Esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium analiza cómo los atacantes están combinando dos kits de «phishing como servicio» en campañas híbridas, lo que dificulta su detección y atribución. A continuación, el equipo investiga a RomCom, un grupo de ciberamenazas vinculado a Rusia que ahora tiene en el punto de mira a empresas estadounidenses que prestan apoyo a Ucrania.
Por último, concluimos con una visión general del grupo iraní «MuddyWater», que recientemente ha lanzado una campaña dirigida contra organismos gubernamentales e infraestructuras críticas en Israel y Egipto.
El phishing «Híbrido 2FA » supone una amenaza para las empresas
ANY.RUN está dando la voz de alarma sobre una nueva amenaza de phishing que combina los kits de phishing Salty2FA y Tycoon2FA en una única campaña híbrida. Esta evolución pone de manifiesto un cambio hacia operaciones de phishing modulares y resilientes, capaces de adaptarse a los fallos de infraestructura y eludir las defensas tradicionales.
ANY.RUN detectó un descenso en el número de envíos al entorno de pruebas Salty2FA a partir de finales de October 2025. A principios de noviembre, el descenso se aceleró considerablemente, lo que llevó a ANY.RUN a iniciar una investigación.
Los investigadores descubrieron que las muestras de noviembre o bien no funcionaban, o bien se comportaban de forma diferente a las muestras típicas de la Salty2FA . Al mismo tiempo, observaron que los resultados del entorno de pruebas señalaban indicadores tanto de Salty2FA como de Tycoon2FA en la misma muestra, lo que constituía una prueba de que los atacantes estaban combinando ambos kits en cargas útiles híbridas.
¿Cómo funciona la carga útil híbrida?
Esta actividad comienza con una página de phishing en Cloudflare Pages Dev, una plataforma de alojamiento de sitios web estáticos y desarrollo front-end. Los analistas encontraron comentarios en el código que indicaban que, si la carga útil inicial no se carga, el script debería recuperarla de una URL de respaldo. En la muestra analizada, el dominio principal Salty2FA devolvió un error de DNS, por lo que no fue posible recuperar la carga útil.
Tras ese fallo, el script siguió su ruta alternativa y solicitó la siguiente fase. En esta fase se llevan a cabo comprobaciones contra el análisis, se sustituye el contenido de la página, se bloquean los atajos de teclado de DevTools y se realizan comprobaciones de tiempo. Por último, el código carga una secuencia que se asemeja mucho a la cadena de ejecución Tycoon2FA’s , lo que sugiere que Tycoon2FA actúa como carga útil de reserva cuando la infraestructura Salty2FA no está disponible.
Este mecanismo de respaldo permite a los atacantes mantener sus campañas incluso cuando falla la infraestructura de un kit, lo que reduce la eficacia de las medidas de desmantelamiento que se centran en un único punto.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Esta nueva campaña híbrida refleja una tendencia cada vez más marcada hacia ecosistemas de phishing maduros, en los que la modularidad y la redundancia forman parte de su diseño. Esto es similar a cómo los grupos de ransomware evolucionaron hacia modelos RaaS. Ahora, el phishing está siguiendo el mismo camino.
En la actualidad, los atacantes dan prioridad a la continuidad operativa y cambian de un kit de phishing a otro cuando falla la infraestructura, una tendencia que se asemeja a las estrategias de recuperación ante desastres propias de las empresas. Esto hace que las medidas de retirada tengan un impacto menor, a menos que se actúe tanto contra los kits como contra su infraestructura compartida.
El informe de ANY.RUN incluye consejos prácticos sobre cómo pueden responder los equipos del SOC ante esta actividad.
RomCom utiliza SocGholish para distribuir el malware Mythic Agent
Según Arctic Wolf, el grupo de ciberamenazas vinculado a Rusia RomCom está utilizando actualmente el marco de malware SocGholish para desplegar su malware Mythic Agent contra empresas estadounidenses que apoyan activamente a Ucrania. Esta es la primera vez que RomCom ha utilizado SocGholish.
