{"id":978,"date":"2026-05-26T10:31:34","date_gmt":"2026-05-26T10:31:34","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/26\/hackers-iranies-implementan-minifast-y-minijunk-v2-mediante-phishing-y-envenenamiento-de-seo-cyberdefensa-mx\/"},"modified":"2026-05-26T10:31:34","modified_gmt":"2026-05-26T10:31:34","slug":"hackers-iranies-implementan-minifast-y-minijunk-v2-mediante-phishing-y-envenenamiento-de-seo-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/26\/hackers-iranies-implementan-minifast-y-minijunk-v2-mediante-phishing-y-envenenamiento-de-seo-cyberdefensa-mx\/","title":{"rendered":"Hackers iran\u00edes implementan MiniFast y MiniJunk V2 mediante phishing y envenenamiento de SEO \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

El actor de amenazas patrocinado por el estado iran\u00ed conocido como Nimbus Manticore (tambi\u00e9n conocido como Screening Serpens y UNC1549) ha sido atribuido a una nueva campa\u00f1a que utiliza se\u00f1uelos que se hacen pasar por organizaciones en los sectores de aviaci\u00f3n y software en los EE. UU., Europa y Medio Oriente luego de la campa\u00f1a militar conjunta entre EE. UU. e Israel contra el pa\u00eds a fines de febrero de 2026.<\/p>\n

La actividad, adem\u00e1s de adoptar t\u00e9cnicas no documentadas previamente y capacidades mejoradas, se caracteriza por el uso de una nueva puerta trasera con nombre en c\u00f3digo MiniFast (tambi\u00e9n conocido como MiniUpdate) que parece haber sido desarrollada con la ayuda de inteligencia artificial (IA), Check Point. dicho<\/a> en un an\u00e1lisis publicado la semana pasada.<\/p>\n

Afiliado al Cuerpo de la Guardia Revolucionaria Isl\u00e1mica de Ir\u00e1n (IRGC), Nimbus Manticore es mejor conocido por apuntar a los sectores de defensa, aviaci\u00f3n y telecomunicaciones utilizando se\u00f1uelos de phishing con temas profesionales. Estas campa\u00f1as tambi\u00e9n han recibido el nombre en c\u00f3digo de Trabajo de ensue\u00f1o iran\u00ed, debido a similitudes t\u00e1cticas con la Operaci\u00f3n Trabajo de ensue\u00f1o orquestada por piratas inform\u00e1ticos norcoreanos.<\/p>\n

Las cadenas de ataques recientes vinculadas al actor de amenazas han sido testigos de un cambio en el oficio, como lo demuestra el uso del secuestro de AppDomain para entregar MiniJunk en febrero de 2026, seguido del despliegue de la puerta trasera MiniFast en marzo y la dependencia del envenenamiento de SEO para distribuir una versi\u00f3n troyanizada del software SQL Developer de Oracle en abril.<\/p>\n

En la primera campa\u00f1a observada antes del inicio de la guerra, los empleados de los sectores de software y aviaci\u00f3n en Arabia Saudita y Australia fueron atacados con oportunidades profesionales falsas, enga\u00f1\u00e1ndolos para que descargaran un archivo ZIP alojado en OnlyOffice. El lanzamiento de un ejecutable benigno dentro del archivo ZIP aprovech\u00f3 una t\u00e9cnica conocida como secuestro de AppDomain para lanzar una DLL MiniJunk maliciosa.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Se ha descubierto que la campa\u00f1a de marzo de 2026 sigui\u00f3 m\u00e1s o menos el mismo enfoque, solo que esta vez el actor de amenazas tambi\u00e9n utiliz\u00f3 un instalador de Zoom troyanizado como parte de la secuencia de ataque para lanzar el binario que luego aprovecha el secuestro de AppDomain para implementar MiniFast. Se sospecha que la actividad fue parte de una campa\u00f1a de phishing que utilizaba invitaciones a reuniones falsas.<\/p>\n

