Esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium analiza Astaroth, un troyano bancario avanzado dirigido a usuarios de Sudamérica. Nuestro equipo también ofrece información actualizada sobre « TA585», un sofisticado actor malicioso que controla toda su cadena de ataque y que suele utilizar el malware « MonsterV2 ». Por último, analizamos cómo los autores de amenazas se aprovechan de la imagen de marca de confianza de Microsoft en estafas sofisticadas relacionadas con el soporte técnico.
El troyano Astaroth utiliza GitHub para alojar configuraciones de malware
McAfee ofrece información sobre Astaroth, un sofisticado troyano bancario que roba credenciales mediante el registro de pulsaciones de teclas cuando los usuarios acceden a sitios web de banca o de criptomonedas.
Lo que hace que esta variante sea especialmente resistente es su uso de « » de los repositorios de GitHub para alojar configuraciones de malware y eludir los cierres tradicionales de los servidores de comando y control (C2).
El correo electrónico de phishing de Astaroth
Este ataque comienza con un correo electrónico de phishing de tipo « » ( ) que contiene un enlace que, al hacer clic en él, descarga un archivo ZIP. Según McAfee, los señuelos de estos correos electrónicos suelen estar relacionados con enlaces a DocuSign y currículos.
El archivo ZIP descargado contiene un archivo LNK que, a su vez, contiene un comando JavaScript ofuscado. McAfee informa de que cada enlace está sujeto a restricciones geográficas.
El código JavaScript descargado descargará varios archivos de un servidor seleccionado al azar. Los archivos descargados incluyen un script compilado en AutoIt, un intérprete de AutoIt, una carga útil cifrada y una configuración cifrada del malware. JavaScript ejecutará el script de AutoIt para cargar el código shell en memoria.
Análisis de la carga útil
Astaroth es la carga útil de esta campaña. El malware está escrito en Delphi y apagará el sistema si detecta que está siendo analizado. Comprobará si existen varias herramientas en el sistema, se asegurará de que la configuración regional del sistema esté relacionada con EE. UU. y comprobará continuamente si hay navegadores abiertos. El malware interceptará los eventos del teclado y recopilará las pulsaciones de teclas si detecta que se abre una página web relacionada con la banca o con las criptomonedas.
C2 : comunicaciones e infraestructuras
Las credenciales sustraídas se envían al servidor C2 del atacante mediante un protocolo binario personalizado.
McAfee señala que la configuración se actualiza cada dos horas. Esta actualización se lleva a cabo «obteniendo un archivo de imagen de las URL de actualización de la configuración y extrayendo la configuración oculta de la imagen». El archivo de configuración está oculto debido al formato en el que se almacena. McAfee identificó varios repositorios de GitHub que contenían archivos de imagen con el mismo patrón, todos los cuales han sido eliminados desde entonces.
Para garantizar la persistencia, Astaroth crea un archivo LNK que se ejecutará al iniciar el sistema y ejecutará el script de AutoIt para activar el malware al arrancar el sistema.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los atacantes recurren cada vez más a plataformas de confianza para eludir la detección. Este actor en concreto está tomando medidas adicionales para camuflar su malware entre el tráfico normal mediante la incrustación de datos en imágenes, lo que dificulta aún más a los defensores la detección de anomalías.
Actualmente, se trata de un enfoque muy personalizado y específico, que excluye expresamente los sistemas con configuraciones regionales relacionadas con EE. UU., aunque sus técnicas son aplicables a nivel mundial.
El TA585 distribuye MonsterV2 programas maliciosos en campañas de phishing
Proofpoint ha publicado recientemente un estudio titulado « » sobre «TA585», un sofisticado actor malicioso que controla toda su cadena de ataque y que suele utilizar el potente malware « MonsterV2 » para robar credenciales, llevar a cabo actividades de vigilancia e introducir cargas útiles adicionales.
[Descubra cómo el control de acceso refuerza la seguridad y contribuye a proteger a su organización]
Según Proofpoint, TA585 utiliza señuelos engañosos, técnicas avanzadas de ingeniería social e infraestructuras como ClickFix y CoreSecThree para eludir la detección y maximizar su impacto.
Detalles de la campaña
Por lo general, el TA585 distribuye malware a través de sitios web comprometidos, que a menudo muestran un CAPTCHA falso a la víctima. Si la víctima ejecuta el script copiado, se descarga el malware.
Proofpoint también observó que las cargas maliciosas de este actor se distribuían a través de correos electrónicos, en lugar de mediante páginas web falsas con CAPTCHA. Estos correos electrónicos eran, principalmente, notificaciones de GitHub en las que el autor etiquetaba a usuarios de GitHub en avisos de seguridad falsos. Otros investigadores también han observado cómo este actor distribuye malware a través de publicidad maliciosa.
Más amenazas relacionadas con los CAPTCHA
en las noticiasEn los últimos meses, las amenazas relacionadas con los CAPTCHA han seguido evolucionando, volviéndose más sofisticadas e integrándose en campañas de phishing, distribución de malware y robo de credenciales
.A continuación, se presentan cuatro informes destacados de nuestra investigación reciente:
1. El resurgimiento de ClickFix: Obtenga un análisis en profundidad sobre el regreso de ClickFix en campañas de amenazas avanzadas que aprovechan el CAPTCHA para lograr el sigilo y la persistencia.