Arctic Wolf estimó, con un grado de confianza medio-alto, que la Unidad 29155 del GRU ruso estaba detrás del ataque, lo que pone de relieve su importancia geopolítica. Arctic Wolf detectó y bloqueó la intrusión y, en la actualidad, está compartiendo información que pone de manifiesto la creciente sofisticación y colaboración entre los actores cibernéticos rusos.
Introducción a las comedias románticas, SocGholish y TA569
- «RomCom » es un grupo afín a Rusia que lleva activo al menos tres años y que tiene como objetivo principal a las organizaciones que apoyan a Ucrania —ya sea mediante ayuda directa, colaboraciones o servicios relacionados—, independientemente de su ubicación.
- SocGholish es un marco de malware descubierto por primera vez en 2017. Se distribuye a través de código JavaScript malicioso inyectado en sitios web; actúa como un programa de descarga y se utiliza cada vez más como vector de acceso inicial para operaciones de ransomware.
- TA569 es un grupo con fines lucrativos que gestiona SocGholish como parte de un modelo de «malware como servicio» (Malware-as-a-Service), vendiendo acceso a sistemas comprometidos a afiliados de ransomware. Se le considera el principal agente malicioso responsable del despliegue y mantenimiento de SocGholish, y utiliza señuelos falsos relacionados con actualizaciones de navegadores y software, así como publicidad maliciosa, para propagar las infecciones.
Comprender el vector de ataque
SocGholish suele inyectar código JavaScript malicioso en sitios web legítimos y utiliza señuelos falsos en forma de actualizaciones para engañar a los usuarios y que descarguen malware. En ocasiones se propaga a través del phishing. Una vulnerabilidad de tipo «SocGholish» puede servir como punto de acceso inicial para futuros ataques, por lo que resulta fundamental su detección y contención tempranas.
En uno de los casos observados, apenas unos minutos antes de que se entregara el cargador de código shell de RomCom, los autores de la amenaza comprobaron la conectividad con Mythic Command and Control (C2), un marco multiplataforma de «red teaming» escrito en Python 3 y diseñado para pruebas de seguridad; sin embargo, al igual que muchas herramientas similares, en ocasiones los autores de la amenaza lo utilizan indebidamente para controlar sistemas comprometidos.
¿Cuándo se activa el cargador?
Una vez verificada la conectividad con Mythic C2 , puede comenzar la siguiente fase del ataque: la instalación del cargador de RomCom. El cargador, <code>msedge.dll</code>, comprueba si el dominio de Active Directory del sistema coincide con un valor predefinido antes de descifrar y ejecutar el código de shell. El código shell en cuestión es el agente Mythic, que a continuación se conecta a su infraestructura C2 para recibir nuevas instrucciones.
Arctic Wolf detectó y puso en cuarentena el cargador en esta fase, lo que impidió que el ataque siguiera adelante.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Tal y como señala Arctic Wolf, esta es la primera vez que RomCom ha utilizado SocGholish, lo que sugiere que los autores de las amenazas están combinando cada vez más objetivos delictivos y geopolíticos.
La aparente coordinación entre RomCom y TA569 pone de manifiesto cómo los grupos maliciosos están forjando alianzas y colaborando para amplificar su impacto, lo que complica aún más la atribución y las estrategias de defensa para los defensores.
Como mínimo, los hallazgos de Arctic Wolf ponen de manifiesto lo fundamentales que son las defensas por capas y el análisis del comportamiento frente a estas amenazas en constante evolución.
MuddyWater ataca infraestructuras críticas con tácticas en constante evolución
Una publicación reciente de ESET revela cómo MuddyWater puso en marcha una nueva campaña dirigida contra instituciones gubernamentales e infraestructuras críticas de Israel y Egipto, utilizando tácticas más sigilosas y herramientas personalizadas, como la puerta trasera MuddyViper y el cargador Fooder.
