En el resumen de esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium analiza el grupo de ransomware BERT, surgido recientemente, que ahora tiene como objetivo las plataformas Windows y Linux en los sectores de la tecnología, la sanidad y los servicios de eventos. A continuación, el equipo analiza una campaña llevada a cabo por un agente de acceso inicial (IAB) al que, de momento, se le ha asignado el identificador TGR-CRI-0045. Por último, analizamos la evolución de XWorm hasta convertirse en un troyano de acceso remoto (RAT) altamente adaptable.
El ransomware BERT ataca las plataformas Windows y Linux
Trend Micro ha compartido detalles sobre el grupo de ransomware BERT, que acaba de aparecer. El grupo, que lleva en activo desde April 2025, tiene ahora como objetivo a organizaciones de Asia, Europa y Estados Unidos mediante ataques multiplataforma dirigidos tanto a sistemas Windows como a sistemas Linux.
A pesar de que su código es sencillo, BERT recurre a tácticas agresivas, como el cifrado simultáneo y el apagado de los servidores ESXi, para maximizar los trastornos y aumentar su poder de negociación en el pago del rescate.
¿Cómo funciona la variante de BERT para Windows?
Según Trend Micro, el grupo utiliza una estructura de código sencilla para la versión para Windows de su ransomware, con cadenas de caracteres específicas que provocan la finalización de procesos.
Trend Micro descubrió que la clave pública, la extensión del archivo y la nota de rescate eran fácilmente accesibles en el código, e identificó el uso del algoritmo AES estándar para el cifrado.
[Véase también: El arte de la negociación en casos de ransomware]
Trend Micro también identificó otras muestras de BERT que se habían publicado en la red. Muchas de ellas parecían ser versiones anteriores que carecían de cifrado y de otros elementos que se observaban en su propia telemetría interna, lo que indica que ha habido múltiples iteraciones de BERT.
Además, Trend Micro ha identificado un script de PowerShell que actúa como cargador de la carga útil real del ransomware BERT. Este script de PowerShell «aumenta los privilegios, desactiva Windows Defender, el cortafuegos y el control de cuentas de usuario (UAC) y, a continuación, descarga y ejecuta el ransomware desde una dirección IP remota».
Evolución de las variantes de BERT
Las variantes anteriores enumeraban primero las unidades y colocaban la nota de rescate en cada directorio. A continuación, recopilarían las rutas de los archivos necesarias, las almacenarían en un array y procederían al cifrado.
La variante más reciente utiliza ConcurrentQueue y crea un DiskWorker en cada unidad para mejorar el proceso de cifrado. Este enfoque permite el cifrado multihilo, lo que permite a BERT comenzar a cifrar los archivos a medida que se identifican, en lugar de esperar a recopilar todas las rutas de los archivos, lo que aumenta considerablemente la velocidad y la eficacia.
Lo que hay que saber sobre la variante de Linux
En mayo, Trend Micro detectó una variante de BERT para Linux que utiliza 50 subprocesos para maximizar la velocidad de cifrado. Esta variante admite tres parámetros de línea de comandos:
- Para especificar el directorio de destino que se va a cifrar
- Para configurar el número de subprocesos para el cifrado (el valor predeterminado es 50)
- Para activar el modo silencioso
Cuando el ransomware se ejecute sin estos parámetros, apagará las máquinas virtuales, lo que provocará la interrupción de todos los procesos de las máquinas virtuales que se estén ejecutando en el host ESXi. Una vez que esta variante haya completado su rutina de cifrado, añadirá « .encrypted_by_bert» y « » al nombre de cada archivo y dejará la nota de rescate.
Trend Micro considera que el grupo podría haber obtenido esta variante a partir de la variante para Linux de REvil.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Aunque solo han pasado unos meses desde la aparición de BERT, ya existen variantes dirigidas tanto a sistemas Windows como a sistemas Linux, lo que pone de manifiesto una tendencia creciente entre los autores de amenazas a diseñar malware y ransomware para aprovechar los entornos híbridos.
La conclusión es que el código fuente de BERT es relativamente sencillo, pero el grupo responsable destaca por su capacidad para llevar a cabo ataques. Esto nos recuerda que la eficacia de una amenaza no siempre guarda relación con su complejidad técnica.
TGR-CRI-0045 vulnerabilidades aprovechan claves de sistema filtradas para acceder a las organizaciones
Palo Alto ha descubierto recientemente , una campaña llevada a cabo por un IAB, a la que están realizando un seguimiento provisional con el número TGR-CRI-0045.
