Esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium analiza una nueva herramienta denominada HexStrike AI, que reduce considerablemente los tiempos de explotación, pasando de días a minutos. A continuación, el equipo ofrece una descripción general de TinkyWinkey: un registrador de teclas para Windows que permite llevar a cabo operaciones de espionaje y robo de datos. Por último, analizamos un nuevo estudio de Check Point en el que se detalla cómo el grupo APT Silver Fox logró aprovechar un controlador de Microsoft, hasta entonces desconocido y vulnerable, para desactivar las protecciones de los terminales e instalar el malware ValleyRAT.
Los autores de amenazas utilizan HexStrike AI para organizar ciberataques
Una publicación reciente de Check Point, « », analiza cómo los autores de amenazas están utilizando una nueva herramienta de inteligencia artificial llamada HexStrike AI para orquestar ciberataques. Los autores de las amenazas afirman que HexStrike AI reduce los tiempos de explotación de varios días a menos de 10 minutos.
¿Qué es HexStrike AI?
HexStrike AI se diseñó inicialmente como una herramienta para equipos de simulación de ataques (red teams) e investigadores de seguridad. Inmediatamente después de su lanzamiento, Check Point observó que los actores maliciosos debatían cómo utilizar la herramienta como arma en sus ataques. En tan solo unas horas, algunos actores ya estaban debatiendo específicamente cómo utilizarlo para aprovechar las vulnerabilidades de día cero de Citrix que se habían dado a conocer aproximadamente una semana antes.
Arquitectura de IA de HexStrike
Check Point describe HexStrike AI como un «cambio fundamental en la forma en que pueden llevarse a cabo las operaciones cibernéticas ofensivas». Esta herramienta permite que diversos modelos de inteligencia artificial, como Claude, GPT y Copilot, ejecuten herramientas sin necesidad de intervención ni gestión por parte de personas. Asimismo, presenta los agentes MCP, que son agentes que se comunican a través del Protocolo de Contexto de Modelo (MCP) y contribuyen a salvar la brecha entre los modelos de lenguaje grande (LLM) y las capacidades ofensivas del mundo real. Check Point descubrió que los agentes de IA de « » ( ) podían ejecutar de forma autónoma más de 150 herramientas cibernéticas, entre las que se incluyen las destinadas a pruebas de penetración, detección, investigación y otras.
El informe destaca algunos aspectos clave del diseño de HexStrike. En primer lugar, está su capa de orquestación MCP. El marco de trabajo configurará un servidor FastMCP para la comunicación entre otros modelos de lenguaje a gran escala (LLM) y las funciones de las herramientas. Las herramientas funcionan como componentes invocables que el agente puede activar y que permiten ejecutar comandos mediante programación. Check Point también destaca la integración de sus herramientas a gran escala. La herramienta es automatizada y resistente, y agrupa los comandos en flujos de trabajo para que las acciones sean repetibles.
Aprovechamiento de vulnerabilidades
Check Point destaca cómo los atacantes pudieron aprovechar HexStrike AI en el contexto de tres vulnerabilidades de día cero que afectaban a los dispositivos Citrix NetScaler ADC y Gateway, y que se habían dado a conocer poco antes.
En las 12 horas posteriores a la divulgación de estas vulnerabilidades, Check Point observó que algunos actores comentaban cómo se podría utilizar la IA de HexStrike para detectar y explotar instancias vulnerables. Esto vuelve a poner de manifiesto cómo se puede utilizar la inteligencia artificial para automatizar tareas que antes se realizaban manualmente, como el reconocimiento.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
HexStrike AI es un ejemplo paradigmático de cómo la inteligencia artificial puede actuar como un multiplicador de capacidad para los actores maliciosos, reduciendo el tiempo, los conocimientos y el esfuerzo necesarios para llevar a cabo ataques sofisticados.
Check Point destaca la rapidez con la que los autores de amenazas se lanzaron a utilizar esta herramienta tras su lanzamiento, así como la rapidez con la que se empezó a hablar de ella como recurso para la explotación de vulnerabilidades de día cero en el mundo real. La velocidad a la que los atacantes están poniendo en práctica las herramientas de IA es cada vez mayor, lo que resulta especialmente preocupante, ya que la IA se está convirtiendo poco a poco en un recurso que puede aprovecharse para llevar a cabo operaciones y ejecutar cadenas de ataque completas.
