{"id":499,"date":"2026-04-08T16:37:13","date_gmt":"2026-04-08T16:37:13","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/08\/apt28-implementa-el-malware-prismex-en-una-campana-dirigida-a-ucrania-y-los-aliados-de-la-otan-cyberdefensa-mx\/"},"modified":"2026-04-08T16:37:13","modified_gmt":"2026-04-08T16:37:13","slug":"apt28-implementa-el-malware-prismex-en-una-campana-dirigida-a-ucrania-y-los-aliados-de-la-otan-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/08\/apt28-implementa-el-malware-prismex-en-una-campana-dirigida-a-ucrania-y-los-aliados-de-la-otan-cyberdefensa-mx\/","title":{"rendered":"APT28 implementa el malware PRISMEX en una campa\u00f1a dirigida a Ucrania y los aliados de la OTAN \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>El actor de amenazas ruso conocido como <strong>APT28<\/strong> (tambi\u00e9n conocido como Forest Blizzard y Pawn Storm) ha sido vinculado a una nueva campa\u00f1a de phishing dirigida a Ucrania y sus aliados para implementar un paquete de malware previamente indocumentado con nombre en c\u00f3digo. <strong>PRISMEX<\/strong>.<\/p>\n<p>\u00abPRISMEX combina esteganograf\u00eda avanzada, secuestro del modelo de objetos componentes (COM) y abuso leg\u00edtimo de servicios en la nube para comando y control\u00bb, afirman los investigadores de Trend Micro Feike Hacquebord y Hiroyuki Kakara. <a href=\"https:\/\/www.trendmicro.com\/en_us\/research\/26\/c\/pawn-storm-targets-govt-infra.html\">dicho<\/a> en un informe t\u00e9cnico. Se cree que la campa\u00f1a est\u00e1 activa desde al menos septiembre de 2025.<\/p>\n<p>La actividad se ha centrado en varios sectores de Ucrania, incluidos los \u00f3rganos ejecutivos centrales, la hidrometeorolog\u00eda, la defensa y los servicios de emergencia, as\u00ed como la log\u00edstica ferroviaria (Polonia), mar\u00edtima y de transporte (Rumania, Eslovenia, Turqu\u00eda), y socios de apoyo log\u00edstico involucrados en iniciativas de municiones (Eslovaquia, Rep\u00fablica Checa), y socios militares y de la OTAN.<\/p>\n<p>La campa\u00f1a se destaca por la r\u00e1pida utilizaci\u00f3n como arma de fallas recientemente reveladas, como CVE-2026-21509 y CVE-2026-21513, para violar objetivos de inter\u00e9s, y la preparaci\u00f3n de la infraestructura se observ\u00f3 el 12 de enero de 2026, exactamente dos semanas antes de que la primera se revelara p\u00fablicamente.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/vpn-risk-report-inside-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgWajeG0cdaapf1GKTZRUZUB7BzuYGegyw5k0eAorJXlmkFdYCCeLXXhXYJuXU9lWD33rV6rRnIyly3czoNfYifpxk1eGA5slItPmim3HkubXoQMgC4J7hdQPywxGbWq7Eqeff_o6s2Fq-WmSFd5guwdLn7IqpveMqULqtVnd-ndnljWYGj45EkMFB7m0qm\/s728-e100\/z-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>A finales de febrero de 2025, Akamai tambi\u00e9n revel\u00f3 que APT28 pudo haber convertido a CVE-2026-21513 en un arma como un d\u00eda cero basado en un exploit de acceso directo de Microsoft (LNK) que se carg\u00f3 en VirusTotal el 30 de enero de 2026, mucho antes de que el fabricante de Windows lanzara una soluci\u00f3n como parte de su actualizaci\u00f3n del martes de parches el 10 de febrero de 2026.<\/p>\n<p>Este patr\u00f3n de explotaci\u00f3n de d\u00eda cero indica que el actor de la amenaza ten\u00eda conocimiento avanzado de las vulnerabilidades antes de que Microsoft las revelara.<\/p>\n<p>Una superposici\u00f3n interesante entre las campa\u00f1as que explotan las dos vulnerabilidades es el dominio \u00abwellnesscaremed[.]com.\u00bb Este punto en com\u00fan, combinado con el momento de los dos exploits, ha planteado la posibilidad de que los actores de la amenaza est\u00e9n encadenando CVE-2026-21513 y CVE-2026-21509 en una sofisticada cadena de ataque de dos etapas.<\/p>\n<p>\u00abLa primera vulnerabilidad (CVE-2026-21509) obliga al sistema de la v\u00edctima a recuperar un archivo .LNK malicioso, que luego explota la segunda vulnerabilidad (CVE-2026-21513) para eludir las funciones de seguridad y ejecutar cargas \u00fatiles sin advertencias para el usuario\u00bb, teoriz\u00f3 Trend Micro.<\/p>\n<p>Los ataques culminan con el despliegue de cualquiera de los dos <a href=\"https:\/\/thehackernews.com\/2026\/02\/apt28-uses-microsoft-office-cve-2026.html\">MiniDoor, un ladr\u00f3n de correo electr\u00f3nico de Outlook, o una colecci\u00f3n de componentes de malware interconectados conocidos colectivamente como PRISMEX, llamado as\u00ed por el uso de una t\u00e9cnica esteganogr\u00e1fica para ocultar cargas \u00fatiles dentro de archivos de im\u00e1genes. Estos incluyen \u2013<\/a><\/p>\n<ul>\n<li><strong>PrismexHoja<\/strong>un dropper malicioso de Excel con macros VBA que extrae cargas \u00fatiles incrustadas en el archivo mediante esteganograf\u00eda, establece persistencia a trav\u00e9s de <a href=\"https:\/\/attack.mitre.org\/techniques\/T1546\/015\/\">secuestro de COM<\/a>y muestra un documento se\u00f1uelo relacionado con las listas de inventario de drones y los precios de los drones despu\u00e9s de habilitar las macros.