Se ha observado que este actor aprovechaba claves de máquina de ASP.NET filtradas para secuestrar sesiones y obtener acceso no autorizado a servidores de Microsoft Internet Information Services (IIS), lo que le permitía mantener una presencia oculta y seguir causando daños.
Cómo se descubrió esta vulnerabilidad de IIS
A principios de este año, Palo Alto respondió a intrusiones en servidores web en dos entornos de clientes distintos. Ambas intrusiones consistieron en la ejecución de un shell de comandos procedente de un proceso de trabajo de IIS y presentaban características comunes.
La investigación reveló que el atacante «ejecutó comandos que cargaban ensamblados .NET gestionados (código C#) directamente en la memoria (carga reflexiva)». Esta vulnerabilidad se dirigía a «View State», un parámetro presente en los sitios web de ASP.NET que se ejecutan en Microsoft IIS.
Explicación de la cadena de vulnerabilidades TGR-CRI-0045
Los sitios web utilizan «View State» para gestionar las interacciones entre los navegadores y los servidores. Al parecer, el parámetro _VIEWSTATE es vulnerable debido a técnicas de deserialización que los atacantes pueden utilizar para permitir la ejecución remota de código. No obstante, esto solo puede ocurrir si el atacante dispone de la clave de máquina correcta.
Se sabe que los atacantes utilizan listas de claves de máquina filtradas o extraen las claves directamente de los servidores en funcionamiento. Una vez que dispongan de estas claves, independientemente del método utilizado, podrán crear la carga útil de deserialización y atacar el servidor.
Según Palo Alto, TGR-CRI-0045 probablemente utilizó herramientas como , ysoserial.net y —un generador de cargas útiles de código abierto destinado a crear cargas útiles maliciosas de deserialización—.
Comprensión de los conjuntos
Palo Alto identificó cinco subconjuntos de ensamblados .NET que se cargaron en memoria después de que el atacante aprovechara el «View State». Entre ellos se incluyen:
cmd /c: Ejecuta comandos arbitrarios del sistema en el servidor comprometido- Ganador: . Probablemente se utilice para verificar que la explotación se ha llevado a cabo con éxito o que el entorno está preparado.
- Carga de archivos: Permite al atacante cargar archivos o herramientas maliciosas directamente en el servidor con el fin de seguir explotando la vulnerabilidad o mantener su presencia en el sistema
- Descarga de archivo: Permite al atacante sustraer datos confidenciales u obtener cargas útiles del entorno comprometido
- Cargador reflexivo: . Inyecta y ejecuta ensamblados .NET directamente en memoria sin recurrir al disco, una técnica clave de evasión que evita escribir artefactos en el disco y ayuda a eludir los métodos de detección tradicionales.
Todos estos ensamblados compartían características similares en cuanto al manejo de datos y realizaban las mismas llamadas para finalizar las respuestas HTTP.
¿Qué ocurre tras la explotación?
Las actividades posteriores a la explotación llevadas a cabo por este actor incluyeron el reconocimiento tanto del equipo afectado como de la red. Palo Alto señala que el actor utilizaba sistemáticamente la ruta Windows\Temp\111t como directorio de preparación.
Para la escalada de privilegios, el atacante utilizó un binario personalizado updf, que permite ejecutar comandos con privilegios de SYSTEM, así como crear nuevos usuarios locales e incorporarlos al grupo de administradores locales.
Además, el actor solía descargar un binario ELF denominado « » (disponible en), utilizaba « » y «TxPortMap» (disponibles en ) para identificar a qué servidores se podía acceder desde el dispositivo comprometido inicialmente, y llevaba a cabo labores de reconocimiento mediante el conjunto de comandos del shell.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El análisis de Palo Alto pone de manifiesto cómo están evolucionando los IAB en cuanto a sofisticación técnica. Ya no se basan únicamente en técnicas tradicionales como el « », el «phishing» o los ataques de fuerza bruta.
El análisis también pone de relieve que la gestión de secretos, como las claves de máquina, debe tratarse de la misma manera que las credenciales o los tokens de API, ya que su uso indebido puede dar lugar a graves incidentes de seguridad.
El informe incluye una guía sobre la corrección y el refuerzo de la seguridad de « » (), junto con un resumen más amplio de las implicaciones de las técnicas de ataque en memoria de IIS.