Check Point incluye una serie de medidas recomendadas por el Centro de Respuesta a Incidentes de Check Point ( ) que los responsables de la seguridad pueden adoptar ante esta amenaza.
El keylogger «TinkyWinkey» supone una amenaza para los sistemas Windows
Cyfirma ofrece información detallada sobre el keylogger TinkyWinkey, un malware sigiloso para Windows que captura las pulsaciones del teclado, supervisa las ventanas activas y recopila datos del sistema mediante técnicas avanzadas, como la inyección de DLL y las llamadas a la API de bajo nivel. Su diseño modular y su ejecución persistente convierten a TinkyWinkey en una amenaza importante para las operaciones de espionaje y robo de datos.
Descripción general de TinkyWinkey
Cyfirma detectó por primera vez el keylogger «TinkyWinkey» a finales de June 2025. Según Cyfirma, «sus componentes de servicio y keylogger apuntan a un esfuerzo deliberado por mantener la flexibilidad y el sigilo, lo que facilita la actualización o la adaptación del malware para diferentes campañas».
Los dos componentes principales de TinkyWinkey son:
- El servicio Tinky, , que se encarga de poner en marcha y gestionar el keylogger
- El registrador de pulsaciones de teclado Winkey, , que captura las pulsaciones reales del teclado
Cyfirma señala que entre las características principales del malware se incluyen la recopilación de información del sistema, el registro de pulsaciones de teclas, el seguimiento de ventanas, el sistema de registro, la gestión de servicios y la gestión de procesos y sesiones.
Análisis estático de TinkyWinkey
En primer lugar, el malware localizará el directorio temporal del sistema y se asegurará de que el archivo de registro necesario se encuentre allí. Este archivo de registro es donde se almacenarán las pulsaciones de teclas capturadas como parte de su rutina de registro de pulsaciones. A continuación, invoca algunas funciones destinadas específicamente a recabar información sobre el equipo anfitrión, como la versión del sistema operativo, los datos del procesador, etc.
A continuación, el malware identificará el sistema operativo, recopilará información sobre la CPU, llevará a cabo un análisis de la red para determinar la identidad de los dispositivos, recopilará datos sobre la capacidad de la memoria y supervisará la ventana en primer plano para determinar cuándo el usuario cambia de aplicación.
En cuanto a la función principal de registro de pulsaciones de teclas, el malware instala un «hook» de teclado que capturará las pulsaciones. Puede supervisar el teclado activo, pero también puede registrar si el usuario cambia de idioma. Las teclas especiales, como «Esc», «Intro» o «Retroceso», se sustituyen por marcadores descriptivos en el registro propiamente dicho. En el caso de las claves no especiales, el malware convierte el código de la clave y lo almacena en el archivo de registro.
El malware acabará entrando en un bucle continuo de mensajes, lo que mantiene activas su ventana en primer plano y sus ganchos de teclado para garantizar su persistencia.
Análisis dinámico de TinkyWinkey
Al ejecutarse, se registra un servicio malicioso de Windows denominado «Tinky». Se ha creado para que se ejecute al iniciar el sistema, con el fin de garantizar la persistencia.
Una vez establecida con éxito la persistencia, se ejecuta la carga útil secundaria, «winkey.exe». Esta carga útil es la responsable del módulo de registro de teclas.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El uso avanzado que hace TinkyWinkey de los componentes internos de Windows, su ejecución sigilosa y su registro exhaustivo hacen que sea probable que resulte atractivo para los autores de amenazas.
Tal y como señala Cyfirma, el autor del keylogger separó claramente los componentes del servicio y del keylogger. Esta separación deliberada contribuirá a la flexibilidad del actor y facilitará las futuras actualizaciones del malware. Dicho esto, no sería de extrañar que aparecieran nuevas versiones o variantes de este malware en el futuro.
El grupo Silver Fox APT aprovecha un controlador vulnerable para desactivar la seguridad de los terminales
Un nuevo informe de Check Point, titulado « », explica cómo el grupo APT Silver Fox aprovechó un controlador vulnerable, firmado por Microsoft y hasta entonces desconocido, para desactivar de forma encubierta las protecciones de los terminales de e instalar el malware ValleyRAT.
La campaña pone de relieve las deficiencias fundamentales de los modelos de confianza en controladores y las limitaciones de las defensas basadas en firmas en el ámbito de la ciberseguridad actual.
