Esta semana, CTI analiza una nueva campaña de malware para Linux capaz de eludir la detección de los programas antivirus. A continuación, CTI explica cómo los ciberdelincuentes están utilizando la táctica «ClickFix» y páginas CAPTCHA falsas para instalar la puerta trasera CORNFLAKE.V3 . Por último, CTI investiga una nueva campaña de PRC-Nexus que secuestra el tráfico web y distribuye malware a través de páginas falsas de actualización del navegador.
1. Un nuevo malware para Linux elude la detección de los antivirus
Una investigación reciente de Trellix ha revelado una campaña de malware Linux de tipo « » que utiliza nombres de archivo maliciosos para ejecutar código sin necesidad de archivos tradicionales, eludiendo así la mayoría de los métodos de detección.
La carga útil final, una puerta trasera sin archivo denominada VShell, se ejecuta íntegramente en memoria y otorga a los atacantes acceso remoto completo, al tiempo que se hace pasar por un proceso legítimo del sistema.
Cadena de infección
La infección comienza con un correo electrónico no deseado que contiene un archivo RAR adjunto. El archivo RAR incluye un archivo cuyo nombre contiene código compatible con Bash que puede ejecutar comandos cuando lo interpreta el shell. El nombre de archivo permanece inactivo hasta que un script o un comando lo evalúe o lo desglose.
- Vector de infección inicial: El correo electrónico de spam inicial incluye una invitación para participar en una encuesta sobre productos de belleza, junto con una recompensa económica para quienes la completen.
Trellix señala que el correo electrónico no indica al usuario que abra el archivo adjunto, yy.rar. En cambio, el atacante espera que el destinatario pueda confundir el archivo adjunto con algo relacionado con la encuesta. El archivo extraído tiene un nombre de archivo especialmente diseñado que desencadena un comportamiento malicioso sin que el usuario tenga que intervenir.
- Etapa 1: nombre de archivo malicioso en «inside.rar»: Trellix señala que este archivo extraído tiene un nombre inusual y que «no es posible crear manualmente un archivo con este nombre en el shell, ya que sus caracteres especiales se interpretan como sintaxis de comando». Trellix considera que el nombre del archivo podría haberse creado utilizando un lenguaje como Python. También es posible que se haya introducido mediante una herramienta o un script capaz de eludir la validación de entradas del shell. El nombre del archivo descodificado establecerá una conexión con el servidor C2 y descargará o ejecutará un script para la segunda fase.
- Etapa 2 – Script de descarga: El script de descarga comprobará si hay directorios en los que se pueda escribir para guardar y ejecutar archivos, detectará las arquitecturas del sistema, obtendrá la carga útil binaria adecuada en función de dicha arquitectura y llevará a cabo una ejecución silenciosa mediante nohup.
- Carga útil de la etapa 3 : cargador en memoria para el malware VShell: Una vez que el script de la etapa 2 determina la arquitectura del sistema y obtiene el binario correspondiente, se pone en marcha el resto del proceso de infección. El archivo binario establecerá una comunicación C2 realizando una solicitud HTTP GET al servidor, recibirá la carga útil cifrada mediante XOR y la descifrará y ejecutará desde la memoria. Trellix señala que se le cambia el nombre en memoria para que aparezca como un hilo legítimo del núcleo de Linux. Además, se asegurará de que no haya ninguna otra instancia en ejecución para evitar una nueva infección.
- Carga útil final: malware VShell: El malware VShell suele ser utilizado por grupos APT chinos. Entre sus características principales se incluyen el acceso a un shell inverso, la capacidad de realizar operaciones con archivos, la gestión de procesos, el reenvío de puertos y mucho más.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Es probable que los autores de esta campaña cuenten con un alto nivel de sofisticación, dadas sus capacidades avanzadas, como la entrega de cargas útiles adaptadas a la arquitectura, la ejecución en memoria y las ingeniosas tácticas de ofuscación.
Tal y como señala Trellix, esta campaña pone de manifiesto una evolución peligrosa en la distribución de malware para Linux. Esto reviste especial importancia, ya que los autores de amenazas se centran cada vez más en los sistemas Linux.
2. El UNC5518 instala CORNFLAKE.V3 mediante ClickFix y páginas CAPTCHA falsas
Según Mandiant, el actor malicioso UNC5518 está utilizando la técnica «ClickFix» para comprometer sitios web, mostrar páginas falsas de verificación CAPTCHA y distribuir scripts de descarga, lo que permite a otros actores implementar la puerta trasera CORNFLAKE.V3 . Se ha observado que tanto el agente UNC5774 como el UNC4108 han aprovechado este acceso.
¿Qué es CORNFLAKE.V3?
CORNFLAKE.V3 es un malware sigiloso y persistente, escrito en JavaScript o PHP, que ejecuta cargas útiles remotas y utiliza Cloudflare Tunnels para eludir la detección. El malware obtendrá cargas útiles a través de HTTP, entre las que se incluyen comandos de shell, archivos ejecutables y DLL.
Mandiant afirma que CORNFLAKE.V3 no es más que una versión actualizada de CORNFLAKE.V2, y que el malware CORNFLAKE original es el que presenta mayores diferencias con respecto a estas variantes más recientes.
El malware comprobará que solo haya una instancia del script en ejecución a la vez antes de comenzar a recopilar información del sistema. A continuación, establece las C2 direcciones IP de los servidores y entra en una función de bucle. Para garantizar su persistencia, el malware crea una clave de ejecución en el Registro denominada «ChromeUpdater».