Este cambio pone de manifiesto la evolución del grupo hacia operaciones más sofisticadas y capaces de eludir los sistemas de defensa, lo que indica una mayor capacidad y persistencia.
¿Quién es MuddyWater?
MuddyWater —también conocido como Mango Sandstorm o TA450—is —, un grupo de ciberespionaje vinculado a Irán que lleva activo al menos desde 2017. Se dirige principalmente a los sectores gubernamentales y de infraestructuras críticas de Oriente Medio y otras regiones.
A principios de este año, ESET observó un solapamiento operativo entre MuddyWater y Lyceum, un subgrupo de OilRig (también conocido como HEXANE), alineado con Irán. Tal y como explica ESET, esto sugiere que MuddyWater «podría estar actuando como intermediario de acceso inicial para otros grupos alineados con Irán».
El conjunto de herramientas de MuddyWater
ESET ha dado a conocer detalles sobre unas herramientas hasta ahora desconocidas utilizadas por MuddyWater:
- Cargador de Fooder: Un cargador de 64 bits en C/C++ que carga de forma reflexiva la puerta trasera MuddyViper en la memoria y la ejecuta. Asimismo, se ha observado que Fooder distribuye la utilidad de código abierto HackBrowserData. Entre sus características más destacadas se incluyen una función de retardo personalizada y versiones que se disfrazan como el clásico juego «Snake».
- Puerta trasera MuddyViper: Una puerta trasera escrita en C/C++ que recopila información del sistema, descarga y sube archivos, ejecuta comandos y roba credenciales. Mantiene la persistencia a través de valores del Registro o de tareas programadas y admite 20 comandos de puerta trasera. Para la comunicación C2 , utiliza solicitudes <code>HTTP GET</code> a través del <code>puerto 443</code> con actualizaciones de estado detalladas.
- CE-Notes, un programa diseñado para robar datos del navegador: . Descubierto por primera vez en 2024, CE-Notes ataca a los navegadores basados en Chromium (Chrome, Edge, Brave). Se descarga a través de PowerShell y sustrae la clave de cifrado vinculada a la aplicación que se introdujo en la versión 127 de Chrome.
- LP-Notes, programa de robo de credenciales: . Un programa de robo de credenciales para Windows que muestra un cuadro de diálogo falso de «Seguridad de Windows» para engañar a las víctimas y que introduzcan sus credenciales. Valida las credenciales en tiempo real e intenta iniciar sesión con ellas.
- Blub, un programa para robar datos del navegador: Una herramienta en C/C++ que recopila datos de inicio de sesión de Chrome, Edge, Firefox y Opera. Utiliza una biblioteca SQLite enlazada de forma estática e incorpora técnicas sencillas de ofuscación.
- Túneles inversos: MuddyWater utiliza con frecuencia go-socks5 túneles inversos —un conjunto de herramientas compiladas en Go basadas en bibliotecas como go-socks5, yamux y resocks— para permitir una comunicación de red discreta y eludir los cortafuegos.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium:, ,
La evolución de MuddyWater, desde sesiones ruidosas e interactivas hasta técnicas más sigilosas y residentes en la memoria, sugiere un cambio deliberado hacia la persistencia a largo plazo y la evasión, lo que, en general, concuerda con las tendencias de los actores patrocinados por Estados.
MuddyWater está acortando distancias con las amenazas persistentes avanzadas (APT) más sofisticadas, lo que significa que los defensores no pueden basarse en suposiciones históricas sobre determinados grupos. Esta actividad sigue recurriendo al spear phishing para obtener el acceso inicial, pero la combinación con cargadores personalizados camuflados como videojuegos pone de relieve la necesidad de impartir formación para sensibilizar a los usuarios y de aplicar la detección basada en el comportamiento, y no solo en defensas basadas en firmas.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , , el foro de debate de Taniumy para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « » en.