2. La campaña ClickFix se aprovecha de los CAPTCHA: Descubra cómo los atacantes están utilizando técnicas para eludir los CAPTCHA en campañas cada vez más sofisticadas.
3. Páginas con CAPTCHA falsos en UNC5518 campañas: Descubra cómo UNC5518 utiliza CORNFLAKE.V3 junto con ClickFix para ocultar su código.
4. CAPTCHA en el phishing ofuscado mediante IA: Descubra cómo se utiliza el CAPTCHA para encubrir operaciones de phishing y la distribución de malware.
Acerca de MonsterV2 programas maliciosos
MonsterV2 actúa tanto como programa de robo de datos como de descarga, y a menudo instala malware adicional, como StealC. Otros actores también están utilizando el malware MonsterV2 . Proofpoint detectó por primera vez el MonsterV2 en « February 2025 » al observarlo en una campaña que utilizaba señuelos relacionados con el IRS.
Según Proofpoint, el malware cuenta con varias funciones, entre las que se incluye la capacidad de recopilar y sustraer datos de inicio de sesión, tokens, datos del navegador, archivos, etc. Además, puede grabar la cámara web de la víctima, ver el escritorio, cuenta con funciones de captura de pantalla, descargar y ejecutar otras cargas útiles y mucho más. Proofpoint también ha descubierto que el malware evita infectar a los países de la CEI. El malware se mantiene y actualiza de forma activa.
Al iniciarse, el malware intentará elevar sus privilegios y, a continuación, creará un mutex en el sistema. A continuación, descifrará y descomprimirá su configuración y se conectará a un dominio para obtener la dirección IP y la ubicación de los sistemas infectados antes de conectarse a su servidor C2 .
MonsterV2 y el generador de claves SonicCrypt
Proofpoint ha determinado que el malware MonsterV2 suele empaquetarse mediante el cifrador SonicCrypt. El malware empaquetado por SonicCrypt contiene intencionadamente una gran cantidad de código basura para dificultar su análisis. Antes de cargar su carga útil, SonicCrypt llevará a cabo una serie de comprobaciones contra el análisis y, a continuación, la escribirá en un archivo del disco y ejecutará dicha carga útil.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
TA585 evita los países de la CEI y utiliza el geofencing durante la distribución de malware, lo que podría indicar la existencia de alianzas regionales o un intento de eludir a las fuerzas del orden locales.
El control integral que ejerce el actor sobre su infraestructura de ataque, desde la entrega hasta la carga útil, pone de manifiesto un giro interesante, ya que el actor busca reducir su dependencia de servicios de terceros. Esto difiere de la tendencia actual de los actores , que recurren a servicios de terceros para pasar desapercibidos.
Los ciberdelincuentes utilizan el logotipo de Microsoft en estafas de soporte técnico
Según Cofense, los autores de las amenazas se están aprovechando de la reputación de confianza de la marca Microsoft para llevar a cabo estafas sofisticadas relacionadas con el soporte técnico.
El ataque comienza con un correo electrónico que utiliza el pago como señuelo y que redirige a las víctimas, a través de un CAPTCHA falso, a una página que bloquea el navegador, repleta de alertas de seguridad fraudulentas de Microsoft, y que obliga a los usuarios a llamar a un número de asistencia falso. Una vez en la llamada, los atacantes intentan obtener credenciales o instalar herramientas de acceso remoto.
Esta estafa es similar a otras que circulan actualmente. Sin embargo, esta estafa combina la ingeniería social con alertas falsas del sistema y ventanas superpuestas en la interfaz de usuario, lo que la convierte en una amenaza más completa y peligrosa.
Resumen del ataque
El correo electrónico de esta campaña utiliza tácticas típicas de estafa relacionadas con el lucro económico y la banca para atraer a las víctimas. Finge ser un reembolso o un pago de una empresa de alquiler de coches y solicita al destinatario que confirme su dirección de correo electrónico para recibir los fondos.
Si la víctima hace clic en el botón para confirmar su correo electrónico, se le redirige a una página falsa con un CAPTCHA para completar la verificación. Tras comprobar que se trata de una persona real, se redirige de nuevo a la víctima a la página de destino correcta. Esta página de destino es donde la campaña va más allá de los métodos tradicionales de estafa.
Una vez en la página de destino, la víctima verá varias ventanas emergentes que simulan ser alertas de seguridad de Microsoft. Se manipula el navegador para que parezca bloqueado, y el usuario pierde la capacidad de localizar o controlar el ratón. Este bloqueo es una ilusión y puede eludirse simplemente manteniendo pulsada la tecla ESC.
El ataque se aprovecha de la familiaridad que generan la marca, el logotipo, la terminología y el estilo de las alertas de Microsoft para engañar a la víctima y que llame al número de teléfono falso del servicio de asistencia técnica de Microsoft.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Esta campaña simula una experiencia con un programa de rescate al «bloquear» el navegador y obligar a las víctimas a entrar en pánico y a tomar decisiones precipitadas. Además, utiliza la marca de Microsoft para aprovecharse de la confianza que los usuarios han depositado en ella durante años, junto con un CAPTCHA falso para convencer aún más al usuario de que la actividad es legítima.
En consecuencia, esta campaña tiene el potencial de tener más éxito que las estafas tradicionales de soporte técnico.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « » en.