<\/li>\n<li><strong>PrismexDrop<\/strong>un cuentagotas nativo que prepara el entorno para una explotaci\u00f3n posterior y utiliza tareas programadas y secuestro de DLL COM para lograr persistencia.<\/li>\n<li><strong>Cargador Prismex<\/strong> (tambi\u00e9n conocido como PixyNetLoader), una DLL proxy que extrae la carga \u00fatil .NET de la siguiente etapa dispersa en la estructura de archivos de una imagen PNG (\u00abSplashScreen.png\u00bb) utilizando un algoritmo personalizado \u00abBit Plane Round Robin\u00bb y lo ejecuta completamente en la memoria.<\/li>\n<li><strong>PrismexStager<\/strong>un implante COVENANT Grunt que abusa del almacenamiento en la nube Filen.io para C2.<\/li>\n<\/ul>\n<p>Vale la pena mencionar aqu\u00ed que algunos aspectos de la campa\u00f1a fueron documentados previamente por Zscaler ThreatLabz bajo el nombre de Operaci\u00f3n Neusploit. <\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/fast-response-not-fast-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjgi9mu68zRUz1nCLLKmkAA2aBtNfP_JOTXulZoB6yImso1Onk7oM_LI0kdROu8fq5S5oDyMtd1j50W44Ye_8Sl3zQZiE8A9tmFr6kejGKjGh74uoxluF-RyBq_unDQlzjXZHCqQeuYXBoogda5zf0w-zXd6v0rIM7fEw6TcFf_QGWBu5Mop-djkEaOUa5A\/s728-e100\/tl-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>El uso de COVENANT por parte de APT28, un marco de comando y control (C2) de c\u00f3digo abierto, fue destacado por primera vez por el Equipo de Respuesta a Emergencias Inform\u00e1ticas de Ucrania (CERT-UA) en junio de 2025. Se considera que PrismexStager es una expansi\u00f3n de MiniDoor y NotDoor (tambi\u00e9n conocido como GONEPOSTAL), una puerta trasera de Microsoft Outlook implementada por el grupo de hackers a finales de 2025.<\/p>\n<p>En al menos un incidente ocurrido en octubre de 2025, se descubri\u00f3 que la carga \u00fatil COVENANT Grunt no solo facilitaba la recopilaci\u00f3n de informaci\u00f3n, sino que tambi\u00e9n ejecutaba un comando de limpieza destructivo que borra todos los archivos del directorio \u00ab%USERPROFILE%\u00bb. Esta doble capacidad da peso a la hip\u00f3tesis de que estas campa\u00f1as podr\u00edan dise\u00f1arse tanto para el espionaje como para el sabotaje. <\/p>\n<p>\u00abEsta operaci\u00f3n demuestra que Pawn Storm sigue siendo uno de los grupos de intrusi\u00f3n m\u00e1s agresivos alineados con Rusia\u00bb, afirm\u00f3 Trend Micro. \u00abEl patr\u00f3n de objetivos revela una intenci\u00f3n estrat\u00e9gica de comprometer la cadena de suministro y las capacidades de planificaci\u00f3n operativa de Ucrania y sus socios de la OTAN\u00bb.<\/p>\n<p>\u00abEl enfoque estrat\u00e9gico en atacar las cadenas de suministro, los servicios meteorol\u00f3gicos y los corredores humanitarios que apoyan a Ucrania representa un cambio hacia una interrupci\u00f3n operativa que puede presagiar actividades m\u00e1s destructivas\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>El actor de amenazas ruso conocido como APT28 (tambi\u00e9n conocido como Forest Blizzard y Pawn Storm) ha sido vinculado a una nueva campa\u00f1a de phishing dirigida a Ucrania y sus aliados para implementar un paquete de malware previamente indocumentado con nombre en c\u00f3digo. PRISMEX. \u00abPRISMEX combina esteganograf\u00eda avanzada, secuestro del modelo de objetos componentes (COM) [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":422,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[1657,286,133,24,462,226,52,60,1658,1656,493,132],"class_list":["post-499","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-aliados","tag-apt28","tag-campana","tag-cyberdefensa-mx","tag-dirigida","tag-implementa","tag-los","tag-malware","tag-otan","tag-prismex","tag-ucrania","tag-una"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/499","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=499"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/499\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/422"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=499"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=499"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=499"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}