{"id":747,"date":"2026-05-04T13:47:07","date_gmt":"2026-05-04T13:47:07","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/04\/silver-fox-implementa-malware-abcdoor-mediante-phishing-con-tematica-fiscal-en-india-y-rusia-cyberdefensa-mx\/"},"modified":"2026-05-04T13:47:07","modified_gmt":"2026-05-04T13:47:07","slug":"silver-fox-implementa-malware-abcdoor-mediante-phishing-con-tematica-fiscal-en-india-y-rusia-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/04\/silver-fox-implementa-malware-abcdoor-mediante-phishing-con-tematica-fiscal-en-india-y-rusia-cyberdefensa-mx\/","title":{"rendered":"Silver Fox implementa malware ABCDoor mediante phishing con tem\u00e1tica fiscal en India y Rusia \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

El grupo de cibercrimen con sede en China conocido como Zorro plateado<\/strong> se ha vinculado a una nueva campa\u00f1a dirigida a organizaciones en Rusia e India con un nuevo malware llamado ABCPuerta<\/strong>.<\/p>\n

La actividad implicaba utilizar correos electr\u00f3nicos de phishing<\/a> que imita la correspondencia del Departamento de Impuestos sobre la Renta de la India en diciembre de 2025, seguida de una campa\u00f1a similar dirigida a entidades rusas.<\/p>\n

\u00abAmbas oleadas siguieron una estructura casi id\u00e9ntica: los correos electr\u00f3nicos de phishing ten\u00edan el estilo de avisos oficiales sobre auditor\u00edas fiscales o ped\u00edan a los usuarios que descargaran un archivo que conten\u00eda una ‘lista de infracciones fiscales’\u00bb, Kaspersky dicho<\/a>. \u00abDentro del archivo hab\u00eda un cargador modificado basado en Rust extra\u00eddo de un repositorio p\u00fablico. Este cargador descargar\u00eda y ejecutar\u00eda la conocida puerta trasera ValleyRAT\u00bb.<\/p>\n

Se estima que la campa\u00f1a ha impactado a organizaciones de los sectores industrial, de consultor\u00eda, minorista y de transporte. Se detectaron m\u00e1s de 1.600 correos electr\u00f3nicos de phishing entre principios de enero y principios de febrero.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Lo que es notable acerca de estas oleadas de phishing es la entrega de un nuevo complemento ValleyRAT que funciona como un cargador para una puerta trasera basada en Python previamente indocumentada cuyo nombre en c\u00f3digo es ABCDoor. La puerta trasera, seg\u00fan la empresa rusa de ciberseguridad, ha sido parte del arsenal del actor de amenazas desde al menos el 19 de diciembre de 2024 y se utiliz\u00f3 en ciberataques a partir de febrero o marzo de 2025.<\/p>\n

El punto de partida de la cadena de ataque es un correo electr\u00f3nico de phishing que contiene un archivo PDF, que incluye dos enlaces en los que se puede hacer clic y que conducen a la descarga de un archivo ZIP o RAR alojado en \u00ababc.haijing88[.]com.\u00bb En la campa\u00f1a detectada en diciembre de 2025, se dice que el c\u00f3digo malicioso se incrust\u00f3 directamente en los archivos adjuntos al correo electr\u00f3nico.<\/p>\n

Dentro del archivo hay un ejecutable que imita un archivo PDF. El binario es una versi\u00f3n modificada de un cargador de c\u00f3digo shell de c\u00f3digo abierto y un marco de derivaci\u00f3n de antivirus llamado \u00f3xidoSL<\/a>. El primer uso registrado de RustSL por parte de Silver Fox se remonta a finales de diciembre de 2025.<\/p>\n

El objetivo final de la variante Silver Fox RustSL es descomprimir la carga \u00fatil maliciosa cifrada, al tiempo que se implementan comprobaciones ambientales y de geofencing basadas en pa\u00edses para detectar m\u00e1quinas virtuales y entornos sandbox. Si bien la variante de GitHub solo incluye a China en su lista de pa\u00edses, la versi\u00f3n personalizada incluye a India, Indonesia, Sud\u00e1frica, Rusia y Camboya.<\/p>\n

