45","modified_gmt":"2026-07-30T11:44:45","slug":"los-piratas-informaticos-aprovechan-anysign4pc-a-traves-de-sitios-coreanos-pirateados-para-instalar-puertas-traseras-sin-avisos-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/30\/los-piratas-informaticos-aprovechan-anysign4pc-a-traves-de-sitios-coreanos-pirateados-para-instalar-puertas-traseras-sin-avisos-cyberdefensa-mx\/","title":{"rendered":"Los piratas inform\u00e1ticos aprovechan AnySign4PC a trav\u00e9s de sitios coreanos pirateados para instalar puertas traseras sin avisos \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Las autoridades de Corea del Sur y cuatro empresas de seguridad han revelado una campa\u00f1a patrocinada por el Estado que comprometi\u00f3 sitios web nacionales confiables. Los atacantes utilizaron esos sitios para explotar el software de seguridad financiera instalado localmente e infectar a los visitantes espec\u00edficos con SIGNBT <\/strong>o Cobertura de cobre <\/strong>puertas traseras.<\/p>\n

Una p\u00e1gina comprometida podr\u00eda infectar un sistema que ejecuta una versi\u00f3n vulnerable de AnySign4PC sin un aviso o una descarga iniciada por el usuario. La Agencia de Seguridad e Internet de Corea (KISA) dice que las versiones 1.1.4.4 a 1.1.4.6 de AnySign4PC est\u00e1n afectadas y enumera la versi\u00f3n 1.1.5.0 como la versi\u00f3n corregida. Recomienda eliminar las instalaciones vulnerables.<\/p>\n

AhnLab se refiere a dos productos explotados \u00fanicamente como software de seguridad financiera A e I. Su informe no revela sus identidades, versiones afectadas o reparadas, ni identificadores de vulnerabilidad.<\/p>\n

AhnLab dijo que identific\u00f3 evidencia de ataques relacionados en 72 organizaciones en 2026. La compa\u00f1\u00eda tambi\u00e9n encontr\u00f3 15 sitios web leg\u00edtimos utilizados como abrevaderos. Su investigaci\u00f3n tambi\u00e9n encontr\u00f3 superposiciones con ataques que terminaron con ransomware gunra<\/strong>.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

La evidencia compartida inclu\u00eda la misma vulnerabilidad de acceso inicial, nombres de archivos de malware y patrones de ejecuci\u00f3n, huella digital de clave SSH e infraestructura de red. AhnLab dijo que la evidencia no establece que un actor haya realizado ambas operaciones. El informe no dice qu\u00e9 pruebas ponen a una organizaci\u00f3n en el recuento, por lo que 72 no es un recuento de compromisos totales igualmente confirmados. El aviso no nombra al grupo patrocinado por el estado.<\/p>\n

Una visita a la p\u00e1gina fue suficiente<\/h2>\n

El asesoramiento conjunto<\/a> fue emitido por KISA, el Servicio Nacional de Inteligencia, la Agencia Nacional de Polic\u00eda y el Instituto de Seguridad Financiera, seg\u00fan un an\u00e1lisis realizado con AhnLab, S2W, ENKI Whitehat y Plainbit.<\/p>\n

KISA dijo que se siguen identificando ataques de phishing y abrevaderos de este tipo patrocinados por el estado. Los informes p\u00fablicos no dicen si los atacantes continuaron explotando AnySign4PC despu\u00e9s de que la versi\u00f3n 1.1.5.0 estuvo disponible.<\/p>\n

\"\"<\/a><\/div>\n

Los atacantes enviaron mensajes de phishing disfrazados de curr\u00edculums, enfoques de reclutamiento, material de inversi\u00f3n y encuestas de la industria. Tambi\u00e9n comprometieron noticias, atenci\u00f3n m\u00e9dica, educaci\u00f3n, manufactura y sitios web m\u00e1s peque\u00f1os y poco seguros que las v\u00edctimas previstas probablemente visitar\u00edan.<\/p>\n

ENKI Sombrero Blanco identificado AnySign4PC<\/a>software utilizado para firmas electr\u00f3nicas basadas en certificados, como uno de los productos vulnerables y dijo que los atacantes hab\u00edan explotado una falla de d\u00eda cero. ENKI observ\u00f3 la actividad desde la segunda mitad de 2025, antes de que KISA publicara su aviso de parche de junio de 2026.<\/p>\n

\"\"<\/a><\/div>\n

AhnLab Informe Operaci\u00f3n Doble Barril<\/a> describe una cadena de exploits que utiliz\u00f3 cuatro im\u00e1genes PNG para intercambiar claves, verificar la versi\u00f3n del software instalado, entregar c\u00f3digo de exploit espec\u00edfico de la versi\u00f3n e informar si la ejecuci\u00f3n fue exitosa. La p\u00e1gina maliciosa se comunic\u00f3 con el programa de seguridad local a trav\u00e9s de WebSocket y provoc\u00f3 un desbordamiento del b\u00fafer para ejecutar shellcode.<\/p>\n