Principales conclusiones del informe de Check Point sobre el grupo APT «Silver Fox»
A partir de finales de mayo, Check Point detectó una campaña denominada «Silver Fox» que tenía como objetivo dispositivos Windows mediante un cargador personalizado. Este cargador personalizado se valía específicamente de los controladores del núcleo para eliminar procesos de seguridad. En el informe se puede consultar una lista completa de los procesos finalizados .
Según Check Point, esta campaña «supuso un cambio significativo, ya que pasó de utilizar únicamente controladores vulnerables conocidos a implementar un controlador vulnerable firmado y no clasificado hasta entonces, que eludía los mecanismos de detección tradicionales».
Silver Fox utilizó el controlador antimalware WatchDog durante el ataque, del que no se sabía públicamente que presentara vulnerabilidades y que cuenta con una firma legítima de Microsoft. Este controlador, junto con otro controlador implementado del que se sabía que era vulnerable, permitía la finalización arbitraria de procesos. La carga útil final del ataque es la puerta trasera ValleyRAT, que permite la exfiltración de datos, la ejecución de comandos, etc., y que contribuyó a atribuir el ataque a Silver Fox.
Los C2 servidores implicados en el ataque estaban todos alojados en China y utilizaban servicios de nube pública o servicios web. Desde el punto de vista de la victimología, Check Point observó un patrón de ataques a escala mundial.
La cargadora
Check Point identificó varias muestras de cargadores «todo en uno» utilizados por el grupo APT Silver Fox, cada una de ellas diseñada para pasar desapercibida, garantizar la persistencia y distribuir la carga útil. Estos cargadores incluyen rutinas antianálisis que detectan entornos virtuales, entornos aislados y proveedores de servicios de Internet (ISP) específicos, y detienen la ejecución si se detecta alguna de estas situaciones. Además, garantizan la persistencia creando una carpeta «RunTime» y registrando servicios para asegurar su ejecución al iniciar el sistema.
El cargador incorpora dos controladores vulnerables en forma de cadenas de bytes codificadas: uno diseñado para desactivar las defensas de los terminales y otro para instalar la puerta trasera ValleyRAT. El controlador adecuado se selecciona en función de la versión de Windows del sistema de destino, lo que permite al malware adaptarse a distintos entornos al tiempo que elude los mecanismos de detección tradicionales.
Eliminador de EDR/AV
Como se ha señalado, la rutina del «EDR/AV killer» está integrada en el cargador. Se eliminará el controlador vulnerable correspondiente en función de la versión de Windows que ejecute el dispositivo infectado.
Independientemente del controlador que se utilice, se emplean funciones de la API de Windows para crear los servicios necesarios. La lógica principal «recorrerá una lista de Base64-encoded procesos de destino que deben terminarse», la cual contiene 192 nombres de procesos. Si se encuentra una coincidencia, el proceso se dará por concluido.
Nuevo conductor vulnerable
Check Point analizó en profundidad el controlador vulnerable, cuya vulnerabilidad se desconocía hasta entonces. Este es el controlador antimalware de WatchDog, que cuenta con una firma legítima.
Este controlador, basado en el SDK de Zemana Anti-Malware, puede finalizar procesos arbitrarios sin necesidad de confirmar si dicho proceso se está ejecutando en modo protegido, lo que lo hace idóneo para la técnica conocida como «traiga su propio controlador vulnerable».
La puerta trasera ValleyRAT
Todas las muestras analizadas por Check Point dieron lugar a la instalación de la puerta trasera ValleyRAT. Para evitar ser detectado, activará una función de devolución de llamada a través de la API de Windows con el fin de detectar los procesos asociados a herramientas de análisis. Si se detecta, retrasará su ejecución con un periodo de inactividad de 20 segundos y seguirá enumerando hasta que no se detecte ninguna herramienta.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El uso indebido de controladores firmados por Microsoft pone de manifiesto una vulnerabilidad sistémica en la forma en que se asigna la confianza en los entornos de Windows. Los atacantes están aprovechando cada vez con mayor frecuencia la suposición de que «firmado» equivale a «seguro».
En este ataque, el autor desactivó las soluciones antimalware, lo que le permitió eludir la detección sin activar ninguna alerta. Esto pone de manifiesto la necesidad de llevar a cabo un seguimiento que vaya más allá de las simples firmas de archivos y abarque aspectos como el comportamiento de los controladores.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
