En primer lugar, en el resumen de esta semana sobre inteligencia de amenazas cibernéticas (CTI), analizamos DarkCloud, un malware de robo de información en rápida evolución que utiliza técnicas avanzadas de evasión y exfiltración multicanal para atacar datos confidenciales, entre los que se incluyen credenciales, carteras de criptomonedas y archivos de usuario.
A continuación, el equipo de CTI de Tanium analiza la alianza recién formada entre LAPSUS$, ShinyHunters y Scattered Spider, conocida como la «Trinidad del Caos».
Por último, ofrecemos una visión general de los cambios y actualizaciones recientes del malware WARMCOOKIE.
El malware DarkCloud tiene como objetivo los datos confidenciales
Una entrada reciente en el blog de eSentire, titulada « », revela nuevas capacidades del malware de robo de información DarkCloud, entre las que se incluyen la detección de entornos de pruebas, el cifrado VB6-based y la distribución mediante phishing.
Según eSentire, DarkCloud «se centra en las contraseñas del navegador, las tarjetas de crédito, las cookies, las pulsaciones de teclas, las credenciales FTP, el contenido del portapapeles, los clientes de correo electrónico, los archivos y los monederos de criptomonedas». El análisis insta a las organizaciones a reforzar la seguridad del correo electrónico y las defensas de los puntos finales .
La campaña de phishing de DarkCloud
En septiembre, la Unidad de Respuesta ante Amenazas (TRU) de eSentire identificó una campaña de spear phishing dirigida a un cliente del sector manufacturero, diseñada para instalar DarkCloud. Estos correos electrónicos de suplantación de identidad (phishing) de incluyen un asunto relacionado con la banca, un texto que se asemeja al de un mensaje legítimo de una entidad financiera y un archivo ZIP adjunto que, supuestamente, contiene un mensaje de pedido de la pareja del destinatario.
Cómo se distribuye DarkCloud
Anteriormente, DarkCloud se distribuía a través de un foro de piratería informática que ya no existe. Desde entonces, eSentire ha observado que se promociona a través de Telegram y de una página web engañosa gestionada por los operadores del malware, que imita a un proveedor de software legítimo.
Esta página web contiene una lista de aplicaciones afectadas, entre las que se incluyen navegadores web, clientes de correo electrónico y herramientas VPN. Asimismo, describe muchas de las características del malware, como un registrador inteligente, un panel web, un capturador de archivos y otras.
Análisis de DarkCloud
En el informe, eSentire ofrece los siguientes detalles sobre el malware DarkCloud:
- El generador de malware DarkCloud exige a sus usuarios u operadores que instalen el IDE VB6 para «compilar el fragmento de malware a partir del código fuente VB6 obtenido localmente». Esto da lugar a una vulnerabilidad que aumenta la probabilidad de que se difundan versiones no autorizadas.
- La última versión, la v4.2, recopila información del sistema mediante consultas WMI y utiliza un objeto VBScript para asociar los números de tarjetas de crédito sustraídos con el tipo de tarjeta correspondiente. Además, obtiene los contactos de los ordenadores de las víctimas para Thunderbird y otros clientes de correo electrónico.
- Para eludir la detección, el malware compara los procesos en ejecución con una lista negra de subcadenas y se cierra si identifica un entorno de pruebas. Asimismo, se detiene si hay menos de 50 procesos en ejecución y comprueba si existen archivos específicos que indiquen la presencia de un entorno virtual. Para garantizar la persistencia, DarkCloud utiliza la clave de registro «RunOnce».
- DarkCloud recopila archivos que se encuentran en una lista definida de rutas y extensiones de archivo. Además, tiene como objetivo las carteras de criptomonedas. eSentire ha descubierto que DarkCloud admite métodos de exfiltración como SMTP, Telegram, FTP y Web Panel.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El uso que hace DarkCloud del VB6 para el cifrado y la ejecución constituye un ingenioso guiño al pasado. Aprovecha la tecnología obsoleta para eludir los sistemas de detección modernos, lo que pone de relieve la necesidad de que los responsables de la seguridad mantengan la visibilidad tanto de los vectores de amenaza antiguos como de los nuevos.