\"\"<\/a><\/div>\n

Luego, la carga \u00fatil se inyect\u00f3 en procesos leg\u00edtimos de Microsoft. Dependiendo de la intrusi\u00f3n, los atacantes instalaron Lucha<\/b>que AhnLab asigna a SIGNBT 3.0, o Brandor<\/b>el nombre de la puerta trasera COPPERHEDGE. El malware admit\u00eda la ejecuci\u00f3n remota de comandos, el robo de archivos, el reconocimiento interno, la inyecci\u00f3n de procesos y la entrega de cargas \u00fatiles adicionales.<\/p>\n

Plainbit reconstruy\u00f3 de forma independiente uno de los incidentes del abrevadero en su informe forense<\/a>. Los atacantes mapearon los sistemas de Internet de la v\u00edctima, comprometieron su sitio web, instalaron un webshell e insertaron JavaScript en una p\u00e1gina de art\u00edculo de noticias leg\u00edtima. Cuando un objetivo lo visit\u00f3, el programa de seguridad vulnerable gener\u00f3 un error y cre\u00f3 una DLL maliciosa sin un mensaje de descarga u otra interacci\u00f3n del usuario.<\/p>\n

\"\"<\/a><\/div>\n

La puerta trasera resultante descifr\u00f3 etapas posteriores en la memoria, inyect\u00f3 c\u00f3digo en svchost.exe y ley\u00f3 informaci\u00f3n de comando y control del registro de Windows. Posteriormente, los atacantes utilizaron exploits de escalada de privilegios, Mimikatz y otras herramientas de credenciales, conexiones de protocolo de escritorio remoto y NLBrute para moverse a trav\u00e9s de la red.<\/p>\n

S2W an\u00e1lisis de tres grupos de malware<\/a> encontr\u00f3 un patr\u00f3n recurrente de carga lateral de DLL, blobs de registro cifrados y carga de ejecutables port\u00e1tiles en memoria. Dos cl\u00fasteres implementaron las versiones 0.0.1 y 1.2 de SIGNBT, mientras que un tercer cargador descifr\u00f3 una carga \u00fatil externa que los investigadores no pudieron recuperar.<\/p>\n

El sendero Gunra<\/h2>\n

Una intrusi\u00f3n de ransomware Gunra en marzo de 2026 utiliz\u00f3 el mismo sitio web de atenci\u00f3n m\u00e9dica comprometido y la misma vulnerabilidad en el producto que AhnLab llama software de seguridad financiera A. Luego, tanto la cadena patrocinada por el estado como la de ransomware inyectaron c\u00f3digo en SyncHost.exe. AhnLab no identifica el software A, por lo que el informe no establece que la vulnerabilidad vinculada a Gunra fuera AnySign4PC.<\/p>\n

AhnLab tambi\u00e9n descubri\u00f3 que ambas operaciones utilizaban los nombres de archivo net.tmp e inet.tmp. El argumento inet.tmp era id\u00e9ntico, mientras que los argumentos net.tmp segu\u00edan un formato GUID similar. Ambas operaciones utilizaron la misma huella digital de clave p\u00fablica SSH Qr1to32lQHxEu6phzNyrTZrU0iElrOfVWMBLnqoen24. Tambi\u00e9n utilizaron la misma direcci\u00f3n de t\u00fanel inverso 176.65.128.[.]26. El dominio jshosting[.]Me utilizaron para distribuir scripts de explotaci\u00f3n en ambos conjuntos de ataques.<\/p>\n

Los atacantes tambi\u00e9n siguieron el mismo procedimiento antiforense, cambiando el nombre de los archivos maliciosos a nombres aleatorios de cuatro caracteres antes de eliminarlos. Plainbit observ\u00f3 destrucci\u00f3n de evidencia adicional usando SDelete y CCleaner.<\/p>\n

AhnLab evalu\u00f3 que la evidencia muestra un v\u00ednculo t\u00e9cnico probable, pero dijo que no pod\u00eda determinar la relaci\u00f3n entre los operadores. La compa\u00f1\u00eda enumer\u00f3 varias explicaciones posibles, incluida la colaboraci\u00f3n limitada, herramientas o infraestructura compartida, el uso de un corredor de acceso com\u00fan o el acceso a los mismos recursos operativos.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Las superposiciones muestran una ruta de acceso compartida o reutilizada desde el sitio web comprometido a trav\u00e9s de la ejecuci\u00f3n del host y la infraestructura de soporte. No demuestran que el mismo operador controlara ambos ataques.<\/p>\n

Gunra opera como un programa de ransomware como servicio, seg\u00fan investigaci\u00f3n separada de S2W<\/a>.<\/p>\n

La empresa dijo que la operaci\u00f3n hab\u00eda afectado a 32 empresas hasta el 9 de marzo de 2026, incluidas cinco empresas surcoreanas, y hab\u00eda pasado del ransomware derivado de Conti a sus propias versiones de Windows y Linux.<\/p>\n

