En el resumen de esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium analiza la evolución reciente del malware GIFTEDCROOK. A continuación, el equipo analiza las principales amenazas cibernéticas del primer semestre de 2025 , basándose en un nuevo informe de ESET. Por último, analizamos cómo el actor malicioso norcoreano Jasper Sleet está utilizando a trabajadores de TI que teletrabajan para infiltrarse en entornos corporativos.
El malware GIFTEDCROOK pasa de ser un programa de robo de datos del navegador a convertirse en una herramienta de recopilación de información
Según Arctic Wolf, el grupo de ciberespionaje UAC-0226 ha mejorado considerablemente su malware GIFTEDCROOK, transformando su funcionalidad de un simple programa de robo de información del navegador a una herramienta capaz de recopilar información de inteligencia de forma más amplia. Esta evolución coincide con los recientes acontecimientos geopolíticos, entre los que se incluyen las negociaciones de paz entre Ucrania y Rusia celebradas en Estambul.
A principios de este año, el CERT-UA de informó sobre en relación con GIFTEDCROOK v1, un programa diseñado para robar datos del navegador y que se utilizó en campañas dirigidas contra Ucrania. En May 2025, poco después de que comenzaran las negociaciones entre Ucrania y Rusia, se puso en marcha GIFTEDCROOK v1.2 .
Cómo funciona GIFTEDCROOK
Este malware suele propagarse a través de campañas de spear-phishing. Estos correos electrónicos proceden de un proveedor de alojamiento web y utilizan un marco de políticas de remitente (SPF) configurado como «?all», lo que merma la capacidad del destinatario para evitar la suplantación de identidad en el correo electrónico.
Arctic Wolf también detectó una segunda campaña en la que el correo electrónico de phishing incluía un archivo PDF adjunto con un enlace que, en última instancia, descargaba el malware RAT « » de NetSupport.
Descripciones generales de las versiones de GIFTEDCROOK
- v1.0: Un programa básico de robo de información diseñado para extraer datos del navegador.
- v1.2: Se introdujo el cifrado de cadenas y la capacidad de identificar y sustraer archivos en función de su tipo de extensión. Se centra en los archivos con un número de hasta 5MB que se hayan modificado en los últimos 15 días.
- v1.3: Se basa en versiones anteriores del malware GIFTEDCROOK, combinando el robo de datos del navegador con el ataque selectivo a archivos. Utiliza una técnica de evasión del modo de suspensión para eludir el entorno de aislamiento, se centra en archivos modificados en los últimos 45 días y extrae datos a través de Telegram. Es compatible con navegadores como Edge, Chrome y Firefox, y está pensado para archivos de menos de 7MB.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La evolución de GIFTEDCROOK, desde un simple programa de robo de información hasta una sofisticada herramienta de recopilación de inteligencia, sugiere un alto nivel tanto de sofisticación como de adaptabilidad por parte de los autores de la amenaza UAC-0226.
Tal y como señala en repetidas ocasiones Arctic Wolf, esta campaña está en consonancia con los recientes acontecimientos geopolíticos. Los actores maliciosos suelen recurrir a esta estrategia para maximizar el impacto y avanzar en su labor de recopilación de inteligencia estratégica. Dicho esto, es probable que UAC-0226 y GIFTEDCROOK sigan evolucionando.
Un nuevo informe revela un fuerte aumento de las amenazas avanzadas durante el H1 2025
ESET ha publicado recientemente « », un informe sobre amenazas correspondiente al primer semestre de 2025 en el que se destaca el notable aumento de las ciberamenazas avanzadas en plataformas de escritorio y móviles. A continuación se presentan las conclusiones clave que arrojan luz sobre el panorama de amenazas en constante evolución:
ClickFix está ganando popularidad rápidamente
ClickFix, que en su día era «prácticamente inexistente», ha crecido rápidamente hasta convertirse en el segundo vector de ataque más habitual, solo por detrás del phishing de tipo « ».
En la actualidad se está utilizando para distribuir diversos programas de robo de información, y tanto los ciberdelincuentes como los actores maliciosos vinculados a Estados lo están aprovechando. Aunque los usuarios de Windows siguen siendo el principal grupo afectado, los usuarios de macOS y Linux también se han visto afectados.
Artículos relacionados de CTI sobre ClickFix
No es la primera vez que nos enfrentamos a esta amenaza. Eche un vistazo a cómo ha evolucionado en los resúmenes anteriores de CTI, ya que mantenerse a la vanguardia implica mantenerse informado:
- Publicado en June 25, 2025: Últimas perspectivas sobre el papel de ClickFix en las operaciones de phishing multivectorial
- Publicado en April 30, 2025: Explica cómo actores de Corea del Norte, Irán y Rusia han utilizado ClickFix para distribuir malware mediante ingeniería social
- Publicado en March 12, 2025: Trata sobre una campaña de phishing que utiliza SharePoint y la API de Microsoft Graph para implementar un agente Havoc Demon modificado
- Publicado en June 26, 2024: Destaca el uso precoz de ClickFix en campañas de phishing a gran escala que distribuyen el programa malicioso Vidar Stealer, incluyendo TA571’s actividades
SnakeStealer se convierte en el programa de robo de información más detectado
Según los datos de telemetría de ESET, SnakeStealer se ha convertido en el programa de robo de información más detectado. Su auge coincide con una caída del 57 % en la detección de Agent Tesla, que ha descendido al cuarto puesto tras haber ocupado anteriormente una de las primeras posiciones.
