En el resumen de esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium analiza una amenaza cibernética planteada por un actor identificado como «Marbled Dust». A continuación, nuestro equipo de CTI destaca una sofisticada campaña de phishing que utiliza el malware Horabot. Por último, el equipo analiza un cambio reciente en el comportamiento de los ataques por parte del actor malicioso TA406, patrocinado por el Estado norcoreano.
Marbled Dust aprovecha una vulnerabilidad de día cero en Output Messenger
Microsoft ha publicado recientemente (se abre en una nueva pestaña) información sobre una ciberamenaza provocada por un actor malicioso conocido como «Marbled Dust».
Según Microsoft, el autor ha estado aprovechando una vulnerabilidad de tipo « » de día cero (CVE-2025-27920) en la aplicación Output Messenger. Hasta ahora, esta vulnerabilidad se ha dirigido principalmente a cuentas de usuarios en Irak con fines de espionaje regional.
Lo que debe saber sobre el polvo marmolado
Marbled Dust es un grupo de espionaje vinculado a Turquía que, según se sabe, ataca a organizaciones de Europa y Oriente Medio.
El grupo ha utilizado tácticas como el secuestro de DNS y malware avanzado, dirigiendo sus ataques contra organismos gubernamentales, grupos políticos kurdos, entidades de telecomunicaciones, proveedores de servicios de Internet, proveedores de servicios informáticos y organizaciones de los medios de comunicación y del entretenimiento.
Recientemente, Marbled Dust ha comenzado a aprovechar vulnerabilidades de día cero para distribuir archivos maliciosos y sustraer datos de las cuentas afectadas.
¿En qué consiste la vulnerabilidad de día cero de Output Messenger?
La aplicación «Output Messenger Server Manager» presenta una vulnerabilidad de recorrido de directorios que permite a un usuario no autenticado cargar archivos en el directorio de inicio.
Tal y como señala Microsoft, una vez que el atacante consigue acceder al servidor, puede «aprovechar la arquitectura del sistema Output Messenger para obtener acceso indiscriminado a las comunicaciones de todos los usuarios, sustraer datos confidenciales y suplantar la identidad de los usuarios, lo que podría dar lugar a interrupciones operativas, acceso no autorizado a los sistemas internos y una filtración generalizada de credenciales». La vulnerabilidad afecta a las versiones anteriores a la 2.0.63.
Microsoft identificó la vulnerabilidad de día cero y se lo notificó a Srimax, el desarrollador de Output Messenger, quien posteriormente publicó una actualización de software. Asimismo, se identificó y se corrigió otra vulnerabilidad (CVE-2025-27921), aunque no se ha producido ningún caso de explotación de la misma.
¿Cómo funciona la cadena de ataque de Marbled Dust?
- Acceso a Output Messenger: La cadena de ataque iniciada por el actor malicioso «Marbled Dust» comienza con la obtención de acceso a la aplicación «Output Messenger Server Manager» como usuario autenticado. Aunque no se conoce con exactitud el método utilizado para obtener las credenciales de autenticación, Microsoft considera que es probable que Marbled Dust utilice el secuestro de DNS o dominios con errores ortográficos para interceptar, registrar y reutilizar las credenciales. Estas técnicas se han observado en sus actividades maliciosas anteriores.
- Explotación CVE-2025-27920: Una vez autenticado, Marbled Dust aprovecha la vulnerabilidad CVE-2025-27920 . Esta vulnerabilidad permite a un usuario autenticado introducir archivos maliciosos en el directorio de inicio del servidor. El autor del ataque coloca los archivos maliciosos «OM.vbs» y «OMServerService.vbs» en la carpeta de inicio del servidor de Output Messenger y coloca el archivo OMServerService.exe en el directorio «Usuarios/público/vídeos» del servidor.
- Llamada a OM.vbs: El ataque continúa cuando OMServerService.vbs llama a «OM.vbs», que a su vez se pasa a «OMServerService.exe» como argumento. No se pudo analizar el archivo «OM.vbs». Sin embargo, se identificó «OMServerService.exe» como una puerta trasera escrita en GoLang que se hacía pasar por un archivo legítimo. En algunos casos, Microsoft observó que el proceso «OMServerService.exe» se conectaba a un dominio predefinido, «api.wordinfos[.]com», con el fin de extraer datos.