Mandiant observó que el malware ejecutaba diferentes tipos de cargas útiles procedentes de su servidor C2 . Una de estas cargas útiles consistía en un script por lotes repleto de comandos de reconocimiento, concretamente comandos de Active Directory. Determinará si el equipo está integrado en un dominio o no y, en función de ello, llevará a cabo diversos pasos de reconocimiento.
Además, Mandiant detectó un script de lote que intenta obtener credenciales mediante «kerberoasting», un ataque dirigido a Active Directory de Windows que se aprovecha del protocolo de autenticación Kerberos.
Variante de PHP y cargas útiles ejecutadas
Mandiant también ha detectado una variante en PHP de CORNFLAKE.V3 que es similar a versiones anteriores. Esta variante concreta es descargada por un script en memoria, utilizando de nuevo la técnica del tipo «ClickFix».
Este script descarga el paquete de PHP, lo guarda en el disco y lo descomprime. Entre las cargas útiles ejecutadas se incluyen una destinada al reconocimiento de Active Directory y la implantación de una puerta trasera adicional denominada WINDYTWIST.SEA.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El análisis de Mandiant pone de manifiesto la creciente sofisticación y la aceleración de los modelos de «acceso como servicio». El papel de UNC5518’s como intermediario de acceso inicial demuestra cómo los ecosistemas de la ciberdelincuencia se están volviendo cada vez más modulares y eficientes, lo que permite a los actores colaborar y ampliar sus operaciones casi como si se tratara de organizaciones legítimas. Esta actividad también recurre a tácticas habituales, como «ClickFix» y los CAPTCHA falsos, y hace un uso indebido de infraestructuras legítimas.
El informe de Mandiant incluye consultas de búsqueda que pueden resultarle útiles para identificar posibles incidentes relacionados en su entorno.
3. La campaña «PRC-Nexus» desvía el tráfico web
En marzo, el Grupo de Inteligencia sobre Amenazas de Google (GTIG) descubrió que un grupo de ciberamenazas vinculado a China, denominado « UNC6384 », estaba llevando a cabo una sofisticada campaña de ciberespionaje de tipo «» dirigida a diplomáticos.
UNC6384 se apropió del tráfico web y distribuyó malware a través de páginas falsas de actualización del navegador. La operación utilizó técnicas como los ataques de tipo «adversario en el medio» (AitM), malware firmado y la carga lateral de archivos DLL para eludir la detección y mantener un acceso persistente.
Resumen de la campaña
Google descubrió que todas las cargas maliciosas de esta campaña se camuflaban como actualizaciones de software o de complementos, y se distribuían a través de la infraestructura UNC6384 mediante AitM e ingeniería social.
El navegador web de la víctima comprobará si la conexión a Internet se realiza a través de un portal cautivo; un AitM redirigirá el navegador a un sitio web controlado por el atacante, y el malware se instalará en varias fases.
Difusión de malware
Google identificó al autor de un ataque en el que se utilizaba el secuestro de un portal cautivo para distribuir malware camuflado como un complemento de Adobe. Tal y como explica Google, un portal cautivo es «una configuración de red que redirige a los usuarios a una página web concreta, normalmente una página de inicio de sesión o una página de bienvenida, antes de concederles acceso a Internet».
Google señala que todos los navegadores web cuentan con esta funcionalidad. Su investigación reveló cadenas de redireccionamiento procedentes del dominio «gstatic» de Google que conducían al sitio web del autor del ataque con el fin de distribuir malware.
Actualización falsa de un complemento
Se redirige a la víctima y se le hace creer que necesita una actualización de software, con lo que acaba descargando el malware que se hace pasar por una actualización de un complemento. La propia página web se presenta ante la víctima como un sitio legítimo de actualizaciones de software, utiliza una conexión HTTP con un certificado TLS válido y la propia carga útil cuenta con firma digital. Si la víctima hace clic para instalar la actualización, recibirá instrucciones para llevar a cabo la descarga de tal forma que se eludan las medidas de seguridad de Windows.
Análisis de malware
- Descargador STATICPLUGIN: El archivo AdobePlugins.exe descargado anteriormente es un descargador de malware de primera fase firmado con un certificado válido. Google ha determinado que el código binario fue firmado el May 9th, 2025 y que ya no está activo. Este programa de descarga de STATICPLUGIN utiliza un TForm personalizado para simular que es un instalador de Microsoft Visual C++ 2013. Tras instalar los archivos adicionales, CANONSTAGER se ejecuta mediante la carga lateral de DLL.
- Lanzador CANONSTAGER: El objetivo de CANONSTAGER es ejecutar la carga útil cifrada. Esta carga útil se denomina SOGU.SEC y es una variante de SOGU. El lanzador utiliza un algoritmo de hash de API personalizado y almacenamiento local de subprocesos, oculta su código de lanzador en un procedimiento de ventana personalizado e implementa SOGU.SEC.
- Puerta trasera SOGU.SEC: Se sabe que el malware SOGU es utilizado por UNC6384. Puede recopilar información del sistema, cargar y descargar archivos desde su C2, y ejecutar un shell de comandos remoto.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Para que el espionaje sea eficaz, no siempre es necesario recurrir a vulnerabilidades de día cero. Como demuestra esta campaña, los autores de las amenazas también recurren a estrategias como la ingeniería social, el secuestro de tráfico y las técnicas de «living-off-the-land» para eludir las defensas y alcanzar sus objetivos.
Esta cadena de ataque, que se basa en gran medida en el comportamiento del navegador y en una redirección a un portal de acceso controlado, suscita preocupaciones adicionales entre los destinatarios, especialmente entre aquellos que trabajan en entornos que no son tan seguros, como hoteles o congresos.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, y inicie una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
