En el resumen de esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium ofrece los últimos datos sobre Luna Moth, un grupo dedicado al robo de datos con fines de extorsión que está atacando activamente a instituciones jurídicas y financieras con sede en Estados Unidos. A continuación, nuestro equipo de CTI analiza una campaña llevada a cabo por el grupo de ciberamenazas Venom Spider, que tiene como objetivo a los responsables de contratación y a los reclutadores mediante correos electrónicos de spear-phishing. Por último, el equipo analiza la última versión de un conocido malware de robo de información denominado StealC.
La polilla luna supone una amenaza para las organizaciones estadounidenses
Según , un nuevo estudio de EclecticIQ (se abre en una nueva pestaña), Luna Moth está intensificando sus campañas de phishing mediante llamadas de respuesta y está atacando activamente a organizaciones de EE. UU.
En la actualidad, el grupo está captando a sus víctimas llamando a números de teléfono falsos de servicio de asistencia técnica y engañándolas para que instalen herramientas de supervisión y gestión remotas (RMM).
¿Quién es Luna Moth?
Luna Moth (también conocida como Silent Ransom Group, UNC3753 y Storm-0252) es una sofisticada operación de ciberdelincuencia especializada en el robo de datos y la extorsión.
EclecticIQ considera que Luna Moth lleva a cabo ataques de phishing mediante devoluciones de llamada a un ritmo acelerado desde el March 2025. El grupo tiene como objetivo específico organizaciones jurídicas y financieras en todo el territorio de los Estados Unidos.
Las campañas relacionadas con la polilla Luna suelen comenzar con un correo electrónico de phishing del tipo « » ( ), cuyo objetivo es engañar al destinatario para que llame a un número falso de servicio de asistencia técnica. Una vez en línea con la víctima, el operador se hace pasar por un miembro del personal de TI y le pide que instale herramientas RMM legítimas.
EclecticIQ señala que los atacantes han registrado dominios a través de GoDaddy que se hacen pasar por empresas estadounidenses, una táctica que refuerza el aspecto de ingeniería social mediante una estrategia conocida como «typosquatting».
Uso indebido de los servicios de GoDaddy
EclecticIQ considera que Luna Month ha registrado al menos 37 dominios en GoDaddy para llevar a cabo esta última oleada de phishing mediante llamadas de respuesta. Estos dominios se hacen pasar por servicios de asistencia informática o portales de soporte de diversos bufetes de abogados y entidades financieras estadounidenses. El formulario «Contacte con nosotros» de estos sitios web solicitará al visitante su nombre, su dirección de correo electrónico y un breve mensaje, lo que permite al atacante obtener información básica de reconocimiento.
Luna Moth está haciendo un uso indebido de la infraestructura de GoDaddy y la está utilizando para enviar correos electrónicos de confirmación automáticos desde «confirmations@godaddy[.]com» a quienes introducen sus datos en el formulario de contacto. Cuando la víctima hace clic en el enlace de este correo electrónico de confirmación, el atacante sabe que debe realizar la llamada de seguimiento a la víctima.
EclecticIQ también observó que Luna Moth utilizaba Reamaze, una plataforma de chat en directo que utiliza GoDaddy. El grupo lo está utilizando para integrar chatbots con inteligencia artificial en algunas de sus páginas de phishing que imitan las interacciones con el servicio de asistencia informática.
[Lea también: 12 términos sobre IA que usted (y su chatbot coqueto) ya debería conocer]
Luna Moth suele intentar crear una sensación de urgencia afirmando que un problema requiere atención inmediata e intenta engañar a las víctimas para que instalen herramientas de gestión remota (RMM). Luna Moth también utiliza herramientas de gestión remota (RMM), entre las que se incluyen Syncro, SuperOps, Zoho Assist, Atera, AnyDesk y Splashtop. Tras instalar una de estas herramientas, el atacante puede comenzar a sustraer datos. Para extraer datos, utilizan herramientas como WinSCP y Rclone.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
A juzgar por los análisis de EclecticIQ, queda claro que Luna Moth se está sumando a la tendencia de los servicios de asistencia informática falsos para llevar a cabo sus ataques de exfiltración de datos.