- Instalación de un ejecutable: En el lado del cliente, el instalador extraerá y ejecutará tanto el archivo legítimo como un ejecutable malicioso. El ejecutable malicioso es una puerta trasera que establece una conexión con un servidor de comando y control (C2).
- Exfiltración de datos: . En al menos un caso observado, se detectó que un dispositivo afectado que tenía instalado el software cliente «Output Messenger» se conectaba a una dirección IP atribuida al actor, probablemente con el fin de exfiltrar datos. Microsoft señala que estas conexiones coinciden con el hecho de que el autor de la amenaza envíe órdenes para recopilar archivos con distintas extensiones y guardarlos en un archivo RAR en el escritorio.
[Lea también: ¿Qué es la prevención de la pérdida de datos? [Y por qué lo necesita]
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Microsoft destaca que el uso de una vulnerabilidad de día cero supone un cambio notable para Marbled Dust, lo que indica que el grupo está adquiriendo mayor sofisticación.
Aunque este ataque se dirige principalmente contra Irak, el grupo ya ha atacado anteriormente a entidades de otros países, lo que hace que su mayor sofisticación resulte aún más preocupante.
Como siempre, Microsoft ha incluido recomendaciones (se abre en una nueva pestaña), detecciones y consultas de búsqueda para ayudar a identificar esta amenaza.
Una sofisticada campaña de phishing utiliza el malware Horabot
Según Fortinet (se abre en una nueva pestaña), una sofisticada campaña de phishing está utilizando actualmente el malware Horabot.
Se sabe que este malware utiliza correos electrónicos de phishing que se hacen pasar específicamente por facturas o documentos financieros. Horabot utiliza la automatización COM de Outlook para enviar mensajes de phishing, lo que le permite desplazarse lateralmente .
¿Qué contiene el correo electrónico de phishing?
El ataque « » comienza con un correo electrónico de phishing que contiene un archivo adjunto; tanto el correo como el archivo están redactados en español.
El correo electrónico simula proceder de un remitente legítimo de México y utiliza un asunto relacionado con una factura adjunta. El archivo adjunto, que se presenta como una factura en formato PDF que hay que abrir, es en realidad un archivo ZIP que contiene un archivo HTML malicioso.
Los datos descodificados que contiene el archivo HTML son, a su vez, un archivo HTML que requiere una URL remota para descargar la siguiente carga útil, que es un archivo ZIP. Este archivo ZIP contiene un archivo HTA con numerosas cadenas sin utilizar y una etiqueta «moveTo(7426, 6245)» para cambiar la posición de la ventana del navegador. A continuación, carga un script para inyectar un VBScript externo, que se añade al elemento HTML.
Comprender la función de VBScript
Tal y como señala Fortinet, el VBScript implementará una «rutina personalizada de decodificación de cadenas mediante el procesamiento de cada dos caracteres, la realización de transformaciones matemáticas y la reconstrucción de cadenas ocultas, como direcciones URL, comandos de PowerShell u otras instrucciones». La primera tarea principal del script consiste en la detección y eludir las medidas de seguridad del entorno, lo que incluye comprobaciones antivirus, comprobaciones de máquinas virtuales y medidas específicas para eludir la detección en dispositivos denominados «JOHN-PC».
El script también se asegurará de que exista la carpeta necesaria para evitar una reinfección, recopilará y extraerá información básica de la víctima, preparará el entorno para AutoIt descargando cargas útiles y preparará el entorno para PowerShell creando un script por lotes. El script establecerá la persistencia, eliminando determinados tipos de archivos de las carpetas «%Startup%» y «%AppData%» y creando un nuevo archivo LNK que apunte a los archivos ocultos que se hayan colocado allí. Por último, ejecutará los accesos directos creados.
¿Para qué se utilizan el script de AutoIt y el troyano bancario?
El script de AutoIt, que se utiliza para el descifrado, revela un archivo DLL malicioso diseñado para recopilar información del equipo de la víctima y enviar dichos datos al servidor C2 . A continuación, el malware sustrae datos relacionados con el navegador y los envía al servidor remoto. Horabot también supervisará el comportamiento de las víctimas, mostrando ventanas emergentes falsas diseñadas para sustraer credenciales.
