{"id":355,"date":"2026-03-24T18:02:38","date_gmt":"2026-03-24T18:02:38","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/03\/24\/los-piratas-informaticos-utilizan-curriculums-falsos-para-robar-credenciales-empresariales-e-implementar-crypto-miner-cyberdefensa-mx\/"},"modified":"2026-03-24T18:02:38","modified_gmt":"2026-03-24T18:02:38","slug":"los-piratas-informaticos-utilizan-curriculums-falsos-para-robar-credenciales-empresariales-e-implementar-crypto-miner-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/03\/24\/los-piratas-informaticos-utilizan-curriculums-falsos-para-robar-credenciales-empresariales-e-implementar-crypto-miner-cyberdefensa-mx\/","title":{"rendered":"Los piratas inform\u00e1ticos utilizan curr\u00edculums falsos para robar credenciales empresariales e implementar Crypto Miner \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Una campa\u00f1a de phishing en curso se dirige a entornos corporativos de habla francesa con curr\u00edculums falsos que conducen al despliegue de mineros de criptomonedas y ladrones de informaci\u00f3n.<\/p>\n<p>\u00abLa campa\u00f1a utiliza archivos VBScript altamente ofuscados disfrazados de documentos de curr\u00edculum vitae, entregados a trav\u00e9s de correos electr\u00f3nicos de phishing\u00bb, dijeron los investigadores de Securonix Shikha Sangwan, Akshay Gaikwad y Aaron Beardslee. <a href=\"https:\/\/www.securonix.com\/blog\/faux-elevate-threat-actors-crypto-miners-and-infostealers\/\" rel=\"noopener\" target=\"_blank\">dicho<\/a> en un informe compartido con The Hacker News.<\/p>\n<p>\u00abUna vez ejecutado, el malware implementa un conjunto de herramientas multiprop\u00f3sito que combina el robo de credenciales, la exfiltraci\u00f3n de datos y la miner\u00eda de criptomonedas Monero para una m\u00e1xima monetizaci\u00f3n\u00bb.<\/p>\n<p>La actividad ha sido nombrada en c\u00f3digo. <strong>FAUX#ELEVAR<\/strong> por la empresa de ciberseguridad. La campa\u00f1a se destaca por el abuso de infraestructura y servicios leg\u00edtimos, como Dropbox para la preparaci\u00f3n de cargas \u00fatiles, sitios marroqu\u00edes de WordPress para alojar la configuraci\u00f3n de comando y control (C2) y el correo.[.]ru Infraestructura SMTP para extraer credenciales de navegador y archivos de escritorio robados.<\/p>\n<p>Este es un ejemplo de un ataque estilo vivir de la tierra que eleva el nivel sobre c\u00f3mo los atacantes pueden enga\u00f1ar a los mecanismos de defensa y colarse en el sistema del objetivo sin llamar mucho la atenci\u00f3n.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/not-fast-enough-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhlXM830ruQd2xT6M7JNeNRjaFa1onD12WjSCHihTFMTzbyfT9h-irPmXy_h3E1HGSs6sdv7FTmnyNVTM5kmSb7BuUtZe8gKoTQt99P1sSzRcqqXpOJP6eoAOhR3DGb6qHx9kOZ_HBZUMmVnsnd0DM7QfUp81bgzTvvgLww6oqB-EhnDfWXH5pWCYhAsyLs\/s728-e100\/tl-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>El archivo dropper inicial es un Visual Basic Script (VBScript) que, al abrirse, muestra un mensaje de error falso en franc\u00e9s, enga\u00f1ando a los destinatarios del mensaje haci\u00e9ndoles pensar que el archivo est\u00e1 da\u00f1ado. Sin embargo, lo que sucede detr\u00e1s de escena es que el script muy ofuscado ejecuta una serie de comprobaciones para evadir los entornos sandbox y entra en un bucle persistente de Control de cuentas de usuario (UAC) que solicita a los usuarios que lo ejecuten con privilegios de administrador.<\/p>\n<p>En particular, de las 224.471 l\u00edneas del script, s\u00f3lo 266 l\u00edneas contienen c\u00f3digo ejecutable real. El resto del gui\u00f3n est\u00e1 lleno de comentarios basura con frases aleatorias en ingl\u00e9s, lo que aumenta el tama\u00f1o del archivo a 9,7 MB.<\/p>\n<p>\u00abEl malware tambi\u00e9n utiliza una puerta de uni\u00f3n a un dominio mediante <a href=\"https:\/\/learn.microsoft.com\/en-us\/windows\/win32\/wmisdk\/wmi-start-page\" rel=\"noopener\" target=\"_blank\">WMI<\/a> [Windows Management Instrumentation]asegurando que las cargas \u00fatiles s\u00f3lo se entreguen en m\u00e1quinas empresariales y que los sistemas dom\u00e9sticos independientes queden excluidos por completo\u00bb, dijeron los investigadores.<\/p>\n<p>Tan pronto como el dropper obtiene privilegios administrativos, no pierde tiempo en deshabilitar los controles de seguridad y encubrir sus huellas configurando rutas de exclusi\u00f3n de Microsoft Defender para todas las letras de unidades principales (de C a I), deshabilitando UAC mediante un cambio en el Registro de Windows y elimin\u00e1ndose a s\u00ed mismo.