Este grupo está utilizando la combinación adecuada de ingeniería social y herramientas legítimas para pasar desapercibido. Se anima a las organizaciones a que refuercen la formación y la sensibilización de sus empleados sobre Luna Moth para prevenir los ataques.
Venom Spider se dirige a los responsables de selección de personal y a los reclutadores
Arctic Wolf ha observado recientemente (se abre en una nueva pestaña) una campaña llevada a cabo por el grupo de ciberamenazas Venom Spider dirigida a responsables de contratación y seleccionadores de personal a través de correos electrónicos de spear-phishing.
El grupo está utilizando servicios de mensajería y plataformas de empleo legítimos para solicitar puestos de trabajo, enviando currículos diseñados para propagar malware. Además, están utilizando una estrategia conocida como «polimorfismo de servidores» para distribuir las cargas maliciosas.
Araña venenosa: una breve descripción general
Venom Spider es un grupo malicioso con fines económicos que ataca a organizaciones a través de ofertas de empleo publicadas en sitios web de terceros, como LinkedIn.
El grupo ha estado muy activo durante los últimos años. Sin embargo, recientemente han intensificado sus esfuerzos, dirigiéndose directamente a los responsables de selección de personal y a los directores de recursos humanos mediante enlaces de phishing maliciosos que simulan proceder de personas que buscan empleo.
Según Arctic Wolf, los enlaces de phishing suelen conducir a sitios web maliciosos que alojan los currículos maliciosos. Venom Spider intentará introducir el malware «More_eggs» en esta cadena de infección.
Comprensión del vector de ataque de Venom Spider
El ataque comienza con un correo electrónico de spear-phishing enviado al responsable de selección de personal o al director de contratación. Este correo electrónico contiene un enlace para descargar el currículum del candidato. En la página web, el visitante debe marcar una casilla de CAPTCHA antes de descargar el currículum. El currículum se descarga como un archivo ZIP que contiene un archivo LNK malicioso y un archivo de imagen. El archivo LNK constituye la carga útil de la primera etapa.
Arctic Wolf informa de que la infraestructura del actor admite el polimorfismo de servidores, lo que significa que se genera un nuevo archivo LNK con cada descarga para modificar la ofuscación del código y el tamaño del archivo.
El archivo LNK, en última instancia, ejecuta código para iniciar WordPad como distracción para la víctima, haciéndole creer que se está abriendo el currículum prometido, mientras que, en secreto, inicia la utilidad de Windows %windir%\system32\ie4uinit.exe para ejecutar comandos del archivo ieuinit.inf, que contiene una URL que conduce a una página HTML con una carga útil de JavaScript muy ofuscada.
¿Cómo funciona la biblioteca «More_eggs_Dropper»?
Tras la fase anterior, el código JavaScript crea una biblioteca ejecutable a la que Arctic Wolf denomina «More_eggs_Dropper». La biblioteca utiliza código que genera código JavaScript de forma polimórfica. Su ejecución se produce con un retraso, lo que dificulta su análisis por parte de los entornos de pruebas. Además, al ejecutarse, crea varios archivos, entre los que se incluyen:
- Uno de los archivos es un ejecutable legítimo de Windows denominado «msxsl.exe» que ejecuta archivos XML que contienen código JavaScript, una técnica que, según señala Arctic Wolf, ha sido utilizada por Venom Spider en el pasado.
- Otro archivo crea el «More_eggs_dropper» y ejecutará la carga útil principal.
Una vez ejecutados estos scripts, el dropper se elimina. El dropper generará una nueva carga útil de JavaScript cada vez que se ejecute y está muy ofuscado.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Venom Spider es uno de los diversos actores que tienen como objetivo a los responsables de selección de personal y a los departamentos de recursos humanos. Muchos de estos grupos utilizan métodos de ataque similares, ya sea mediante spear phishing o a través de contactos en plataformas como LinkedIn, lo que facilita la labor de informar a estas personas sobre los aspectos a los que deben prestar atención.