Cómo automatiza Horabot su campaña de correo electrónico masivo
Un script de destino del VBScript anterior tiene como objetivo ejecutar scripts adicionales en el servidor remoto. Tal y como explica Fortinet, estos archivos «pueden llevar a cabo un ciclo completo que abarca la elaboración de una lista de víctimas, la automatización del correo electrónico y la entrega eficaz de la carga útil de Horabot». El malware cerrará las instancias de Outlook que estén en ejecución para asegurarse de que puede iniciar el programa mediante un objeto COM. Tras crear un objeto «Outlook.Application», se inicializa una lista vacía para recopilar direcciones de correo electrónico y se define una lista de dominios bloqueados.
A continuación, otro script generará una lista de direcciones de correo electrónico, mientras que otro script guardará las direcciones recopiladas y las enviará a un servidor externo. Otros scripts crearán y enviarán un correo electrónico que contenga facturas falsas y, a continuación, eliminarán los archivos relacionados. El malware también utiliza Outlook para enviarse a sí mismo a más víctimas.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Horabot utiliza Outlook para pasar desapercibido y simular un comportamiento normal, lo que lo distingue de otros tipos de malware. Esto hace que sea más difícil de identificar.
Como siempre ocurre con el phishing, la formación de los usuarios es fundamental, sobre todo porque esta campaña utiliza tácticas de phishing habituales y tradicionales.
TA406 modifica su estrategia de segmentación
Una entrada reciente del blog de Proofpoint (se abre en una nueva pestaña) pone de relieve un cambio significativo en el comportamiento de selección de objetivos de TA406.
Proofpoint informa de que TA406 está utilizando ahora remitentes de correo electrónico gratuito que suplantan la identidad de personas legítimas para engañar a la víctima y que esta interactúe con el señuelo. El grupo lleva distribuyendo programas de robo de credenciales y diversos tipos de malware en sus campañas de phishing desde el February 2025.
En febrero, la unidad TA406 también comenzó a centrar sus esfuerzos en entidades gubernamentales de Ucrania con el fin de recabar información sobre la campaña de Rusia.
¿Cómo funciona la distribución del malware TA406 ?
Históricamente, TA406 ha preferido utilizar archivos HTML y CHM para ejecutar PowerShell incrustado e instalar malware. En el informe « February 2025», Proofpoint observó que el autor se hacía pasar por un investigador principal ficticio vinculado a un centro de estudios ficticio. El correo electrónico incluía un enlace al servicio de alojamiento de archivos MEGA, lo que permitía a los usuarios descargar un archivo protegido con contraseña. El archivo es un archivo RAR que, tras ser descifrado y ejecutado, iniciará la cadena de infección utilizando PowerShell para llevar a cabo un reconocimiento. El grupo envió varios correos electrónicos de phishing seguidos durante varios días, después de que la víctima a la que iban dirigidos no hiciera clic en el enlace original.
El archivo contiene un archivo CHM que incluye archivos HTML adicionales. Los archivos HTML mostrarán contenido engañoso a la víctima a la que van dirigidos. Se ejecutará un script de PowerShell incluido en el código HTML si la víctima hace clic en distintos lugares de esa página. Esto descargará y ejecutará más comandos de PowerShell para recabar información sobre el equipo de la víctima.
A continuación, la información recopilada se envía al atacante. Para garantizar la persistencia, el autor de la amenaza instala a continuación un archivo por lotes (que se instala como archivo de ejecución automática), el cual se ejecuta al iniciar el sistema.
¿Se trata de la recopilación de credenciales TA406 ?
Antes de que el grupo pusiera en marcha sus campañas de malware, Proofpoint observó que el actor intentaba obtener credenciales mediante el envío de alertas de seguridad falsas de Microsoft.
Estos correos electrónicos de phishing intentan engañar a la víctima para que haga clic en un enlace con el fin de verificar su identidad. Los investigadores aún no han podido acceder a la página real de suplantación de identidad para el robo de credenciales.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La última actividad del TA406 pone de relieve el interés constante del grupo por la inteligencia geopolítica. Este cambio de enfoque en sus objetivos, de las entidades gubernamentales rusas a las ucranianas, podría indicar un reajuste de las prioridades de los servicios de inteligencia de Corea del Norte.
Lo interesante es el uso de personas ficticias pertenecientes a centros de estudios ficticios, en lugar de intentar suplantar a personas reales.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « » en.
