En primer lugar, en el resumen de esta semana, analizaremos BugSleep, una nueva puerta trasera que el actor estatal iraní MuddyWater está utilizando en su última campaña. A continuación, CTI analiza dos paquetes maliciosos que se han identificado recientemente en el registro de paquetes de npm. Por último, CTI investiga al actor malicioso «Void Banshee», que actualmente está aprovechando una vulnerabilidad recientemente revelada en el motor de navegación MHTML de Microsoft para distribuir el programa de robo de información «Atlantida».
1. MuddyWater despliega el malware BugSleep
El actor estatal iraní conocido como « » (MuddyWater, ; , también conocido como «Mercury»,) está utilizando una nueva puerta trasera denominada «BugSleep» en su última campaña.
BugSleep está diseñado para ejecutar comandos y transferir archivos entre el C2 y el dispositivo afectado. El malware aún se encuentra en fase de desarrollo y recibe actualizaciones de forma continua.
Cómo utiliza MuddyWater los señuelos
Durante sus campañas, MuddyWater suele enviar correos electrónicos de phishing del tipo « » ( ) a un gran número de destinatarios desde una cuenta de correo electrónico comprometida. Desde el February 2024, Check Point ha identificado más de 50 correos electrónicos de spear-phishing dirigidos a más de 10 sectores diferentes y a cientos de destinatarios.
Por ejemplo, una de las estafas se dirigía a los ayuntamientos y les instaba a descargar una nueva aplicación personalizada. Otros incentivos eran mucho más genéricos e incluían invitaciones a seminarios web y otros cursos en línea que podían utilizarse en múltiples sectores y regiones.
La cadena de infección de MuddyWater
El actor hace un uso indebido de la plataforma de intercambio de archivos Egnyte e incluye sus subdominios en sus correos electrónicos de phishing.
Cuando las víctimas hacen clic en estos enlaces compartidos, se les redirige a una página web que contiene un archivo para descargar. El archivo contiene el malware BugSleep.
¿Qué es BugSleep?
BugSleep es un nuevo malware que MuddyWater lleva utilizando desde el May 2024.
BugSleep ha sustituido en parte el uso intensivo que hacía el grupo de herramientas RMM legítimas. Check Point ya ha detectado en el entorno real múltiples versiones diferentes del malware, y cada nueva versión incorpora mejoras y correcciones de errores.
Todas las versiones del malware comienzan con varias llamadas a la API de suspensión para evitar que se ejecuten en un entorno aislado. A continuación, la mayoría de las muestras crean una tarea programada para garantizar la persistencia, lo que asegurará que el malware se ejecute cada 30 minutos.
El malware puede ejecutar varios comandos, entre los que se incluyen el envío del contenido de un archivo al C2, la escritura de contenido en un archivo, la eliminación, creación o consulta del estado de la tarea de persistencia, la actualización del tiempo de inactividad y otras acciones.
Una de las muestras analizadas también incluía un cargador personalizado que carga BugSleep en memoria dentro de uno de los siguientes procesos: msedge.exe, opera.exe, chrome.exe, anydesk.exe, OneDrive.exe y powershell.exe.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
MuddyWater lleva en activo desde, al menos, el año 2017, y no ha dejado de ampliar sus técnicas y su «victimología».
Esta última campaña de MuddyWater pone de manifiesto un cambio en la estrategia del actor. Históricamente, MuddyWater dependía en gran medida del uso de software RMM legítimo para mantener el acceso al entorno.
La investigación de Check Point revela que este actor está probando nuevos métodos de persistencia y nuevo malware, lo que indica que es probable que haya más por venir.
2. Unos investigadores descubren archivos maliciosos en el registro de npm
Recientemente se han identificado dos paquetes maliciosos de « » en el registro de paquetes de npm; estos contenían una sofisticada funcionalidad de comando y control oculta en archivos de imagen que se ejecutaba al instalar el paquete.
Los dos paquetes identificados en esta campaña eran, en ambos casos, clones falsos de paquetes legítimos de AWS .
Los paquetes npm maliciosos
Los dos paquetes maliciosos son el img-aws-s3-object-multipart-copy y el legacyaws-s3-object-multipart-copy.
El primer paquete es una copia del paquete legítimo de AWS que se encuentra en GitHub. El autor de la amenaza actualizó el archivo «index.js» para ejecutar el script «loadformat.js», un script adicional que se añadió al paquete malicioso.
Del procesamiento de imágenes a la ejecución
Phylum (cuya tecnología fue adquirida por Veracode en 2025 , aunque aquí se menciona con su nombre original) analizó Loadformat.js en busca de detalles adicionales y descubrió que cada byte se analiza tras leer el archivo de imagen del disco.
Una vez definidos determinados elementos y variables, se ejecutará todo lo que contenga el script que se extraiga del archivo de imagen.
Mando y control en un archivo JPEG
Phylum intentó averiguar qué archivo ejecutable contenían las imágenes. Identificaron tres archivos en el directorio raíz del paquete, a saber: logo1.jpg, logo2.jpg y logo3.jpg.