Se ha descubierto que una variante del cargador emplea una novela llamada Persistencia fantasma<\/a> para establecer persistencia en el host comprometido. Se document\u00f3 por primera vez en junio de 2025.<\/p>\n

\"\"<\/a><\/div>\n

\u00abEste m\u00e9todo abusa de la funcionalidad dise\u00f1ada para permitir que las aplicaciones que requieren un reinicio para obtener actualizaciones completen el proceso de instalaci\u00f3n correctamente\u00bb, explic\u00f3 Kaspersky. \u00abLos atacantes interceptan la se\u00f1al de apagado del sistema, detienen la secuencia de apagado normal y activan un reinicio bajo la apariencia de una actualizaci\u00f3n del malware. En consecuencia, el cargador obliga al sistema a ejecutarlo al iniciar el sistema operativo\u00bb.<\/p>\n

La carga \u00fatil cifrada cargada por RustSL da como resultado la descarga del malware cifrado ValleyRAT (tambi\u00e9n conocido como Winos 4.0), con el componente principal (\u00ablogin-module.dll_bin\u00bb) responsable de las comunicaciones de comando y control (C2), la ejecuci\u00f3n de comandos y la recuperaci\u00f3n y ejecuci\u00f3n de m\u00f3dulos adicionales.<\/p>\n

Uno de los m\u00f3dulos personalizados implementados como parte del ataque luego de una segunda verificaci\u00f3n de geofencing es ABCDoor, que contacta a un servidor externo a trav\u00e9s de HTTPS y procesa los mensajes entrantes para facilitar la persistencia, manejar actualizaciones y eliminaci\u00f3n de puertas traseras, recopilar datos como capturas de pantalla, habilitar el control remoto del mouse y el teclado, realizar operaciones del sistema de archivos, administrar procesos del sistema y filtrar el contenido del portapapeles.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Tan recientemente como noviembre de 2025, se observ\u00f3 que Silver Fox usaba un cargador de JavaScript para entregar ABCDoor, con el cargador distribuido a trav\u00e9s de archivos autoextra\u00edbles (SFX) que estaban empaquetados dentro de archivos ZIP probablemente enviados a trav\u00e9s de correos electr\u00f3nicos de phishing. Desde entonces, las versiones m\u00e1s nuevas de RustSL han ampliado el enfoque geogr\u00e1fico para incluir a Jap\u00f3n.<\/p>\n

El mayor n\u00famero de ataques se ha detectado en India, Rusia e Indonesia, seguidos de Sud\u00e1frica y Jap\u00f3n. La mayor\u00eda de las muestras de cargadores descubiertas han empleado se\u00f1uelos con temas de impuestos para imitar la secuencia de infecci\u00f3n.<\/p>\n

\u00abDesde 2024, [Silver Fox] ha evolucionado hacia un modelo operativo de doble v\u00eda que lleva a cabo simult\u00e1neamente actividades oportunistas extensas y rentables y actividades de espionaje\u00bb, S2W dicho<\/a>. \u00abEn las primeras etapas, el grupo ten\u00eda como objetivo atacar a China, pero luego ampli\u00f3 su alcance operativo a Taiw\u00e1n y Jap\u00f3n\u00bb.<\/p>\n

\u00abEl grupo Silver Fox utiliza principalmente t\u00e9cnicas de phishing altamente personalizadas para la infiltraci\u00f3n inicial, desplegando escenarios de ataque sofisticados y diversificados adaptados a los problemas estacionales del pa\u00eds objetivo y las caracter\u00edsticas laborales del objetivo\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

El grupo de cibercrimen con sede en China conocido como Zorro plateado se ha vinculado a una nueva campa\u00f1a dirigida a organizaciones en Rusia e India con un nuevo malware llamado ABCPuerta. La actividad implicaba utilizar correos electr\u00f3nicos de phishing que imita la correspondencia del Departamento de Impuestos sobre la Renta de la India en […]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[2260,31,24,2262,1424,226,571,60,670,365,1278,412,2261],"class_list":["post-747","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-abcdoor","tag-con","tag-cyberdefensa-mx","tag-fiscal","tag-fox","tag-implementa","tag-india","tag-malware","tag-mediante","tag-phishing","tag-rusia","tag-silver","tag-tematica"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/747","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=747"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/747\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=747"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=747"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=747"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}