Hay indicios de que Nimbus Manticore utiliz\u00f3 el desarrollo asistido por IA para ayudar a crear MiniFast. Esto incluye un manejo excesivo de errores y l\u00f3gica de programaci\u00f3n defensiva, patrones repetitivos de nomenclatura de m\u00e9todos y funciones con identificadores descriptivos o detallados, varias cadenas detalladas de informes de errores y mensajes de estado de estilo de depuraci\u00f3n, y organizaci\u00f3n de c\u00f3digo modular a pesar de la simplicidad general del malware.<\/p>\n

Check Point dijo que tambi\u00e9n observ\u00f3 el mes pasado un sitio web falso que se hac\u00eda pasar por una p\u00e1gina de descarga de SQL Developer, enga\u00f1ando a los visitantes que acceden a la p\u00e1gina mediante envenenamiento de SEO para descargar un instalador armado que ofrece MiniFast. Este desarrollo marca la primera vez que el actor de amenazas recurre a este enfoque para la entrega de malware.<\/p>\n

\"\"<\/a><\/div>\n

\u00abEste m\u00e9todo de entrega de malware difiere de las cadenas de infecci\u00f3n habituales de Nimbus Manticore, que normalmente se basan en se\u00f1uelos de phishing con temas profesionales\u00bb, dijo la compa\u00f1\u00eda. \u00abEn esta campa\u00f1a, el actor abusa de las t\u00e9cnicas de optimizaci\u00f3n de motores de b\u00fasqueda registrando decenas de dominios que enlazan con el dominio falso, getsqldeveloper.[.]com. Probablemente se trate de un intento de aumentar la visibilidad del sitio a trav\u00e9s de se\u00f1ales de reputaci\u00f3n basadas en enlaces\u00bb.<\/p>\n

MiniFast se describe como una puerta trasera con todas las funciones dise\u00f1ada para la persistencia a largo plazo y la ejecuci\u00f3n remota de comandos. Se comunica con un servidor remoto a trav\u00e9s de solicitudes HTTP para recuperar tareas, cargar resultados de ejecuci\u00f3n de comandos, filtrar archivos y descargar carga \u00fatil adicional del servidor. Antes de ingresar al ciclo de tareas, el malware tambi\u00e9n transmite informaci\u00f3n b\u00e1sica del sistema al operador.<\/p>\n

Los comandos admitidos por la puerta trasera son variados y permiten operaciones de archivos, listados de directorios, enumeraci\u00f3n de procesos, ejecuci\u00f3n de comandos a trav\u00e9s de \u00abcmd.exe\u00bb, terminaci\u00f3n de procesos usando su PID, carga de DLL, creaci\u00f3n de archivos ZIP, persistencia a trav\u00e9s de tareas programadas y escalada de privilegios a trav\u00e9s del comando \u00abrunas\u00bb.<\/p>\n

La puerta trasera tambi\u00e9n admite la capacidad de actualizar el intervalo de sondeo y el valor de fluctuaci\u00f3n aplicado a los intervalos de baliza para aleatorizar la frecuencia con la que se recuperan los comandos del servidor.<\/p>\n

\"\"<\/a><\/div>\n

\u00abLo que destaca es que las ambiciones de este grupo se extendieron mucho m\u00e1s all\u00e1 del espionaje dirigido en el Medio Oriente\u00bb, dijo Sergey Shykevich, gerente del grupo de inteligencia de amenazas en Check Point Research, en un comunicado compartido con The Hacker News. \u00abEncontramos fuertes indicadores de que Nimbus Manticore utilizaba herramientas de inteligencia artificial para escribir malware m\u00e1s r\u00e1pido\u00bb.<\/p>\n

\u00abConstruyeron e implementaron una nueva puerta trasera en medio del conflicto mientras las operaciones estaban en marcha activamente. Tambi\u00e9n rastreamos una tercera ola de campa\u00f1a utilizando un manual completamente diferente: envenenamiento de SEO\u00bb.<\/p>\n

