{"id":572,"date":"2026-04-16T08:36:37","date_gmt":"2026-04-16T08:36:37","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/16\/uac-0247-apunta-a-clinicas-y-al-gobierno-de-ucrania-en-una-campana-de-malware-de-robo-de-datos-cyberdefensa-mx\/"},"modified":"2026-04-16T08:36:37","modified_gmt":"2026-04-16T08:36:37","slug":"uac-0247-apunta-a-clinicas-y-al-gobierno-de-ucrania-en-una-campana-de-malware-de-robo-de-datos-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/16\/uac-0247-apunta-a-clinicas-y-al-gobierno-de-ucrania-en-una-campana-de-malware-de-robo-de-datos-cyberdefensa-mx\/","title":{"rendered":"UAC-0247 apunta a cl\u00ednicas y al gobierno de Ucrania en una campa\u00f1a de malware de robo de datos \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>El Equipo de Respuesta a Emergencias Inform\u00e1ticas de Ucrania (CERT-UA) ha <a href=\"https:\/\/cert.gov.ua\/article\/6288271\">revelado<\/a> detalles de una nueva campa\u00f1a que se ha dirigido a gobiernos e instituciones sanitarias municipales, principalmente cl\u00ednicas y hospitales de emergencia, para entregar malware capaz de robar datos confidenciales de navegadores web basados \u200b\u200ben Chromium y WhatsApp.<\/p>\n<p>La actividad, que se observ\u00f3 entre marzo y abril de 2026, se ha atribuido a un grupo de amenazas denominado <strong>UAC-0247<\/strong>. Los or\u00edgenes de la campa\u00f1a se desconocen actualmente.<\/p>\n<p>Seg\u00fan CERT-UA, el punto de partida de la cadena de ataque es un mensaje de correo electr\u00f3nico que dice ser una propuesta de ayuda humanitaria, instando a los destinatarios a hacer clic en un enlace que redirige a un sitio web leg\u00edtimo comprometido a trav\u00e9s de una vulnerabilidad de secuencias de comandos entre sitios (XSS) o un sitio falso creado con la ayuda de herramientas de inteligencia artificial (IA).<\/p>\n<p>Independientemente de cu\u00e1l sea el sitio, el objetivo es descargar y ejecutar un archivo de acceso directo de Windows (LNK), que luego ejecuta una aplicaci\u00f3n HTML remota (HTA) usando la utilidad nativa de Windows, \u00abmshta.exe\u00bb. El archivo HTA, por su parte, muestra una forma de se\u00f1uelo para desviar la atenci\u00f3n de la v\u00edctima, al mismo tiempo que recupera un binario responsable de inyectar c\u00f3digo shell en un proceso leg\u00edtimo (por ejemplo, \u00abruntimeBroker.exe\u00bb).<\/p>\n<p>\u00abAl mismo tiempo, las campa\u00f1as recientes han registrado el uso de un cargador de dos etapas, la segunda etapa del cual se implementa utilizando un formato de archivo ejecutable propietario (con soporte completo para secciones de c\u00f3digo y datos, importaci\u00f3n de funciones de bibliotecas din\u00e1micas y reubicaci\u00f3n), y la carga \u00fatil final se comprime y cifra adicionalmente\u00bb, dijo CERT-UA.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/fast-response-not-fast-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjgi9mu68zRUz1nCLLKmkAA2aBtNfP_JOTXulZoB6yImso1Onk7oM_LI0kdROu8fq5S5oDyMtd1j50W44Ye_8Sl3zQZiE8A9tmFr6kejGKjGh74uoxluF-RyBq_unDQlzjXZHCqQeuYXBoogda5zf0w-zXd6v0rIM7fEw6TcFf_QGWBu5Mop-djkEaOUa5A\/s728-e100\/tl-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Uno de los etapas es una herramienta llamada TCP Reverse Shell o su equivalente, rastreada como RAVENSHELL, que establece una conexi\u00f3n TCP con un servidor de administraci\u00f3n para recibir comandos para su ejecuci\u00f3n en el host usando \u00abcmd.exe\u00bb.<\/p>\n<p>Tambi\u00e9n se descarga en la m\u00e1quina infectada una familia de malware denominada AGINGFLY y un script de PowerShell denominado SILENTLOOP que viene con varias funciones para ejecutar comandos, actualizar autom\u00e1ticamente la configuraci\u00f3n y obtener la direcci\u00f3n IP actual del servidor de administraci\u00f3n de un canal de Telegram, y recurrir a mecanismos alternativos para determinar la direcci\u00f3n de comando y control (C2).