Esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium inicia el resumen con un análisis de un sofisticado ataque a la cadena de suministro en el que intervienen dos paquetes maliciosos de Python. A continuación, nuestro equipo investiga PipeMagic, un marco modular de puertas traseras camuflado como una aplicación de escritorio de ChatGPT. Por último, concluimos con una visión general de «Noodlophile Stealer», una campaña de malware en rápida evolución.
Unos investigadores descubren paquetes de Python maliciosos
Zscaler ThreatLabz ha descubierto un sofisticado ataque a la cadena de suministro que afectaba a los paquetes de Python termncolor y colorinal, y que desplegaba malware en varias fases mediante cargas útiles cifradas con AES en modo CBC e inyección de DLL.
Este incidente pone de manifiesto el riesgo cada vez mayor que suponen las dependencias maliciosas en los ecosistemas de código abierto y la necesidad de llevar a cabo una verificación rigurosa de los paquetes.
Detección de paquetes maliciosos
Zscaler descubrió que termncolor importaba un paquete adicional denominado colorinal.
Zscaler afirma que termncolor «funciona como una utilidad de color para Python sin mostrar ningún comportamiento malicioso». El hecho de que incluyera la dependencia « » de colorinal hacía que resultara sospechoso.
Investigación de expedientes
Zscaler ha detectado un archivo denominado « unicode.py» dentro del paquete « colorinal» . Aunque en un primer momento parece ser un script de utilidades de color, en realidad carga una DLL incrustada (terminate.dll) para desplegar la carga útil del malware. El malware elimina tanto terminate.dll como unicode.py para dificultar su detección y análisis.
A continuación se explica cómo se desarrolla el ataque:
- Primera fase: La primera fase se activa cuando se ejecuta el archivo
terminate.dll. Una de las funciones principales de la DLL es descifrar la carga útil incrustada y almacenar dicha carga útil descifrada en el directorio%LOCALAPPDATA%\vcpacket.
Zscaler señala que esta ubicación también se utiliza como área de preparación para archivos adicionales de la siguiente fase, incluidos dos ejecutables que se utilizan posteriormente para la carga lateral de la DLL. El malware logra la persistencia mediante la creación de entradas en el registro y demuestra su capacidad multiplataforma, con una variante diseñada específicamente para Linux. - Segunda fase: La segunda fase comienza cuando se ejecuta un archivo denominado «
» o «libcef.dll». Según Zscaler, se trata de «el principal componente malicioso que se instala en la primera fase». Esta DLL permite que el malware se comunique con el servidor de comando y control (C2). Se ha observado que el malware utiliza la plataforma de mensajería para equipos Zulip con el fin de camuflar su actividad como comunicaciones potencialmente legítimas. El malware envía los datos recopilados al canal de Zulip; a continuación, resuelve las API y ejecuta el código shell obtenido del autor de la amenaza.
El malware resuelve las API con la ayuda de un método de hash personalizado, probablemente destinado a ofuscar los nombres de las DLL y las API en operaciones de malware de bajo nivel.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Este ataque pone de manifiesto la creciente frecuencia y sofisticación de las amenazas a la cadena de suministro, especialmente aquellas que se aprovechan de ecosistemas de confianza como PyPI y otros repositorios.
Zscaler destaca técnicas como el uso de binarios legítimos para la carga lateral de DLL y las cargas útiles cifradas, que pueden dificultar la detección y que, a menudo, requieren un análisis de comportamiento y una búsqueda de amenazas que van más allá de las detecciones basadas en firmas.
Aunque los paquetes ya se han eliminado de PyPI, estos ataques sirven para recordarnos lo fundamental que es conocer las dependencias de su organización.
PipeMagic se hace pasar por una aplicación de escritorio de ChatGPT
Microsoft ha emitido una advertencia a sobre PipeMagic, un marco modular de puertas traseras utilizado por el actor malicioso Storm-2460 que se disfraza de aplicación de escritorio de ChatGPT y aprovecha una vulnerabilidad de día cero de Windows para desplegar ransomware.
PipeMagic utiliza tuberías con nombre cifradas y listas enlazadas para gestionar las cargas útiles, la ejecución y la comunicación C2 , lo que lo convierte en un programa altamente evasivo y peligroso.
Storm-2460 y PipeMagic
Según Microsoft, el grupo de ciberamenazas Storm-2460 ha utilizado PipeMagic en varias ocasiones, concretamente durante las actividades previas a la explotación de los ataques relacionados con CVE-2025-29824.