La atribuci\u00f3n no llega a L\u00e1zaro<\/h2>\n

El aviso gubernamental actual y el informe de la Operaci\u00f3n Doble Ca\u00f1\u00f3n describen al operador centrado en el espionaje s\u00f3lo como un grupo de amenaza patrocinado por el estado. Ninguno de los documentos atribuye formalmente la campa\u00f1a completa de 2025 a 2026 a Lazarus, y ninguno conecta a Lazarus con Gunra.<\/p>\n

AhnLab, sin embargo, atribuir un ataque de abrevadero AnySign4PC de marzo de 2026<\/a> a L\u00e1zaro en un informe separado publicado en abril. Kaspersky<\/a> Tambi\u00e9n document\u00f3 a L\u00e1zaro usando abrevaderos, software de seguridad de Corea del Sur, SIGNBT y COPPERHEDGE durante la Operaci\u00f3n SyncHole anterior.<\/p>\n

Esos informes documentan el uso previo de Lazarus de AnySign4PC, SIGNBT, COPPERHEDGE y la explotaci\u00f3n de abrevaderos. No atribuyen la Operaci\u00f3n Doble Ca\u00f1\u00f3n ni las intrusiones de Gunra a Lazarus.<\/p>\n

Parchee el software, busque el comportamiento<\/h2>\n

KISA Aviso de seguridad del 1 de junio<\/a> identifica las versiones 1.1.4.4 a 1.1.4.6 de AnySign4PC como vulnerables a un desbordamiento del b\u00fafer que permite la ejecuci\u00f3n remota de c\u00f3digo. Enumera la versi\u00f3n 1.1.5.0 como la versi\u00f3n corregida y recomienda eliminar las instalaciones vulnerables.<\/p>\n

Los informes recomiendan buscar cargas de DLL sospechosas mediante ejecutables leg\u00edtimos, datos cifrados almacenados en entradas de registro de servicios, ejecuci\u00f3n de PE en memoria, creaci\u00f3n de servicios inusuales, inyecci\u00f3n en SyncHost.exe o svchost.exe y t\u00faneles SSH salientes inesperados.<\/p>\n

ENKI descubri\u00f3 que su puerta trasera Tipo 1 elimin\u00f3 sus archivos de configuraci\u00f3n de registro, cargador y puerta trasera despu\u00e9s de copiarlos en la memoria cuando se ejecutaba en los modos 1, 2, 4 o 5 con la autoprotecci\u00f3n habilitada. Una vez inicializados, los archivos estuvieron ausentes del disco hasta que un apagado limpio los volvi\u00f3 a escribir y el cargador restaurado ten\u00eda un hash diferente. Eso hace que la telemetr\u00eda conductual sea m\u00e1s \u00fatil que un indicador de archivo estable.<\/p>\n

Plainbit observ\u00f3 una cadena de persistencia en la que una tarea programada llamada RuntimeBroker lanzaba task.vbs, que luego ejecutaba un cliente SSH renombrado como SearchHost.exe para establecer un t\u00fanel inverso. S2W recomienda preservar la memoria del proceso, las l\u00edneas de comando, los valores del registro, los eventos de carga de DLL y los registros de la red antes de finalizar procesos o aislar sistemas.<\/p>\n

AhnLab tambi\u00e9n descubri\u00f3 que varios sitios web comprometidos estaban conectados a la misma empresa de desarrollo y gesti\u00f3n, lo que describi\u00f3 como una posible ruta de la cadena de suministro. La evidencia disponible no establece que el c\u00f3digo fuente de la empresa, el proceso de actualizaci\u00f3n de software o la plataforma de gesti\u00f3n central estuvieran comprometidos.<\/p>\n

El aviso de KISA del 1 de junio no incluye un identificador CVE para la falla AnySign4PC. Al 30 de julio de 2026, The Hacker News encontr\u00f3 solo CVE-2020-7882<\/a> en el programa CVE p\u00fablico y NVD busca AnySign4PC, una vulnerabilidad de cruce de directorios no relacionada que afecta a versiones anteriores. Ese resultado no descarta un identificador reservado, in\u00e9dito o descrito de otra manera. El software A y yo de AhnLab permanecemos sin identificar en su informe, que tampoco revela sus versiones afectadas o reparadas.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Las autoridades de Corea del Sur y cuatro empresas de seguridad han revelado una campa\u00f1a patrocinada por el Estado que comprometi\u00f3 sitios web nacionales confiables. Los atacantes utilizaron esos sitios para explotar el software de seguridad financiera instalado localmente e infectar a los visitantes espec\u00edficos con SIGNBT o Cobertura de cobre puertas traseras. Una p\u00e1gina […]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[4163,466,4165,4164,24,540,3259,52,36,539,965,1325,716,266,2032,76],"class_list":["post-1843","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-anysign4pc","tag-aprovechan","tag-avisos","tag-coreanos","tag-cyberdefensa-mx","tag-informaticos","tag-instalar","tag-los","tag-para","tag-piratas","tag-pirateados","tag-puertas","tag-sin","tag-sitios","tag-traseras","tag-traves"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1843","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1843"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1843\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1843"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1843"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1843"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}