La investigación de Arctic Wolf también reveló una «inversión continua en el desarrollo y el mantenimiento» de la puerta trasera característica de este grupo, lo que indica que este grupo concede especial importancia tanto a la ingeniería social como al malware.
La nueva versión de StealC V2 incluye mejoras en el modo sigiloso y herramientas para el robo de datos
Recientemente se ha lanzado una nueva versión del popular programa de robo de información StealC. Zscaler ha analizado (se abre en una nueva pestaña) la última versión y ha destacado varias actualizaciones clave, entre las que se incluyen un protocolo de comunicación C2 optimizado, el uso del cifrado RC4 , opciones mejoradas de entrega de carga útil, un generador integrado y capacidades mejoradas para la protección contra el robo de datos.
Acerca de StealC V2
StealC V2 se lanzó por primera vez en « March 2025». Utiliza un protocolo de red basado en JSON con cifrado RC4 en sus últimas variantes y ahora admite opciones adicionales de cargador de malware para distribuir paquetes MSI y scripts de PowerShell.
La nueva versión también incluye un panel de control rediseñado, la posibilidad de realizar capturas de pantalla en varios monitores, un gestor de archivos unificado y funciones de ataque por fuerza bruta del lado del servidor.
Durante la primera ejecución, esta versión descifrará las cadenas importantes utilizando una clave RC4 predefinida.
Además, comprobará la fecha de caducidad y se cerrará automáticamente si es necesario. Además, comprobará que no haya ninguna instancia duplicada de sí misma en ejecución.
Diferencias clave entre las versiones de StealC
Aunque StealC V2 se lanzó en March 2025, desde entonces se han presentado varias versiones nuevas. En el momento de la publicación, la última versión es la 2.2.4.
StealC V2 ya puede descargar y ejecutar tres tipos de cargas útiles, entre las que se incluyen archivos .exe, paquetes MSI y scripts de PowerShell.
En cuanto a su protocolo de comunicación en red, StealC V2 utiliza solicitudes y respuestas basadas en JSON para la comunicación C2 . El servidor C2 también puede aceptar cuatro tipos de operaciones, entre las que se incluyen «create», «upload», «done» y «loader», siendo «create» siempre la primera solicitud para registrar la infección. La respuesta que envíe el servidor C2 determinará el comportamiento y las tareas del malware. El panel de control rediseñado ahora también incluye un generador integrado.
El análisis de Zscaler también ha puesto de manifiesto algunas conclusiones importantes sobre la infraestructura de StealC V2’s en comparación con versiones anteriores de StealC:
- En primer lugar, el componente de compilación requiere una actualización de versión que se encuentra en un archivo ZIP y que debe cargarse, de modo que no sea posible utilizar versiones antiguas.
- Asimismo, se comprobó que el panel de control admite la integración de bots de Telegram, el envío de contenidos según reglas predefinidas, la subida de archivos, el bloqueo basado en direcciones IP y otras funciones.
- Además, el generador está integrado en el panel. Esto permite al operador crear fácilmente reglas para la cargadora y la pinza.
- Estas nuevas versiones incluyen una mejor ofuscación, cifrado RC4 , la resolución de todas las funciones de la API en tiempo de ejecución, una descarga mejorada de las cargas útiles y otras novedades.
- La última versión también incluye una rutina de autodestrucción.
Todavía se encuentra en fase de desarrollo y se publican nuevas actualizaciones con regularidad.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La última versión de StealC incluye varias mejoras. Esta última versión no solo incorpora nuevas capacidades de ocultación, sino que además está evolucionando rápidamente, con nuevas versiones lanzadas desde marzo.
Zscaler señala que StealC suele utilizarse junto con otras familias de malware, lo que lo hace aún más peligroso.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « » en.