<\/p>\n<p>El dropper tambi\u00e9n es responsable de recuperar dos archivos 7-Zip separados protegidos con contrase\u00f1a alojados en Dropbox:<\/p>\n<ul>\n<li>gmail2.7z, que contiene varios ejecutables para robar datos y extraer criptomonedas<\/li>\n<li>gmail_ma.7z, que contiene utilidades para persistencia y limpieza<\/li>\n<\/ul>\n<p>Entre las herramientas utilizadas para facilitar el robo de credenciales se encuentra un componente que aprovecha el proyecto ChromElevator para extraer datos confidenciales de los navegadores basados \u200b\u200ben Chromium eludiendo las protecciones de cifrado vinculado a aplicaciones (ABE). Algunas de las otras herramientas incluyen:<\/p>\n<ul>\n<li>mozilla.vbs, un malware VBScript para robar el perfil y las credenciales de Mozilla Firefox<\/li>\n<li>wall.vbs, una carga \u00fatil de VBScript para la exfiltraci\u00f3n de archivos de escritorio<\/li>\n<li>mservice.exe, un minero de criptomonedas XMRig que se lanza despu\u00e9s de recuperar la configuraci\u00f3n de miner\u00eda de un sitio de WordPress marroqu\u00ed comprometido<\/li>\n<li>WinRing0x64.sys, un controlador leg\u00edtimo del kernel de Windows que se utiliza para desbloquear todo el potencial de miner\u00eda de la CPU<\/li>\n<li>RuntimeHost.exe, un componente troyano persistente que modifica las reglas del Firewall de Windows y se comunica peri\u00f3dicamente con un servidor C2<\/li>\n<\/ul>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ciso-risk-comm-cert-dr-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgqhIRUj1YTC94RNdUGjmL9vDt5o56pkuKHyTGP8DvhM0bsTe7VSW-pHKY9HaAKsXk4J3x3gREcX_ZtLx04zPaI1UqHjcBD9QquXjOczTKwcJeGnTUqH73_QRG4d0Ki0KBKChGP48m-7VzU7UTgCWdz7hBtd51XbCyMUXu9PBBQt1sbO1V4WLWu4QrEBTZA\/s728-e100\/ciso-dark-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Los \u00fanicos datos del navegador se extraen mediante dos correos separados.[.]cuentas de remitente ru (\u00abolga.aitsaid@mail.ru\u00bb y \u00ab3pw5nd9neeyn@mail.ru\u00bb) que comparten la misma contrase\u00f1a a trav\u00e9s de SMTP con otra direcci\u00f3n de correo electr\u00f3nico operada por el actor de la amenaza (\u00abvladimirprolitovitch@duck.com\u00bb).<\/p>\n<p>Una vez que se completan las actividades de robo de credenciales y exfiltraci\u00f3n, la cadena de ataque inicia una limpieza agresiva de todas las herramientas ca\u00eddas en un intento por minimizar la huella forense, dejando atr\u00e1s solo al minero y al troyano.<\/p>\n<p>\u00abLa campa\u00f1a FAUX#ELEVATE demuestra una operaci\u00f3n de ataque de m\u00faltiples etapas bien organizada que combina varias t\u00e9cnicas notables en una sola cadena de infecci\u00f3n\u00bb, dijo Securonix.<\/p>\n<p>\u00abLo que hace que esta campa\u00f1a sea particularmente peligrosa para los equipos de seguridad empresarial es la velocidad de ejecuci\u00f3n, la cadena de infecci\u00f3n completa se completa en aproximadamente 25 segundos desde la ejecuci\u00f3n inicial de VBS hasta la exfiltraci\u00f3n de credenciales, y el objetivo selectivo de las m\u00e1quinas unidas al dominio, lo que garantiza que cada host comprometido proporcione el m\u00e1ximo valor a trav\u00e9s del robo de credenciales corporativas y el secuestro persistente de recursos\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Una campa\u00f1a de phishing en curso se dirige a entornos corporativos de habla francesa con curr\u00edculums falsos que conducen al despliegue de mineros de criptomonedas y ladrones de informaci\u00f3n. \u00abLa campa\u00f1a utiliza archivos VBScript altamente ofuscados disfrazados de documentos de curr\u00edculum vitae, entregados a trav\u00e9s de correos electr\u00f3nicos de phishing\u00bb, dijeron los investigadores de Securonix [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":108,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[469,223,1236,24,1237,57,530,540,52,1238,36,539,703,92],"class_list":["post-355","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-credenciales","tag-crypto","tag-curriculums","tag-cyberdefensa-mx","tag-empresariales","tag-falsos","tag-implementar","tag-informaticos","tag-los","tag-miner","tag-para","tag-piratas","tag-robar","tag-utilizan"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/355","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=355"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/355\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/108"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=355"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=355"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=355"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}