{"id":526,"date":"2026-04-12T06:59:10","date_gmt":"2026-04-12T06:59:10","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/12\/cpuid-breach-distribuye-stx-rat-a-traves-de-descargas-troyanizadas-de-cpu-z-y-hwmonitor-cyberdefensa-mx\/"},"modified":"2026-04-12T06:59:10","modified_gmt":"2026-04-12T06:59:10","slug":"cpuid-breach-distribuye-stx-rat-a-traves-de-descargas-troyanizadas-de-cpu-z-y-hwmonitor-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/12\/cpuid-breach-distribuye-stx-rat-a-traves-de-descargas-troyanizadas-de-cpu-z-y-hwmonitor-cyberdefensa-mx\/","title":{"rendered":"CPUID Breach distribuye STX RAT a trav\u00e9s de descargas troyanizadas de CPU-Z y HWMonitor \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Actores de amenazas desconocidos comprometieron la CPUID (\u00abcpuid[.]com\u00bb), un sitio web que aloja herramientas populares de monitoreo de hardware como CPU-Z, HWMonitor, HWMonitor Pro y PerfMonitor, durante menos de 24 horas para servir ejecutables maliciosos para el software e implementar un troyano de acceso remoto llamado STX RAT.<\/p>\n<p>El incidente dur\u00f3 aproximadamente desde el 9 de abril a las 15:00 UTC hasta aproximadamente el 10 de abril a las 10:00 UTC, y las URL de descarga de los instaladores de CPU-Z y HWMonitor fueron reemplazadas por enlaces a sitios web maliciosos.<\/p>\n<p>en un <a href=\"https:\/\/x.com\/d0cTB\/status\/2042520961824559150\">correo<\/a> compartido en X, CPUID confirm\u00f3 la infracci\u00f3n, atribuy\u00e9ndola a un compromiso de una \u00abcaracter\u00edstica secundaria (b\u00e1sicamente una API secundaria)\u00bb que provoc\u00f3 que el sitio principal mostrara aleatoriamente enlaces maliciosos. Vale la pena se\u00f1alar que el ataque no afect\u00f3 a sus archivos originales firmados.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/vpn-risk-report-inside-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgWajeG0cdaapf1GKTZRUZUB7BzuYGegyw5k0eAorJXlmkFdYCCeLXXhXYJuXU9lWD33rV6rRnIyly3czoNfYifpxk1eGA5slItPmim3HkubXoQMgC4J7hdQPywxGbWq7Eqeff_o6s2Fq-WmSFd5guwdLn7IqpveMqULqtVnd-ndnljWYGj45EkMFB7m0qm\/s728-e100\/z-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>De acuerdo a <a href=\"https:\/\/securelist.com\/tr\/cpu-z\/119365\/\">Kaspersky<\/a>los nombres de los sitios web fraudulentos son los siguientes:<\/p>\n<ul>\n<li>cahayailmukreatif.web[.]identificaci\u00f3n<\/li>\n<li>pub-45c2577dbd174292a02137c18e7b1b5a.r2[.]desarrollador<\/li>\n<li>transitopalermo[.]com<\/li>\n<li>vatrobrano[.]hora<\/li>\n<\/ul>\n<p>\u00abEl software troyanizado se distribuy\u00f3 como archivos ZIP y como instaladores independientes para los productos antes mencionados\u00bb, afirm\u00f3 la empresa rusa de ciberseguridad. \u00abEstos archivos contienen un ejecutable leg\u00edtimo firmado para el producto correspondiente y una DLL maliciosa, que se denomina &#8216;CRYPTBASE.dll&#8217; para aprovechar la t\u00e9cnica de carga lateral de DLL\u00bb.<\/p>\n<p>La DLL maliciosa, por su parte, se pone en contacto con un servidor externo y ejecuta cargas \u00fatiles adicionales, no sin antes realizar comprobaciones anti-sandbox para evitar la detecci\u00f3n. El objetivo final de la campa\u00f1a es desplegar <a href=\"https:\/\/www.esentire.com\/blog\/stx-rat-a-new-rat-in-2026-with-infostealer-capabilities\">RATA STX<\/a>una RAT con HVNC y amplias capacidades de robo de informaci\u00f3n.