Esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium analiza Shanya, un nuevo servicio de empaquetado (PaaS) que se está extendiendo rápidamente entre los grupos de ransomware. A continuación, el equipo investiga a GrayBravo, un sofisticado actor malicioso que está atacando activamente sectores como la logística y la hostelería mediante el phishing de tipo « », la publicidad maliciosa y las actualizaciones de software falsas. Por último, en concluimos con una visión general de Storm-0249’s casos recientes de cambio de estrategia para explotar las herramientas de detección y respuesta en puntos finales (EDR).
Shanya PaaS se extiende entre los grupos de ransomware
Sophos ofrece información sobre Shanya, una nueva herramienta PaaS que parece estar sustituyendo a servicios más antiguos, como HeartCrypt, en el ecosistema de la ciberdelincuencia.
Los servicios de empaquetado son herramientas que cifran u ocultan el malware para eludir su detección. Los autores de amenazas están utilizando ahora Shanya para ocultar el ransomware tras una capa de ofuscación de tipo « » (), lo que les permite eludir las defensas antimalware.
Promociones clandestinas
Near the end of 2024, Sophos discovered references in underground forums for an offering called VX Crypt. La ofrenda se atribuyó a «Shanya», aunque el identificador del autor no guardaba relación alguna con ella. Sin embargo, el nombre de usuario del creador en Telegram incluía «shanya».
En la publicación se afirma que la oferta incluía funciones para eludir el AMSI, protección en tiempo de ejecución y instalación paralela. Las características de este empaquetador coinciden con las de otro empaquetador que Sophos ha observado, lo que les lleva a creer que se trata del mismo PaaS.
En las primeras muestras, Sophos detectó nombres de archivos ejecutables y DLL que incluían la cadena «shanya» o una variante de la misma. Asimismo, observaron casos en los que tanto un programa malicioso de EDR como el malware CastleRAT utilizaban archivos maliciosos creados por el servicio Shanya.
Se ha observado a Shanya en todo el mundo a lo largo de 2025.
Los ejecutables empaquetados
Sophos analizó una muestra que constituye una variante de un «EDR killer», la cual incluía una gran cantidad de código basura, pero de la que finalmente se determinó que «creaba un descifrador y un cargador en una región de memoria, que a continuación descifraban la carga útil».
- Para empezar, Shanya crea una tabla que recoge los datos clave del tiempo de ejecución.
- El puntero a esta tabla se encuentra oculto dentro del bloque de entorno del proceso (PEB), en el campo GdiHandleBuffer.
- A partir de ahí, cada fase del malware puede simplemente recuperar el PEB para obtener el puntero a la tabla de configuración, lo que reduce su huella en memoria.
- Shanya también puede resolver de forma dinámica las funciones necesarias de la API de Windows y realizar comprobaciones contra el análisis.
Casos de uso destacados
Según Sophos, el «EDR killer» protegido por Shanya se ha utilizado en casos de carga lateral de archivos DLL.
Sophos señala asimismo que el «EDR killer» instala dos controladores del núcleo, uno de ellos legítimo pero vulnerable y otro malicioso y sin firmar.
El informe contiene una extensa lista de servicios y procesos afectados, disponible en . Si se detecta alguno de estos elementos en el dispositivo, se le da por finalizado.
Sophos también describe una campaña real en la que se utilizó Shanya, concretamente para atacar a hoteles. Esta campaña procede de September 2025 y formaba parte de una campaña de ClickFix que se valía de Booking.com.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Shanya PaaS formaliza el proceso que va desde el «EDR-killer» hasta el ransomware mediante su sistema de merma de la defensa. En esencia, se trata de convertir una técnica sofisticada de evasión en una suscripción para aquellos que desean aumentar la fiabilidad de sus ataques.
De acuerdo con Sophos, no parece probable que este problema desaparezca a corto plazo y seguirá evolucionando.