Phylum descubrió que el código registrará a un nuevo cliente en el servidor remoto C2 enviando cierta información, como el nombre del servidor y el tipo de sistema operativo, a una dirección IP concreta. A continuación, creará un intervalo para recorrer en bucle y obtener comandos del C2 cada cinco segundos.
Los comandos obtenidos se ejecutarán en el dispositivo y el resultado se enviará de vuelta al autor de la amenaza.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Estos dos paquetes acabaron siendo retirados de npm, pero solo después de haber estado disponibles públicamente durante unos dos días.
Es probable que los riesgos asociados al software de código abierto sigan existiendo siempre, sobre todo porque los autores de amenazas son conscientes de la gran dependencia que tienen las organizaciones respecto a numerosos programas y paquetes de código abierto. Así lo demuestra el enorme aumento del número de paquetes maliciosos publicados en repositorios de código abierto en los últimos años.
Tenga en cuenta que estos paquetes eran clones de paquetes legítimos y no paquetes legítimos que hubieran sido infectados con troyanos. Es importante mantener una vigilancia extrema con los paquetes de código abierto y dedicar tiempo a verificar lo que se descarga de los repositorios de código abierto.
3. Void Banshee aprovecha una vulnerabilidad de MHTML de Microsoft
El grupo malicioso Void Banshee está aprovechando actualmente una vulnerabilidad recientemente revelada en el motor de navegador MHTML de Microsoft para distribuir el programa de robo de información Atlantida.
La vulnerabilidad se utilizó en un ataque en varias fases para acceder a archivos y ejecutarlos a través de Internet Explorer —que se encontraba desactivado— mediante MSHTML. El programa de robo de información « » Atlantida tiene como objetivo sustraer información del sistema y datos confidenciales, como contraseñas y cookies.
La vulnerabilidad
La CVE-2024-38112 es una vulnerabilidad de tipo RCE en MHTML. La vulnerabilidad se utilizó como «zero-day» para ejecutar archivos a través de Internet Explorer, que se encontraba desactivado, mediante MSHTML.
Esta vulnerabilidad se corrigió en el «Patch Tuesday» de July 2024 . Se observó que Void Banshee utilizaba esta vulnerabilidad como parte de su cadena de infección a partir de mediados deMay 2024.
El uso de Internet Explorer como vector de ataque
El soporte técnico para Internet Explorer finalizó en junio de 2022 y se ha desactivado en las versiones posteriores de Windows. Esto, sin embargo, no significa que se haya eliminado de los sistemas. En los sistemas Windows aún existen restos de Internet Explorer, aunque no sean accesibles ni visibles para el usuario habitual. Si un usuario encontrara el archivo «iexplorer.exe» e intentara abrirlo, simplemente se le redirigiría a Microsoft Edge.
En esta campaña de Void Banshee, según Trend Micro, el autor del ataque aprovechó el CVE-2024-38112 para «ejecutar archivos y sitios web a través del proceso de Internet Explorer desactivado... mediante MSHTML». Para ello, el autor utilizó archivos URL creados específicamente para este fin y logró ejecutar un archivo HTA directamente a través del proceso de Internet Explorer desactivado.
Detalles técnicos
- Para iniciar el ataque, el autor utiliza archivos ZIP que contienen libros en formato PDF junto con archivos maliciosos que se hacen pasar por archivos PDF.
- Se incluyen principalmente en correos electrónicos de spear phishing y en sitios web de intercambio de archivos en la nube.
- El ataque comienza cuando la víctima hace clic en el archivo de acceso directo a una URL maliciosa, diseñado para aprovechar la vulnerabilidad.
- El archivo de acceso directo de Internet apunta a un dominio controlado por los atacantes, en el que se utiliza un archivo HTML para descargar la parte HTA de la infección. El actor también puede utilizar el archivo HTML para ocultar información del navegador.
- Cuando se acceda a la URL a través de Internet Explorer, este intentará abrir el archivo HTA y le preguntará al usuario si desea abrir o guardar la aplicación HTML. Para el usuario, esto se ve como un archivo PDF normal.
- El archivo contiene un script VBScript que descifra su contenido y, a continuación, lo ejecuta mediante PowerShell. Asimismo, se ejecuta un cargador de troyanos .NET para llevar a cabo la inyección de procesos. En las fases posteriores se utiliza el cargador de código abierto «Donut» para descifrar y ejecutar el programa de robo de datos «Atlantida», que constituye la carga útil final del ataque.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
A primera vista, este ataque puede parecer irrelevante, ya que Internet Explorer ha dejado de comercializarse. No obstante, los autores de amenazas siguen pudiendo aprovechar las vulnerabilidades del navegador y utilizarlo para infectar a los usuarios y a las organizaciones, tal y como demuestra este ataque.
Tal y como ha explicado Trend Micro, los grupos APT como Void Banshee pueden aprovechar servicios desactivados, como el IE, lo que supone una amenaza significativa para las organizaciones. La vulnerabilidad ya se ha corregido, pero la amenaza sigue presente para aquellos que no han aplicado el parche al pensar que no tenían Internet Explorer instalado en sus equipos.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , y inicie una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
