{"id":962,"date":"2026-05-22T18:34:33","date_gmt":"2026-05-22T18:34:33","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/22\/ghostwriter-apunta-a-entidades-gubernamentales-de-ucrania-con-el-malware-de-phishing-prometheus-cyberdefensa-mx\/"},"modified":"2026-05-22T18:34:33","modified_gmt":"2026-05-22T18:34:33","slug":"ghostwriter-apunta-a-entidades-gubernamentales-de-ucrania-con-el-malware-de-phishing-prometheus-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/22\/ghostwriter-apunta-a-entidades-gubernamentales-de-ucrania-con-el-malware-de-phishing-prometheus-cyberdefensa-mx\/","title":{"rendered":"Ghostwriter apunta a entidades gubernamentales de Ucrania con el malware de phishing Prometheus \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

El actor de amenazas alineado con Bielorrusia conocido como Escritor fantasma<\/b> (tambi\u00e9n conocido como UAC-0057 y UNC1151Consejo de Defensa y Seguridad Nacional de Ucrania) ha sido observado utilizando se\u00f1uelos relacionados con Prometheus, una plataforma de aprendizaje en l\u00ednea ucraniana, para apuntar a organizaciones gubernamentales en el pa\u00eds.<\/p>\n

La actividad, seg\u00fan el Equipo de Respuesta a Emergencias Inform\u00e1ticas de Ucrania (CERT-UA), implica el env\u00edo de correos electr\u00f3nicos de phishing a entidades gubernamentales utilizando cuentas comprometidas. Ha estado activo desde la primavera de 2026.<\/p>\n

\u00abPor lo general, el correo electr\u00f3nico contiene un archivo PDF adjunto con un enlace que, al hacer clic, conduce a la descarga de un archivo ZIP que contiene un archivo JavaScript\u00bb, dijo la agencia. dicho<\/a> en un informe del jueves.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

El archivo JavaScript, denominado OYSTERFRESH, est\u00e1 dise\u00f1ado para mostrar un documento se\u00f1uelo como mecanismo de distracci\u00f3n, mientras escribe sigilosamente una carga \u00fatil ofuscada y cifrada llamada OYSTERBLUES en el Registro de Windows, adem\u00e1s de descargar e iniciar OYSTERSHUCK, que es responsable de decodificar OYSTERBLUES.<\/p>\n

OYSTERBLUES est\u00e1 equipado para recopilar una amplia gama de informaci\u00f3n del sistema, incluido el nombre de la computadora, la cuenta de usuario, la versi\u00f3n del sistema operativo, la hora del \u00faltimo inicio del sistema operativo y una lista de procesos en ejecuci\u00f3n. Los datos recopilados se env\u00edan a un servidor de comando y control (C2) a trav\u00e9s de una solicitud HTTP POST.<\/p>\n

Luego espera m\u00e1s respuestas que contengan el c\u00f3digo JavaScript de la siguiente etapa, que se ejecuta utilizando el funci\u00f3n evaluar()<\/a>. Se considera que la carga \u00fatil final ser\u00e1 Cobalt Strike, un marco de simulaci\u00f3n de adversario del que se abusa ampliamente para actividades posteriores a la explotaci\u00f3n.<\/p>\n

\"\"<\/a><\/div>\n

\u00abPara reducir la probabilidad de que esta ciberamenaza sea explotada, es aconsejable aplicar enfoques b\u00e1sicos conocidos para reducir la superficie de ataque, espec\u00edficamente restringiendo la capacidad de ejecutar wscript.exe para cuentas de usuario est\u00e1ndar\u00bb, dijo CERT-UA.<\/p>\n

La revelaci\u00f3n se produce cuando el Consejo de Defensa y Seguridad Nacional de Ucrania revel\u00f3<\/a> El uso por parte de Rusia de herramientas de inteligencia artificial (IA) como OpenAI ChatGPT y Google Gemini para explorar objetivos e incrustar la tecnolog\u00eda en malware para generar comandos maliciosos en tiempo de ejecuci\u00f3n, al tiempo que insta a los grupos de hackers respaldados por el Kremlin a llevar a cabo ataques cibern\u00e9ticos centrados en obtener inteligencia y garantizar una presencia a largo plazo en redes comprometidas para su posterior explotaci\u00f3n, incluso para apoyar operaciones de influencia.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

\u00abLos principales vectores de penetraci\u00f3n inicial en 2025 fueron la ingenier\u00eda social, la explotaci\u00f3n de vulnerabilidades, el uso de cuentas RDP y VPN comprometidas, los ataques a las cadenas de suministro y el uso de software sin licencia que ya contiene puertas traseras integradas en la etapa de instalaci\u00f3n\u00bb, dijo el Consejo. \u00abLos atacantes se centraron en robar informaci\u00f3n confidencial, interceptar comunicaciones y rastrear la ubicaci\u00f3n de los objetivos\u00bb.<\/p>\n

En un desarrollo relacionado, los detalles han surgi\u00f3<\/a> sobre una campa\u00f1a de propaganda pro-Kremlin que secuestr\u00f3 cuentas de usuarios reales de Bluesky para publicar contenido falso desde 2024. Las cuentas secuestradas inclu\u00edan a periodistas y profesores. La actividad ha sido atribuida a una empresa con sede en Mosc\u00fa llamada Social Design Agency, que est\u00e1 vinculada a una campa\u00f1a conocida como Matryoshka. En algunos de estos casos, Bluesky ha tomado la medida de suspender las cuentas hasta que los propietarios inicien un reinicio.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

El actor de amenazas alineado con Bielorrusia conocido como Escritor fantasma (tambi\u00e9n conocido como UAC-0057 y UNC1151Consejo de Defensa y Seguridad Nacional de Ucrania) ha sido observado utilizando se\u00f1uelos relacionados con Prometheus, una plataforma de aprendizaje en l\u00ednea ucraniana, para apuntar a organizaciones gubernamentales en el pa\u00eds. La actividad, seg\u00fan el Equipo de Respuesta a […]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[27,31,24,2689,2532,363,60,365,2690,493],"class_list":["post-962","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-apunta","tag-con","tag-cyberdefensa-mx","tag-entidades","tag-ghostwriter","tag-gubernamentales","tag-malware","tag-phishing","tag-prometheus","tag-ucrania"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/962","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=962"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/962\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=962"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=962"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=962"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}