<\/p>\n<p>Desarrollado con C#, AGINGFLY est\u00e1 dise\u00f1ado para proporcionar control remoto de los sistemas afectados. Se comunica con un servidor C2 mediante WebSockets para obtener comandos que le permiten ejecutar comandos, iniciar un registrador de teclas, descargar archivos y ejecutar cargas \u00fatiles adicionales.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEj_AHxWvDP44pLmXPdXa6YmuE1wb3CQljkIyHsvoDvvrqtUqEWpVdPYIwuug_YS18uDgDZfmuRi7Tam4qe1fGip8uwznKiv2JBtGxvGwgUugwJga-tCkmZVHmc-OcBjbmaVeDP3kohvXHjm82n0UcP7BEngOpkSksnp05M0FVjtbxsbrd86os2-pyfHCamQ\/s1700-e365\/ua-2.png\" style=\"display: block;  text-align: center; clear: left; float: left;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEj_AHxWvDP44pLmXPdXa6YmuE1wb3CQljkIyHsvoDvvrqtUqEWpVdPYIwuug_YS18uDgDZfmuRi7Tam4qe1fGip8uwznKiv2JBtGxvGwgUugwJga-tCkmZVHmc-OcBjbmaVeDP3kohvXHjm82n0UcP7BEngOpkSksnp05M0FVjtbxsbrd86os2-pyfHCamQ\/s1700-e365\/ua-2.png\" alt=\"\" border=\"0\" data-original-height=\"1792\" data-original-width=\"3194\"\/><\/a><\/div>\n<p>Una investigaci\u00f3n de alrededor de una docena de incidentes ha revelado que estos ataques facilitan el reconocimiento, el movimiento lateral y el robo de credenciales y otros datos confidenciales de WhatsApp y los navegadores basados \u200b\u200ben Chromium. Estose logra mediante la implementaci\u00f3n de varias herramientas de c\u00f3digo abierto, como las que se enumeran a continuaci\u00f3n:<\/p>\n<ul>\n<li>ChromElevator, un programa dise\u00f1ado para eludir las protecciones de cifrado vinculado a aplicaciones (ABE) de Chromium y recopilar cookies y contrase\u00f1as guardadas<\/li>\n<li><a href=\"https:\/\/github.com\/kraftdenker\/ZAPiXDESK\">ZAPiXDESK<\/a>una herramienta de extracci\u00f3n forense para descifrar bases de datos locales para WhatsApp Web<\/li>\n<li><a href=\"https:\/\/github.com\/bee-san\/RustScan\">\u00d3xidoScan<\/a>un esc\u00e1ner de red<\/li>\n<li>Ligolo-Ng, una utilidad ligera para establecer t\u00faneles a partir de conexiones TCP\/TLS inversas<\/li>\n<li><a href=\"https:\/\/github.com\/jpillora\/chisel\">Cincel<\/a>una herramienta para tunelizar el tr\u00e1fico de red a trav\u00e9s de TCP\/UDP<\/li>\n<li>XMRig, un minero de criptomonedas <\/li>\n<\/ul>\n<p>La agencia dijo que hay evidencia que sugiere que representantes de las Fuerzas de Defensa de Ucrania tambi\u00e9n podr\u00edan haber sido atacados como parte de la campa\u00f1a. Esto se basa en la distribuci\u00f3n de archivos ZIP maliciosos a trav\u00e9s de Signal que est\u00e1n dise\u00f1ados para eliminar AGINGFLY mediante la t\u00e9cnica de carga lateral de DLL.<\/p>\n<p>Para mitigar el riesgo asociado con la amenaza y minimizar la superficie de ataque, se recomienda restringir la ejecuci\u00f3n de archivos LNK, HTA y JS, junto con utilidades leg\u00edtimas como \u00abmshta.exe\u00bb, \u00abpowershell.exe\u00bb y \u00abwscript.exe\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>El Equipo de Respuesta a Emergencias Inform\u00e1ticas de Ucrania (CERT-UA) ha revelado detalles de una nueva campa\u00f1a que se ha dirigido a gobiernos e instituciones sanitarias municipales, principalmente cl\u00ednicas y hospitales de emergencia, para entregar malware capaz de robar datos confidenciales de navegadores web basados \u200b\u200ben Chromium y WhatsApp. La actividad, que se observ\u00f3 entre [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":530,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[27,133,1855,24,627,1018,60,47,1854,493,132],"class_list":["post-572","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-apunta","tag-campana","tag-clinicas","tag-cyberdefensa-mx","tag-datos","tag-gobierno","tag-malware","tag-robo","tag-uac0247","tag-ucrania","tag-una"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/572","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=572"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/572\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/530"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=572"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=572"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=572"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}