GrayBravo amplía su presencia
Según Recorded Future, GrayBravo (anteriormente conocido como TAG-150) opera probablemente bajo un modelo de «malware como servicio», desplegando CastleLoader en múltiples clústeres dirigidos a los sectores de la logística y la hostelería mediante phishing, publicidad maliciosa y actualizaciones de software falsas.
La infraestructura y las herramientas del grupo demuestran una gran adaptabilidad, con capacidades avanzadas como el robo de credenciales, el acceso remoto y los sistemas de mando y control en capas (C2).
¿Quién es GrayBravo?
GrayBravo (anteriormente conocido como TAG-150) es un sofisticado actor malicioso que lleva activo al menos desde el año March 2025. Este actor es conocido por su capacidad para desarrollar rápidamente familias de malware a medida, entre las que se incluyen CastleLoader, CastleBot y CastleRAT.
Recorded Future considera que el grupo gestiona un ecosistema de «malware como servicio» (MaaS), que se vale de una infraestructura de varios niveles y de técnicas avanzadas de evasión de detección, con cuatro grupos de actividad diferenciados.
GrayBravo gestiona una infraestructura compleja y de varios niveles para dar soporte a su ecosistema de malware. Los servidores de nivel 1 actúan como nodos de mando y control dirigidos a las víctimas para sus familias de malware, mientras que los niveles adicionales proporcionan una funcionalidad por capas.
Las variantes de CastleRAT
El informe de Recorded Future incluye detalles sobre el malware CastleRAT, que cuenta con una variante en C y otra en Python. Independientemente de la variante, es capaz de ejecutar comandos de forma remota, descargar y ejecutar archivos, y establecer un shell remoto interactivo. La variante C incluye algunas funciones adicionales.
En lo que respecta a la infraestructura, Recorded Future identificó un solapamiento operativo significativo entre varios nodos que comparten la clave RC4 «NanuchkaUpyachka». Asimismo, identificaron un grado de interconexión que podría indicar la existencia de un marco de implementación común para CastleRAT y CastleLoader.
Grupos de actividades
Recorded Future identificó cuatro grupos de actividades relacionadas con el despliegue de CastleLoader:
- Grupo 1: El primer grupo de actividad, identificado por Recorded Future como TAG-160, está atacando activamente al sector logístico. Se ha observado que este grupo utiliza la técnica ClickFix para implementar CastleLoader y aprovechar vulnerabilidades, al tiempo que se sirve de plataformas legítimas de gestión de envíos, entre las que se incluyen DAT Freight & Analytics y Loadlink Technologies.
- Clúster 2: Se sabe que el clúster 2 (TAG-161) se hace pasar por Booking.com. Este grupo también utiliza la técnica ClickFix para distribuir CastleLoader y Matanbuchus.
- Clúster 3: Este clúster también se hace pasar por Booking.com, aprovecha las técnicas de ClickFix y utiliza páginas de Steam para distribuir tanto CastleRAT como CastleLoader. Hasta el momento, Recorded Future no ha identificado ningún solapamiento técnico entre el segundo y el tercer grupo.
- Clúster 4: El último clúster utiliza publicidad maliciosa e instaladores de software falsos para distribuir CastleLoader y NetSupport RAT. Se sirve de repositorios falsos de GitHub para distribuir las cargas útiles de CastleLoader, que suelen entregarse en forma de instaladores MSI firmados electrónicamente.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
GrayBravo es un ejemplo de la industrialización de la ciberdelincuencia, en la que los autores proporcionan malware modular e infraestructura a sus afiliados.
La función de CastleLoader como mecanismo de distribución flexible se inscribe en la tendencia generalizada de pasar del malware de un único propósito a los cargadores de varias etapas que permiten la ejecución de ransomware, programas de robo de información y RAT.
El uso por parte del grupo de sistemas C2 de varios niveles y redundantes les permite seguir operando en caso de que se detecte y se bloquee un dominio o una dirección IP.
