En el resumen de esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium analiza cómo los grupos de ransomware están adoptando cada vez más una herramienta común para desactivar los sistemas de detección y respuesta en terminales (EDR). Asimismo, examinamos una campaña de publicidad maliciosa que distribuye el marco de malware modular PS1Bot y analizamos la aparición del ransomware Charon, un ataque al estilo de una amenaza persistente avanzada (APT) dirigido a sectores críticos mediante ataques personalizados.
La herramienta compartida para eliminar EDR está ganando terreno en todo el ecosistema del ransomware
Sophos informa en de que los grupos de ransomware están utilizando cada vez más una herramienta avanzada y compartida para desactivar los sistemas EDR, eludir la detección y agilizar la ejecución de los ataques.
Se cree que esta herramienta ha sido desarrollada por RansomHub y se considera una evolución de EDRKillShifter. Aprovecha los controladores firmados y la inyección de procesos para eludir las medidas de seguridad.
Grupos maliciosos como Blacksuit, Medusa, Qilin, DragonForce, Crytox, Lynx e INC también han adoptado esta herramienta, lo que indica un uso generalizado en todo el ecosistema del ransomware.
Se ha detectado una carga útil «AV killer» en miles de muestras de ransomware
Sophos ha documentado esta carga útil en miles de muestras, señalando que suele implementarse en plena fase de ataque y que, a menudo, se integra en utilidades legítimas para eludir la detección y desactivar las defensas antivirus.
Por ejemplo, en una ocasión, los atacantes incrustaron la carga útil en la función «Clipboard Compare» de Beyond Compare, una utilidad legítima de Scooter Software. Los atacantes inyectaron código de carga e incorporaron la carga útil maliciosa como recurso, junto con componentes adicionales del cargador.
Tras su ejecución, la carga útil se descodificó automáticamente, lo que permitió a Sophos identificar varias características clave:
- El código está muy ofuscado y protegido.
- Busca una unidad con un nombre aleatorio de cinco letras.
- El controlador está firmado mediante un certificado comprometido.
- Se dirige a varios proveedores de soluciones de seguridad.
- La lista de objetivos varía según las muestras.
Se confirmó que el archivo ejecutable era un «AV killer», diseñado específicamente para atacar los productos de Sophos. Sophos señala que existen varias versiones, cada una de las cuales se dirige a distintos productos de seguridad.
En todas estas variantes, la herramienta intenta identificar y cerrar los procesos y servicios que figuran en su lista de objetivos. La última variante utiliza un controlador firmado por Fuzhou Dingxin Trade Co., Ltd.
Cómo se suele implementar el «EDR killer»
La mayoría de los ataques observados comienzan con un dropper empaquetado con HeartCrypt, que distribuye un ejecutable «EDR killer» protegido y carga un controlador firmado con un certificado comprometido.
Los investigadores observaron que el archivo ejecutable intentaba cargar un controlador asociado, aunque su ejecución suele quedar bloqueada por detecciones estáticas genéricas o protecciones dinámicas como « », «SysCall» o « » y «HollowProcess».
Tras la implementación del «EDR killer», Sophos detectó una alerta de ransomware relacionada con RansomHub, aunque también se han observado secuencias similares que han precedido a ataques de otras familias de ransomware.
Casos prácticos: MedusaLocker y el ransomware INC en acción
Para ilustrar cómo se está adaptando esta herramienta en las distintas familias de ransomware, Sophos presenta dos casos destacados:
- MedusaLocker: Sophos destaca un caso relacionado con el ransomware MedusaLocker, en el que es probable que los atacantes utilizaran una vulnerabilidad de día cero de ejecución remota de código (RCE) en SimpleHelp para obtener acceso inicial. El «AV killer» se ejecutó desde un componente de SimpleHelp denominado «
» JWrapper-Remote Access, dirigido a productos de ESET, Symantec, Sophos, HitManPro, Webroot y Kaspersky. - INC: En June 2025, Sophos identificó un ataque de ransomware INC en el que el autor utilizó dos herramientas de empaquetado como servicio para reforzar la protección.
Estos casos ilustran cómo se está adaptando esta herramienta a las distintas familias de ransomware.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La mercantilización de los «EDR killers» constituye una tendencia preocupante. Las herramientas maliciosas son cada vez más accesibles para un abanico más amplio de actores maliciosos, lo que contribuye a aumentar la velocidad y la magnitud de los ataques.