\u00abCrearon una p\u00e1gina de descarga de SQL Developer falsa y la subieron a la cima de Bing y DuckDuckGo: sin phishing, sin ofertas de trabajo falsas, simplemente esperando a que un desarrollador busque software com\u00fan. Y cuando mapeas las tres oleadas juntas, de febrero a abril, no hubo pausa. El conflicto no los ralentiz\u00f3; en realidad, los aceler\u00f3\u00bb.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

la revelaci\u00f3n coincide<\/a> con un informe de la Unidad 42 de Palo Alto Networks sobre los ataques del actor de amenazas a entidades en los EE. UU., Israel, los Emiratos \u00c1rabes Unidos y el Medio Oriente con MiniUpdate y una versi\u00f3n actualizada de MiniJunk llamada MiniJunk V2. Entre los objetivos del elaborado plan de espionaje se encontraba una empresa estadounidense de petr\u00f3leo y gas.<\/p>\n

Los hallazgos muestran que los actores de amenazas iran\u00edes est\u00e1n siguiendo una p\u00e1gina del manual de Corea del Norte para infiltrarse en organizaciones de inter\u00e9s y perseguir a sus empleados con oportunidades laborales lucrativas.<\/p>\n

\u00abEl grupo ha aumentado sus operaciones desde el conflicto regional que comenz\u00f3 en febrero de 2026, desplegando dos familias de variantes de RAT en entidades de hasta cinco pa\u00edses diferentes\u00bb, dijeron los investigadores de la Unidad 42.<\/p>\n

\"\"<\/a><\/div>\n

\u00abUna caracter\u00edstica definitoria de estas campa\u00f1as recientes es la profunda personalizaci\u00f3n de los se\u00f1uelos de los atacantes. Al aprovechar t\u00e1cticas de ingenier\u00eda social personalizadas, incluidas solicitudes de trabajo falsas e invitaciones a reuniones de videoconferencias falsas, los atacantes atraen a las v\u00edctimas para que inicien la cadena de infecci\u00f3n, exponiendo as\u00ed a sus organizaciones a una mayor explotaci\u00f3n\u00bb.<\/p>\n

El acontecimiento tambi\u00e9n se produce cuando se sospecha que piratas inform\u00e1ticos iran\u00edes han llevado a cabo una serie de ataques dirigidos a lectores de tanques en estaciones de servicio en varios estados de EE. UU. Si bien los incidentes no causaron da\u00f1os f\u00edsicos o da\u00f1os, han generado preocupaciones de que dicho acceso podr\u00eda causar fugas de gas que no se detecten o crear otros riesgos para la infraestructura cr\u00edtica.<\/p>\n

\u00abLos piratas inform\u00e1ticos responsables han explotado los sistemas autom\u00e1ticos de medici\u00f3n de tanques (ATG) que estaban en l\u00ednea y desprotegidos por contrase\u00f1as, lo que les permiti\u00f3 en algunos casos modificar las lecturas de los tanques, pero no los niveles reales de combustible en ellos\u00bb, CNN reportado<\/a>citando fuentes an\u00f3nimas.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

El actor de amenazas patrocinado por el estado iran\u00ed conocido como Nimbus Manticore (tambi\u00e9n conocido como Screening Serpens y UNC1549) ha sido atribuido a una nueva campa\u00f1a que utiliza se\u00f1uelos que se hacen pasar por organizaciones en los sectores de aviaci\u00f3n y software en los EE. UU., Europa y Medio Oriente luego de la campa\u00f1a […]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[24,868,273,420,1183,670,2717,2718,365,869],"class_list":["post-978","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-cyberdefensa-mx","tag-envenenamiento","tag-hackers","tag-implementan","tag-iranies","tag-mediante","tag-minifast","tag-minijunk","tag-phishing","tag-seo"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/978","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=978"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/978\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=978"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=978"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=978"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}