La estrategia de exfiltración multicanal de este malware pone de manifiesto cómo los atacantes están diversificando sus métodos de robo de datos para eludir las herramientas tradicionales de supervisión de redes.
eSentire ha creado dos herramientas para ayudar a los investigadores de seguridad, entre ellas una que extrae la configuración del malware de DarkCloud y un «script basado en Python para IDA que descifra las cadenas cifradas y las comenta en IDA Pro».
La nueva alianza «Trinity of Chaos» tiene como objetivo los principales sectores
Según un informe de Resecurity, una alianza de reciente creación entre LAPSUS$, ShinyHunters y Scattered Spider está impulsando una oleada de ciberdelitos a escala mundial dirigida contra sectores clave como las compañías aéreas, el comercio minorista y las telecomunicaciones.
Esta colaboración marca un giro hacia un ecosistema de ciberdelincuencia fluido e impulsado por los jóvenes, en el que se combinan el ransomware, el robo de datos y la manipulación psicológica. Se ha observado que este grupo utiliza tanto técnicas avanzadas de ingeniería social como tácticas de extorsión.
Cómo colaboran LAPSUS$, Scattered Spider y ShinyHunters
LAPSUS$, Scattered Spider y ShinyHunters son tres grupos muy conocidos que han logrado éxitos por separado. Cada grupo surgió de forma independiente, pero los investigadores están identificando ahora las conexiones, los solapamientos y la colaboración entre ellos.
En « August 2025» se observó un canal de Telegram que combinaba la imagen de marca y las afiliaciones de los tres grupos. Este canal se utilizó para insinuar filtraciones de datos y promocionar una nueva oferta de «ransomware como servicio» (RaaS). ShinyHunters confirmó anteriormente que « » y «Scattered Spider» les habían facilitado acceso inicial a diversos objetivos, y se cree que LAPSUS$ también forma parte de esta nueva alianza.
Estos tres grupos están vinculados al ecosistema de la ciberdelincuencia de habla inglesa conocido como «The Com», que es una «red poco estructurada que funciona más bien como un movimiento juvenil de ciberdelincuencia y que abarca un abanico amplio y en constante cambio de actores, principalmente adolescentes y 20somethings».
Solapamientos en los métodos y en la composición
Estos grupos son conocidos por su uso avanzado de la ingeniería social, en particular el vishing, el phishing y la suplantación de identidad del servicio de asistencia informática.
Asimismo, comparten técnicas comunes para el intercambio de tarjetas SIM, eludir la autenticación multifactorial (MFA), el robo de datos y la selección de víctimas. Últimamente, estos grupos han estado actuando de forma conjunta contra organizaciones de sectores concretos.
Resecurity considera que estas tácticas, técnicas y procedimientos (TTP) superpuestos, así como estas conexiones, indican cierto grado de solapamiento operativo o de recursos compartidos.
Actividad reciente
La última acción de este trío ha sido el ataque contra Jaguar Land Rover. Entre las actividades recientes adicionales se incluyen ataques contra compañías aéreas, comercios minoristas, empresas de telecomunicaciones y fuerzas del orden.
Es probable que ShinyHunters y sus colaboradores sean también los responsables de los recientes ataques de contra Salesforce. Estos ataques consistían en aprovechar los tokens OAuth de para acceder a entornos de Salesforce. Los ataques dieron lugar a que los autores difundieran varios conjuntos de datos, lo que confirma que se han visto afectadas varias empresas de la lista «Fortune 100 » a nivel mundial.
El informe de Resecurity incluye más detalles sobre cada ataque para quienes deseen profundizar en el tema.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La convergencia de LAPSUS$, ShinyHunters y Scattered Spider pone de manifiesto una peligrosa evolución de la ciberdelincuencia, en la que las fronteras tradicionales entre grupos se están disolviendo para dar paso a ecosistemas ágiles y colaborativos capaces de ampliar rápidamente el alcance de los ataques en distintos sectores.