Este estudio de Sophos también pone de relieve cómo varios grupos de ransomware están reutilizando y adaptando estas herramientas. El aumento de la colaboración y el intercambio de código entre los ciberdelincuentes facilita la realización de estas actividades y dificulta su atribución.
Una campaña de publicidad maliciosa difunde el marco de malware modular « PS1Bot »
Cisco Talos informa de que una sofisticada campaña de publicidad maliciosa está distribuyendo activamente « PS1Bot», un marco de malware modular creado en PowerShell y C#. Roba credenciales de forma sigilosa, realiza capturas de pantalla y elude la detección de los antivirus, todo ello mientras se ejecuta íntegramente en memoria.
Distribuido a través de anuncios engañosos y técnicas de «envenenamiento de SEO», PS1Bot se ejecuta íntegramente en memoria y evoluciona rápidamente, lo que supone una amenaza significativa tanto para la ciberseguridad empresarial como para la personal.
Resumen de la campaña: publicidad maliciosa y ejecución en memoria
Cisco Talos ha estado realizando un seguimiento de una campaña activa que utiliza publicidad maliciosa para distribuir un marco de malware de varias etapas.
El marco ofrece módulos adicionales —como programas de robo de información, registradores de teclas y herramientas de captura de pantalla— al tiempo que minimiza los rastros forenses al ejecutarse íntegramente en memoria. Cisco Talos denomina a este malware basado en PowerShell como « PS1Bot».
A continuación se presentan las principales conclusiones técnicas de la campaña « PS1Bot », que muestran cómo el malware logra el sigilo, la persistencia y la funcionalidad modular:
- Distribución: . Se atrae a las víctimas mediante «SEO poisoning» o «malvertising» para que descarguen un archivo comprimido que contiene un único archivo:
FULL DOCUMENT.js. Este archivo JavaScript actúa como un programa de descarga, iniciando la siguiente fase de la cadena de infección PS1Bot . - Primera fase de descarga: . Al ejecutarse, el malware descarga un fragmento de código JScript y ejecuta su contenido para preparar las fases posteriores del ataque. Esto implica escribir un script de PowerShell en el directorio «ProgramData» y ejecutarlo para establecer una conexión C2 persistente. El malware entra en un bucle y se pone en contacto continuamente con el servidor C2 para recibir órdenes adicionales.
- Módulos de PowerShell: Cisco Talos observó que, tras la infección inicial, se instalaban varios módulos de PowerShell, entre los que se incluían los destinados a eludir la detección antivirus, realizar capturas de pantalla, sustraer datos de carteras digitales, registrar pulsaciones de teclas, recopilar información y garantizar la persistencia. La mayoría de los módulos incluyen componentes de registro integrados que permiten a los atacantes supervisar tanto la actividad durante la instalación como la actividad en tiempo de ejecución, y enviar actualizaciones al servidor C2 .
- Detección antivirus: El módulo de detección antivirus se activa una vez que el malware establece una conexión C2 . Recopila datos sobre los programas antivirus instalados en el dispositivo infectado mediante una consulta al objeto WMI «
» () y envía esta información al C2. - Captura de pantalla: El módulo de captura de pantalla realiza capturas de pantalla mediante un archivo DLL de ensamblado de C# que se ejecuta a través de PowerShell en tiempo de ejecución. Crea un archivo de imagen .BMP, lo convierte a formato JPEG y lo envía al servidor C2 .
- Módulo «Grabber»: El módulo «Grabber» tiene como objetivo el almacenamiento local del navegador, los datos de las extensiones, los datos de las aplicaciones y los archivos que contienen contraseñas; se centra principalmente en el robo de carteras de criptomonedas.
- Keylogger: El módulo keylogger realiza un seguimiento de la actividad del teclado y del ratón, así como del contenido del portapapeles, y envía los datos capturados al C2.
- Recopilación de información: El módulo «
» (WMIComputerCSHARP) recopila datos del sistema y del entorno mediante la consulta de la pertenencia a dominios a través de WMI. - Persistencia: El módulo de persistencia garantiza que el mecanismo de bucle del malware se vuelva a ejecutar tras un reinicio o al finalizar la sesión.
En conjunto, estos módulos muestran cómo PS1Bot mantiene su sigilo y persistencia en los sistemas infectados.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El hecho de que la campaña se base en el «SEO poisoning» y la publicidad maliciosa pone de manifiesto cómo los atacantes siguen aprovechándose de la confianza de los usuarios y de los motores de búsqueda, lo que subraya la importancia de concienciar a los usuarios sobre los hábitos de navegación y las descargas seguras, incluso desde fuentes aparentemente legítimas.