Las medidas de lucha contra estas amenazas se centran en Lumma Stealer y Danabot
Además de realizar un seguimiento de las tendencias en materia de programas de robo de información, ESET también ha contribuido a las operaciones de desarticulación dirigidas contra , Lumma Stealer, y Danabot.
Tras la operación «Lumma Stealer», la actividad disminuyó, aunque ESET ha observado intentos de reconstruir el malware. Las detecciones de Danabot también se redujeron, lo que indica que la desactivación se llevó a cabo con éxito.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
ClickFix ha aparecido con bastante frecuencia en las noticias durante las últimas semanas y meses, y el informe de ESET deja claro hasta qué punto ha ganado popularidad. Su aumento del 517 % es significativo, sobre todo porque supone un cambio en la estrategia de los actores, que ahora se centran en aprovechar el comportamiento humano en lugar de la tecnología.
El exhaustivo informe de ESET también destaca cómo el panorama de amenazas puede adaptarse y evolucionar en un breve periodo de tiempo y cómo abarca desde ordenadores de sobremesa hasta dispositivos móviles con amenazas multivectoriales.
Jasper Sleet recurre a trabajadores de TI que teletrabajan para infiltrarse en las organizaciones
Microsoft ha identificado como una campaña continuada llevada a cabo por el actor malicioso norcoreano Jasper Sleet, que consiste en hacerse pasar por profesionales independientes del sector de las tecnologías de la información para obtener acceso a entornos corporativos. Estas operaciones respaldan los objetivos de espionaje de la República Popular Democrática de Corea (RPDC) y se basan en una estrategia de ingeniería social denominada « » para conseguir empleo a distancia.
En esta campaña, los trabajadores norcoreanos del sector de las tecnologías de la información tienen como objetivo conseguir un empleo a distancia, desempeñar sus funciones laborales y percibir ingresos, que a menudo se destinan a financiar el régimen norcoreano. Microsoft señala que estos trabajadores han solicitado puestos de trabajo en una amplia variedad de sectores a nivel mundial.
Creación y reutilización de identidades falsas
Las tácticas de Jasper Sleet consisten, entre otras cosas, en crear o suplantar identidades, incluyendo currículos, direcciones de correo electrónico y cuentas en redes sociales. Los documentos y las cuentas correspondientes se adaptan a los requisitos específicos de cada oferta de empleo.
En ocasiones, estos perfiles se reutilizan en varias aplicaciones. Para reforzar su credibilidad, los profesionales de las tecnologías de la información también crearán huellas digitales —como perfiles en GitHub— para mostrar sus trabajos anteriores.
El uso de la inteligencia artificial para potenciar el engaño
Microsoft observó el uso de la inteligencia artificial para mejorar estos perfiles, incluida la creación de fotos de perfil, currículos y direcciones de correo electrónico. Un repositorio público contenía ejemplos de estos recursos generados por IA, que, según se creía, estaban relacionados con trabajadores del sector de las tecnologías de la información de Corea del Norte. Además del engaño visual, los trabajadores utilizaron herramientas de enmascaramiento de voz basadas en inteligencia artificial para ocultar su identidad durante las entrevistas y comunicaciones a distancia.
El papel de los facilitadores
Jasper Sleet ha comenzado a contratar a «facilitadores» para ayudar a los trabajadores del sector de las tecnologías de la información a encontrar empleo y a incorporarse a sus nuevos puestos. Estos mediadores ayudan a abrir cuentas bancarias, adquirir tarjetas SIM, registrarse en plataformas de empleo y gestionar las direcciones de envío del material.
Herramientas para la persistencia y la evasión
Para mantener el acceso y evitar ser detectado, Jasper Sleet utiliza redes privadas virtuales (VPN), servidores privados virtuales (VPS), servicios de proxy y herramientas de supervisión y gestión remotas (RMM) con el fin de integrarse en la actividad de la organización y establecer la persistencia. Microsoft ha identificado el uso de JumpConnect, TinyPilot, RustDesk, TeamViewer, AnyViewer y AnyDesk.
Como era de esperar, estos trabajadores del sector de las tecnologías de la información intentarán evitar cualquier tipo de contacto presencial y se limitarán a las conversaciones a distancia para no ser identificados.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Microsoft utiliza el nombre de Jasper Sleet para «representar la actividad relacionada con el programa de teletrabajo de Corea del Norte». Asimismo, realiza un seguimiento de otros grupos de amenaza norcoreanos que emplean tácticas, técnicas y procedimientos (TTP) similares para conseguir empleo y llevar a cabo operaciones relacionadas.
Los trabajadores de TI norcoreanos llevan varios años siendo motivo de preocupación, y la amenaza no da señales de remitir. Los autores de amenazas se están dando cuenta cada vez más de que no necesitan piratear sistemas ni reclutar a personas de dentro: ser contratados directamente por una organización puede resultar igual de eficaz.
Microsoft señala que la inteligencia artificial está agravando esta amenaza, ya que dificulta a las organizaciones la detección de actores malintencionados.
Para ayudar a los responsables de la seguridad a identificar y responder ante actividades relacionadas, Microsoft ofrece varias herramientas y funciones, entre las que se incluyen acciones de investigación y supervisión, alertas de Defender y consultas de búsqueda. Además, su flujo de trabajo de aprendizaje automático puede señalar cuentas sospechosas que podrían estar vinculadas a trabajadores del sector de las tecnologías de la información de Corea del Norte.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