Storm-0249 aprovecha los procesos de EDR para ocultar actividades maliciosas
Según ReliaQuest, el agente de acceso inicial Storm-0249 ha pasado de llevar a cabo campañas generalizadas de phishing a aprovechar las herramientas de EDR. El grupo está utilizando técnicas como la carga lateral de DLL y el abuso de procesos de confianza para establecer una persistencia encubierta.
Esta evolución permite a los afiliados de programas de ransomware eludir las defensas tradicionales y mantener el acceso a largo plazo, al tiempo que camuflan su actividad maliciosa entre operaciones de seguridad legítimas.
Storm-0249’s nuevas tácticas
Storm-0249’s ataques recientes se inician a través de ClickFix. Además, utiliza diversas técnicas, entre las que se incluyen la suplantación de dominios de Microsoft y el canal de datos de Curl a PowerShell, así como la instalación paralela de DLL, para atacar a los agentes de SentinelOne.
Una vez que Storm-0249 consiga acceder, el grupo utilizará curl.exe (una herramienta de confianza entre los equipos de TI). El script malicioso está alojado en una URL que imita un dominio de Microsoft para engañar a los usuarios y hacerles creer que procede de una fuente legítima.
Curl descarga scripts maliciosos desde dominios falsos de Microsoft y los introduce en la memoria de PowerShell para eludir la detección basada en firmas. Tal y como señala ReliaQuest, «al ejecutarse íntegramente en memoria, los sistemas de detección tradicionales basados en firmas pasan por alto por completo dicha actividad».
Cómo hacer que el software de seguridad se vuelva contra sí mismo
Según ReliaQuest, Storm-0249 ha demostrado su capacidad para cargar su código malicioso mediante la manipulación de un ejecutable legítimo de SentinelOne.
En este ataque, es necesario engañar al usuario para que ejecute un paquete MSI malicioso que descargue de la página web falsa de Microsoft. El paquete descargado requiere privilegios de sistema, lo que proporciona al atacante lo necesario para ejecutar el código malicioso propiamente dicho.
El paquete MSI incluye un archivo DLL que se hace pasar por un componente de SentinelOne EDR y lo coloca en la carpeta «AppData» del usuario. Mediante la técnica de «sideloading» de DLL, la DLL maliciosa se carga al iniciar SentinelOne, en lugar de la DLL legítima.
Canales de comunicación encubiertos
In addition to updating some of their tactics, the group has also changed its C2 communication approach.
Anteriormente, el malware establecía comunicaciones directas C2 , lo que generaba tráfico saliente y resultaba fácil de detectar. En la actualidad, el grupo está haciendo un uso indebido de componentes de confianza del software de SentinelOne para establecer su comunicación « C2 », lo cual, según destaca ReliaQuest, resulta preocupante, ya que se produce en software incluido en la lista blanca.
Reconocimiento encubierto
ReliaQuest también observó que el actor llevaba a cabo actividades de reconocimiento utilizando utilidades legítimas de Windows que son «prácticamente imposibles de bloquear sin interrumpir las operaciones de TI».
Una vez que se vio comprometido el ejecutable « SentinelAgentWorker.exe» ( ), el autor del ataque pudo ejecutar «reg.exe» ( ) y otros comandos para obtener identificadores del sistema. ReliaQuest señala que esto podría hacerse como medida de preparación ante los afiliados de grupos de ransomware.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Como demuestra este ejemplo, los atacantes utilizan cada vez más las herramientas de seguridad de confianza como arma para eludir la detección.
El uso indebido de procesos legítimos de EDR pone de manifiesto cómo la confianza en el software puede convertirse en un riesgo y cómo los ataques de tipo «cadena de suministro» son cada vez más creativos. Este es un ejemplo más de la necesidad de recurrir al análisis de comportamiento en lugar de a las defensas basadas en firmas.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « » en.