El informe de Cisco Talos también destaca otra tendencia, que consiste en utilizar herramientas nativas del sistema, como PowerShell, para eludir la detección y mantenerse en el dispositivo dejando un mínimo de rastros forenses. Esto hace que la detección resulte extremadamente difícil.
El ransomware Charon hace su aparición con tácticas propias de los grupos APT dirigidas a organizaciones de gran valor
Trend Micro ha identificado una nueva variante de ransomware, denominada «Charon», que emplea técnicas avanzadas propias de las amenazas de tipo APT —entre las que se incluyen la carga lateral de DLL, la inyección de procesos y capacidades contra los sistemas EDR— para llevar a cabo ataques altamente selectivos y devastadores.
Ransomware Charon: ataques selectivos y similitudes técnicas con Earth Baxia
El ransomware Charon se detectó por primera vez en un ataque selectivo en Oriente Medio, que afectó a organizaciones de los sectores público y de la aviación. El autor de la amenaza utilizó la carga lateral de archivos DLL y otras técnicas que recuerdan a las campañas de Earth Baxia. Las notas de rescate personalizadas se dirigían a las víctimas por su nombre, lo que ponía de manifiesto el carácter selectivo de la operación. Estas tácticas reflejan una tendencia cada vez más marcada entre los operadores de ransomware a adoptar métodos propios de las amenazas de ataque avanzado (APT).
El ataque comenzó con la ejecución de un archivo binario legítimo, Edge.exe (cuyo nombre se modificó de cookie_exporter.exe durante el ataque), que se utilizó indebidamente para instalar de forma paralela una DLL maliciosa denominada msedge.dll. Esta DLL actuaba como cargador, descifrando la carga útil del ransomware e inyectándola en un nuevo proceso « » de svchost.exe . Al hacerse pasar por un servicio legítimo de Windows, el malware aumenta sus posibilidades de eludir los mecanismos de detección tradicionales.
Trend Micro ha descubierto que Charon utiliza un método de extracción de carga útil en varias etapas. Se descubrió que un archivo aparentemente inofensivo, DumpStack.log, contenía código shell cifrado que, en última instancia, ejecutaba la carga útil del ransomware. El análisis forense reveló que había dos capas de cifrado que protegían la carga útil final.
Perfil técnico de Charon: cifrado, evasión y comportamientos de selección de objetivos
A partir de estos hallazgos, Trend Micro analizó más a fondo el archivo ejecutable de Charon y observó sus sofisticadas capacidades y sus características operativas bien desarrolladas:
- Inicialización y parámetros: Una vez inicializado, Charon admite parámetros que controlan el almacenamiento del registro de errores, los servidores o direcciones IP de destino, el alcance del cifrado y el orden. Además, crea un mutex denominado «
» OopCharonHere. - Comportamiento previo al cifrado: Antes de que comience el cifrado, Charon detiene los servicios relacionados con la seguridad, cierra los procesos activos, elimina las copias de seguridad y vacía la papelera de reciclaje para dificultar la recuperación. A continuación, evalúa los núcleos de procesador disponibles y genera varios subprocesos para el cifrado de archivos.
- Lógica de cifrado: . Durante el cifrado, Charon evita cifrar los archivos
.exe,,.dll,,.Charon,y los archivos de nota de rescate. A los archivos cifrados se les añade la extensión .Charon, y se incluye un marcador de infección —«¡hCharon ha llegado a su mundo!»—. El ransomware utilizaCurve25519la criptografía de curva elíptica, combinada con elChaCha20cifrado de flujo. - Comportamiento tras el cifrado: Tras el cifrado, Charon distribuye su nota de rescate por todas las unidades, redes y directorios.
Entre otros comportamientos, se incluyen la búsqueda activa y el cifrado de recursos compartidos de red accesibles, unidades asignadas y rutas UNC. Charon también incluye un componente de controlador diseñado para desactivar las soluciones EDR.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los autores de ransomware están adoptando cada vez más métodos sigilosos y sofisticados para mejorar sus ataques. Tal y como señala Trend Micro, esto «obliga a las empresas a replantearse los enfoques tradicionales y a reforzar su nivel de seguridad mediante defensas en varias capas».
Trend Micro también incluye algunas prácticas recomendadas de « » en el informe « » para ayudar a protegerse contra el ransomware Charon.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