La preferencia de la alianza por plataformas en la nube como Salesforce y Snowflake pone de relieve la creciente amenaza que supone que los atacantes se centren en la columna vertebral de la infraestructura empresarial, en lugar de limitarse únicamente a los terminales o las redes. Su uso de tácticas de extorsión gamificadas y de implicación pública también refleja un giro hacia la guerra psicológica, aprovechando las redes sociales y la opinión pública para presionar a las víctimas y amplificar el impacto.
La actividad reciente en los foros dedicados a la ciberdelincuencia sugiere que el trío ha anunciado el cese de sus operaciones, alegando que habían alcanzado sus objetivos. Sin embargo, una cuenta del foro RAMP —que se cree que está gestionada por ShinyHunters— se ha atribuido recientemente la autoría de un nuevo ataque, lo que hace que esta afirmación parezca falsa.
El malware WARMCOOKIE sigue evolucionando
Elastic Security Labs ha estado realizando un seguimiento de los cambios y actualizaciones que se están produciendo en el malware WARMCOOKIE. Han determinado que la puerta trasera se está desarrollando y distribuyendo de forma activa. Una de sus principales conclusiones es la existencia de un certificado predeterminado que, al parecer, utiliza el backend del malware, lo que probablemente permita rastrear nuevos servidores e infraestructura C2 .
El malware WARMCOOKIE apareció por primera vez a mediados de 2024. El malware se distribuye a través de campañas de phishing, que suelen girar en torno a la contratación y contienen ofertas de empleo falsas. Desde su aparición inicial, Elastic Security Labs ha observado cambios en el desarrollo del malware, que ha recogido en el informe.
Nuevos cuidadores
La última variante del malware WARMCOOKIE contiene cuatro nuevos módulos de control que permiten al operador ejecutar rápidamente archivos ejecutables, DLL y scripts.
Elastic señala que la mayoría de las versiones recientes utilizan la función de ejecución de DLL/EXE y que el uso de PowerShell se observa con mucha menos frecuencia. Independientemente de cuál sea, utilizan la misma función y pasan argumentos para cada tipo de archivo. A continuación, el controlador puede crear una carpeta en un directorio temporal y guardar el contenido del archivo en un archivo situado dentro de una carpeta de ese nuevo directorio.
La biblioteca de cadenas de WARMCOOKIE
Elastic Security Labs también ha observado que el malware actualizado utiliza un banco de cadenas que se sirve de empresas legítimas tanto para las rutas de las carpetas como para los nombres de las tareas programadas. Esta técnica de elusión de los mecanismos de defensa permite al malware trasladarse a directorios que parecen más legítimos.
A diferencia de las variantes anteriores, en las que las rutas estaban codificadas de forma fija, las variantes más recientes cuentan con una lista de empresas que se utilizan como posibles rutas de carpetas. Elastic determinó que la base de datos de cadenas «procede de un sitio web utilizado para valorar y encontrar empresas de TI y software de prestigio».
Otros cambios en WARMCOOKIE
La nueva variante cambia el parámetro de la línea de comandos de /p a /u para determinar si es necesario crear una tarea. Esta variante también utiliza dos mutex en lugar de uno y presenta una optimización del código mejorada.
El malware WARMCOOKIE incluye ahora un campo de identificación de campaña que los operadores pueden utilizar para realizar un seguimiento de las campañas.
Descripción general de la infraestructura
Elastic extrajo la infraestructura asociada de las configuraciones identificadas y descubrió un certificado SSL que realmente llamaba la atención. Se cree que este certificado es un certificado predeterminado utilizado por el back-end del malware.
Aunque parece que la fecha de validez del certificado ha caducado, tanto la infraestructura nueva como la reutilizada siguen inicializándose mediante dicho certificado. Por lo tanto, aunque no se trata de una infraestructura nueva en términos netos, sí es una «reconfiguración de los redireccionadores para dar un nuevo impulso a la infraestructura existente».
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Las familias de malware suelen evolucionar, incluso cuando no reciben una atención significativa por parte de los medios de comunicación. WARMCOOKIE es un excelente ejemplo de ello.
El hecho de que las tareas programadas y las rutas de las carpetas reciban nombres de organizaciones legítimas no es nada nuevo, pero sí aumenta las posibilidades de que el malware pase desapercibido y puede dificultar que los defensores lo identifiquen como malicioso.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « » en.