<\/p>\n<p>STX RAT \u00abexpone un amplio conjunto de comandos para control remoto, ejecuci\u00f3n de carga \u00fatil de seguimiento y acciones posteriores a la explotaci\u00f3n (por ejemplo, ejecuci\u00f3n en memoria de EXE\/DLL\/PowerShell\/shellcode, proxy inverso\/tunelizaci\u00f3n, interacci\u00f3n de escritorio)\u00bb, dijo eSentire en un an\u00e1lisis del malware la semana pasada.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/fast-response-not-fast-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjgi9mu68zRUz1nCLLKmkAA2aBtNfP_JOTXulZoB6yImso1Onk7oM_LI0kdROu8fq5S5oDyMtd1j50W44Ye_8Sl3zQZiE8A9tmFr6kejGKjGh74uoxluF-RyBq_unDQlzjXZHCqQeuYXBoogda5zf0w-zXd6v0rIM7fEw6TcFf_QGWBu5Mop-djkEaOUa5A\/s728-e100\/tl-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>La direcci\u00f3n del servidor de comando y control (C2) y la configuraci\u00f3n de conexi\u00f3n se han reutilizado desde un <a href=\"https:\/\/www.malwarebytes.com\/blog\/threat-intel\/2026\/03\/a-fake-filezilla-site-hosts-a-malicious-download\">campa\u00f1a anterior<\/a> que aprovech\u00f3 el troyanizado <a href=\"https:\/\/www.malwarebytes.com\/blog\/threat-intel\/2026\/02\/fake-7-zip-downloads-are-turning-home-pcs-into-proxy-nodes\">Instaladores de FileZilla<\/a> alojados en sitios falsos para implementar el mismo malware RAT. La actividad fue documentada por Malwarebytes a principios del mes pasado.<\/p>\n<p>Kaspersky dijo que ha identificado a m\u00e1s de 150 v\u00edctimas, en su mayor\u00eda personas afectadas por el incidente. Sin embargo, las organizaciones de comercio minorista, manufactura, consultor\u00eda, telecomunicaciones y agricultura tambi\u00e9n se han visto afectadas. La mayor\u00eda de los contagios se localizan en Brasil, Rusia y China.<\/p>\n<p>\u00abEl error m\u00e1s grave que cometieron los atacantes fue reutilizar la misma cadena de infecci\u00f3n que involucra STX RAT y los mismos nombres de dominio para la comunicaci\u00f3n C2 del ataque anterior relacionado con instaladores falsos de FileZilla\u00bb, dijo Kaspersky. \u00abLas capacidades generales de desarrollo\/implementaci\u00f3n de malware y seguridad operativa del actor de amenazas detr\u00e1s de este ataque son bastante bajas, lo que, a su vez, hizo posible detectar el ataque tan pronto como comenz\u00f3\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Actores de amenazas desconocidos comprometieron la CPUID (\u00abcpuid[.]com\u00bb), un sitio web que aloja herramientas populares de monitoreo de hardware como CPU-Z, HWMonitor, HWMonitor Pro y PerfMonitor, durante menos de 24 horas para servir ejecutables maliciosos para el software e implementar un troyano de acceso remoto llamado STX RAT. El incidente dur\u00f3 aproximadamente desde el 9 [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":422,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[928,1736,1740,24,1739,1737,1741,209,1738,76,207],"class_list":["post-526","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-breach","tag-cpuid","tag-cpuz","tag-cyberdefensa-mx","tag-descargas","tag-distribuye","tag-hwmonitor","tag-rat","tag-stx","tag-traves","tag-troyanizadas"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/526","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=526"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/526\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/422"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=526"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=526"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=526"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}