Se ha observado que el grupo descargaba un archivo de un sitio web legítimo, aunque comprometido, que aloja el malware de dicho actor. Este archivo descargado es un archivo MSBuild encargado de cargar y ejecutar PipeMagic en memoria. Una vez que se ejecuta en el dispositivo, el atacante utiliza la vulnerabilidad del Sistema Común de Archivos de Registro de Windows (CLFS) para elevar sus privilegios y ejecutar su ransomware.
PipeMagic se inicia como un dropper en memoria camuflado como una aplicación de escritorio de ChatGPT. Para ello, el autor utiliza una versión modificada del proyecto de GitHub que contiene PipeMagic como carga útil integrada. PipeMagic se comunica con su C2 a través de TCP y recibe módulos a través de una tubería con nombre.
Estructuras de listas enlazadas internas
Microsoft identificó cuatro estructuras distintas de listas doblemente enlazadas que utiliza PipeMagic para gestionar los módulos en memoria:
- Una lista enlazada de cargas útiles que almacena los módulos de carga útil.
- Una lista enlazada de ejecución que contiene los módulos de carga útil que se han cargado correctamente y que, por lo tanto, están listos para su ejecución.
- Una lista enlazada de red que contiene módulos de red para la comunicación C2 .
- Una lista desconocida, cuya función no está clara. Microsoft considera que «se activa de forma dinámica mediante las cargas útiles cargadas, y no por la propia lógica central de la puerta trasera».
Rellenar la lista enlazada de cargas útiles
Como se ha señalado, la lista enlazada de cargas útiles se utiliza para gestionar los módulos de carga útil. Antes de inicializar la lista, el malware genera un identificador aleatorio para el bot del host y, a continuación, crea una tubería con nombre para la entrega de la carga útil.
Este canal bidireccional permite operaciones de lectura y escritura entre el propio malware y el mecanismo de entrega de la carga útil. El malware permanece a la escucha en la tubería con nombre para recibir módulos de carga útil, asigna memoria y los añade a la lista enlazada de carga útil.
Configuración del malware
PipeMagic utiliza una configuración estructurada para gestionar los modos de prueba, las direcciones C2 y otros parámetros operativos.
Dispone de un modo de simulación que reproduce C2 interacciones sin necesidad de conexiones de red activas. El malware cuenta con varios bloques de configuración que contienen elementos como la dirección C2 .
Módulo de redes
Para comunicarse con el C2, el malware utiliza el módulo de red de la lista enlazada de red. Rellena las listas con notas de módulos, cada una de las cuales contiene un módulo ejecutable para la comunicación C2 .
Microsoft descubrió que los datos del módulo de red estaban integrados directamente en el archivo binario de la puerta trasera. Cuando se inicie el módulo de red, exportará y registrará tres funciones: una para enviar datos al C2, otra para devolver un valor constante y otra para establecer una señal de parada que ordene «tanto a la puerta trasera como al módulo de red que interrumpan todas las comunicaciones con el C2 ».
Recopilación de información
El malware recopila una amplia variedad de información para enviarla a su servidor C2 . Parte de esta información incluye el nombre del ordenador, el nombre NetBIOS del dominio, el nombre de dominio del usuario, la dirección IP del host y el directorio de trabajo actual del malware.
Toda la información se remite al C2. Cuando el malware reciba una respuesta del C2, analizará los datos para interpretar el comando. El comando indica a la puerta trasera qué debe hacer a continuación, lo que incluye ejecutar su funcionalidad principal, desactivar el módulo de red para interrumpir la comunicación e invocar todos los módulos.
Funcionalidades de puerta trasera
Uno de los comandos que Microsoft considera más importantes es el código 0x1. Este archivo contiene los comandos y los argumentos que proporcionan a PipeMagic lo necesario para llevar a cabo sus operaciones de puerta trasera.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Storm-2460’s use of linked lists for payload management, execution, and communication demonstrates a high level of sophistication and discipline. Es probable que el grupo cuente con recursos considerables.
PipeMagic se hace pasar por una aplicación de escritorio de confianza para ChatGPT. Esto pone de manifiesto una vez más que los autores de amenazas suelen utilizar señuelos y temas relacionados con lo que está de moda en cada momento, en este caso la IA, para aumentar las probabilidades de que las infecciones tengan éxito.
Como siempre, Microsoft ofrece consejos útiles sobre medidas de mitigación y protección , junto con las detecciones de Defender.