XWorm se transforma en un RAT modular y evasivo
Según Splunk, XWorm ha evolucionado hasta convertirse en un troyano de acceso remoto modular que aprovecha los cambios en los formatos de archivo, los lenguajes de scripting y las técnicas de ofuscación para eludir la detección y distribuir cargas útiles.
El análisis de Splunk destaca el diseño modular del malware y sus vínculos con operaciones de ransomware. El informe también ofrece estrategias de detección prácticas para ayudar a los defensores a contrarrestar su comportamiento sigiloso.
La estructura de un ataque de phishing de XWorm
Splunk señala que XWorm está alternando entre distintos formatos de archivo y lenguajes de scripting como parte de una estrategia más amplia para eludir los sistemas de defensa. El malware también utiliza diversos «droppers», «stagers» y «loaders» en su cadena de infección.
Los analistas analizaron en profundidad el XWorm para identificar los distintos formatos de archivo que utiliza. El equipo recopiló 1,000 muestras de XWorm de Malware Bazaar, buscando tipos de archivos más originales en lugar de los tradicionales archivos EXE y DLL. Entre los tipos de archivo más utilizados se encuentran VBS, los archivos por lotes, JavaScript y PowerShell. Este tipo de archivos suelen enviarse por correo electrónico.
Del mismo modo, Splunk analizó los nombres de los archivos para determinar qué tipo de señuelo de ingeniería social podría utilizar con mayor frecuencia XWorm. Encontraron varios temas recurrentes, entre ellos facturas, recibos y notificaciones de envío.
Algunos de los componentes del script descargarán la carga útil principal de XWorm directamente desde el servidor C2 . Durante la investigación, Splunk detectó archivos HTA y programas de preparación de PowerShell que actuaban como fase inicial y se encargaban de descargar la carga útil de la siguiente fase.
Cómo despliega XWorm sus cargas útiles
Splunk identificó programas de preparación basados en VBS y scripts por lotes que habían sido ofuscados para dificultar el análisis del código y eludir la detección.
Estos scripts descodifican y descifran dos archivos ejecutables directamente en memoria, una técnica habitual para evitar escribir en el disco y eludir la detección. Estos ejecutables actúan como «stager» y «loader» de la siguiente fase, y se encargan de entregar componentes adicionales y, en última instancia, de desplegar la carga útil de XWorm:
- Stager: Elude la interfaz AMSI (Antimalware Scan Interface) para desactivar el análisis de scripts
- Cargador: . Manipula el ETW (Event Tracing for Windows) para eludir la supervisión en tiempo de ejecución.
Ambos están concebidos como mecanismos contra el análisis para reducir la visibilidad y dificultar la detección.
El programa de instalación también garantiza la persistencia y amplía los privilegios mediante la creación de claves de ejecución en el Registro y tareas programadas. Intenta descomprimir datos GZIP de sus secciones de recursos, utiliza la carga lateral de DLL para hacer pasar código malicioso por bibliotecas legítimas e inyecta código de shell en los procesos de destino para ejecutar cargas útiles en memoria.
Qué hace la carga útil de XWorm tras la infección
La carga útil final de XWorm es un ejecutable descifrado (payload.exe). XWorm utiliza WMI (Windows Management Instrumentation) para llevar a cabo un reconocimiento del host, lo que incluye la identificación de las cámaras web disponibles. Al igual que otros tipos de malware, XWorm utiliza la configuración de exclusiones de Microsoft Defender para evitar que se analice su directorio.
Splunk también identificó una función denominada « RunDisk()» que ejecuta un componente de PowerShell con una política de ejecución modificada. El malware intenta propagarse a través de unidades extraíbles e incluye una función para procesar comandos de puerta trasera. Al igual que el «stager» y los «loaders», el malware utiliza claves de ejecución del Registro y tareas programadas para garantizar su persistencia.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
XWorm es un programa muy adaptable y plantea varios retos singulares a los defensores.
Su evolución refleja una tendencia general hacia una mayor modularidad y unas capacidades de evasión mejoradas. Esto, junto con el uso de formatos de archivo rotativos y lenguajes de scripting, probablemente mejore su tasa de éxito y aumente su atractivo entre los autores de amenazas.
El análisis de Splunk también destaca la importancia de las detecciones basadas en el comportamiento —por ejemplo, en el caso de actividades sospechosas en el registro— frente a los indicadores estáticos.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