Noodlophile Stealer ataca a las empresas a través de las redes sociales
Un informe reciente de Morphisec analiza «Noodlophile Stealer», una campaña de malware en rápida evolución que utiliza correos electrónicos de phishing altamente dirigidos y en varios idiomas, con temática relacionada con los derechos de autor , para comprometer a empresas con una fuerte presencia en las redes sociales.
Según Morphisec, Noodlophile Stealer utiliza técnicas avanzadas de evasión y la distribución de cargas útiles a través de Telegram para sustraer credenciales, datos financieros e información del sistema, al tiempo que se prepara para futuras funcionalidades, como el registro de pulsaciones de teclas y el cifrado de archivos.
La campaña «Noodlophile» lleva más de un año en marcha. La campaña utiliza correos electrónicos de spear-phishing que se hacen pasar por avisos de infracción de derechos de autor y que incluyen datos de reconocimiento personalizados, como los identificadores de páginas de Facebook e información sobre la titularidad.
La campaña se dirige principalmente a organizaciones de Estados Unidos, Europa, los países bálticos y la región de Asia-Pacífico. Los correos electrónicos se envían a empleados concretos o a direcciones genéricas que suelen comenzar por «info@» o «support@».
El señuelo
Esta campaña envía correos electrónicos sobre infracciones de derechos de autor relacionados con páginas de Facebook, con el objetivo de aprovecharse indebidamente de la confianza que las organizaciones pueden tener en Facebook, especialmente aquellas con una fuerte presencia en las redes sociales.
Estos correos electrónicos suelen proceder de cuentas de Gmail y combinan un tono de urgencia con amenazas legales para presionar a la víctima a fin de que haga clic en enlaces o archivos maliciosos. Morphisec señala que la campaña utiliza contenido multilingüe, entre los que se incluyen el inglés, el español, el polaco y el letón.
Mecanismo de entrega
Las campañas anteriores de Noodlophile utilizaban plataformas de IA falsas. Sin embargo, la última versión distribuye cargas maliciosas a través de aplicaciones legítimas y firmadas que son vulnerables a la carga lateral de DLL.
Las cargas útiles se envían a través de enlaces de Dropbox enmascarados con redireccionamientos de TinyURL. Los archivos contienen elementos camuflados, como scripts por lotes con nombres de archivos .docx o archivos SFX que se hacen pasar por archivos .png.
Etapificación intermedia
Tras llevar a cabo la instalación paralela de la DLL, la campaña recurre a una etapa intermedia para «servir de puente entre la ejecución inicial y la implementación del programa de robo de datos definitivo».
Las DLL cargadas previamente cambian el nombre de los archivos comprimidos para que parezcan tener los formatos .pptx, .docx o .pdf, revelando así los verdaderos scripts BAT y los intérpretes de Python. Los scripts BAT se utilizan para establecer la persistencia mediante la creación de entradas en el registro y la descarga de archivos adicionales desde servidores remotos.
Análisis de la carga útil
Morphisec señala que los scripts están más ofuscados que antes. En lugar de descargar directamente la siguiente fase, «extraerán una URL de la descripción de un grupo de Telegram, lo que permitirá la ejecución dinámica de la carga útil». El programa malicioso final se aloja en plataformas gratuitas para dificultar su detección y su eliminación.
Un análisis detallado de la evolución de Noodlophile Stealer
En el código fuente de Noodlophile Stealer, Morphisec ha identificado funciones que revelan cómo está evolucionando rápidamente este malware, así como sus planes para introducir mejoras en el futuro.
Entre las funciones no implementadas que observaron se encuentran la captura de pantallas, el registro de pulsaciones de teclas, la extracción de archivos, la supervisión de procesos, la comprobación de extensiones del navegador y mucho más.
En la actualidad, el malware recopila datos del navegador —como credenciales, información del sistema y detalles del entorno— y es compatible con Chrome, Brave, Edge, Opera y otros navegadores.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El atacante ha dejado de lado el phishing genérico para centrarse en técnicas de ingeniería social personalizadas . Este enfoque requiere más trabajo de reconocimiento para crear señuelos creíbles.
La campaña también utiliza contenido de phishing adaptado a diferentes idiomas, lo que sugiere que el autor podría estar utilizando herramientas de inteligencia artificial para la traducción y la personalización automáticas. En conjunto, estas tácticas pueden, sin duda, hacer que el phishing resulte más sencillo y eficaz a mayor escala.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de .
