Esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium analiza cómo los ciberdelincuentes están creando sitios web falsos que imitan servicios legítimos de inteligencia artificial para distribuir malware. El resumen también incluye información actualizada sobre « APT41», un actor malicioso muy sofisticado patrocinado por el Estado chino. Por último, nuestro equipo de CTI investiga a un nuevo actor malicioso vinculado a Rusia denominado «Void Blizzard».
UNC6032 crea páginas web falsas sobre inteligencia artificial
Según Mandiant (se abre en una nueva pestaña), los ciberdelincuentes están creando actualmente sitios web falsos relacionados con la inteligencia artificial y los utilizan para distribuir malware a través de anuncios engañosos.
Esta campaña, atribuida al grupo UNC6032, se dirige a usuarios de todo el mundo y pone de relieve la tendencia creciente de que los autores de amenazas utilicen las tecnologías emergentes para llevar a cabo robos de credenciales y actividades de vigilancia a gran escala.
¿De qué manera utilizan los autores de amenazas la inteligencia artificial y las redes sociales para difundir malware?
Tal y como explica Mandiant, los autores de amenazas no han tardado en aprovechar la creciente popularidad de la inteligencia artificial. Esto ha dado lugar a campañas procedentes de sitios web que se hacen pasar por herramientas populares de inteligencia artificial y que se promocionan a través de anuncios en Facebook y LinkedIn.
Mandiant identificó más de 30 sitios web en los que se muestran miles de anuncios con contenido similar. Parece que el autor va alternando continuamente los dominios mencionados en los anuncios para evitar ser detectado; la mayoría de ellos tienen una vida muy corta y cada día se crean otros nuevos.
¿Qué ocurre al hacer clic en un anuncio falso generado por IA?
En esta campaña, el anuncio de Facebook se hacía pasar por una conocida herramienta de IA para convertir texto en vídeo llamada Luma AI. El anuncio dirige a las víctimas a una página web creada por el atacante, en la que pueden hacer clic en el botón «Empezar gratis ahora» y seleccionar las distintas funciones que deseen.
- Cuando la víctima hace clic para generar el contenido, aparece una barra de carga que da la impresión de que el modelo de IA está procesando la solicitud.
- Al cabo de unos segundos, reciben un vídeo para descargar. De este modo, se descargará un archivo .zip en el dispositivo.
- El archivo .zip descargado incluye un ejecutable con doble extensión para hacerse pasar por un archivo .mp4 , aunque en realidad se trata de un archivo .exe.
[Lea también: ¿Qué es la IA agencial? Lo que hay que saber sobre este nuevo tipo de IA]
¿Qué es el gotero STARKVEIL?
El archivo ejecutable, al que Mandiant denomina STARKVEIL, es un malware «dropper» escrito en Rust. Extraerá el archivo incrustado y sus componentes maliciosos, que se utilizarán posteriormente en el proceso de infección para inyectar código malicioso en procesos legítimos.
Mandiant descubrió que el archivo ejecutable debe ejecutarse dos veces para que el ataque tenga éxito. Para lograrlo, el malware muestra una ventana de error la primera vez que se ejecuta, lo que podría inducir a los usuarios a intentar ejecutarlo de nuevo.
Durante la segunda ejecución, se abrirá un lanzador de Python que contiene un comando de Python. Se ha comprobado que se trata del gotero COILHATCH. En el informe de Mandiant se pueden encontrar más detalles sobre COILHATCH, así como información más técnica sobre el malware STARKVEIL.
Archivos ejecutables que conviene conocer
La campaña contiene tres archivos ejecutables: GRIMPULL, XWORM y FROSTRIFT:
- GRIMPULL es un programa de descarga que utiliza funciones anti-VM y Tor para sus comunicaciones C2 .
- El « » de XWORM se ejecuta en segundo plano y se inyecta en un proceso legítimo de Windows. Se trata de una puerta trasera que amplía sus capacidades mediante complementos.
- FROSTRIFT se inyecta en un proceso legítimo de Windows y recopila información sobre el sistema. Recibe módulos del C2 que se almacenan para ser cargados en la memoria.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Esta campaña es un ejemplo paradigmático de cómo los autores de amenazas se adaptan rápidamente para aprovechar las tecnologías de última generación. En este caso, el bombo publicitario en torno a la IA sirve como cebo perfecto para una campaña de ingeniería social de tipo « ».
Además, el uso indebido de plataformas publicitarias como Facebook y LinkedIn pone de manifiesto un punto ciego cada vez mayor en la detección de amenazas. En la actualidad, se están creando infraestructuras maliciosas a partir de ecosistemas legítimos.
Le recordamos que no basta con supervisar las cargas útiles del malware. Se debe prestar la misma atención a la identificación y el seguimiento de los vectores de transmisión.
La unidad APT41 utiliza Google Calendar para la gestión y el control
El último informe del Grupo de Inteligencia sobre Amenazas de Google, titulado « » (se abre en una nueva pestaña), aborda el caso de « APT41», un actor malicioso respaldado por el Estado chino que recientemente utilizó un sitio web gubernamental comprometido para distribuir un sofisticado malware de tres fases denominado «TOUGHPROGRESS».
El ataque se valió de estructuras de archivos engañosas y de Google Calendar para el comando y control. Google logró frustrar la campaña mediante la implementación de detecciones personalizadas y la desactivación de la infraestructura de los atacantes.
¿Cómo utilizó APT41 archivos PDF falsos para distribuir malware?
APT41 inició el ataque enviando correos electrónicos de spear phishing a las víctimas seleccionadas. Los correos electrónicos contenían un enlace a un archivo .zip alojado en una página web gubernamental que había sido objeto de un ataque.
El archivo contenía siete imágenes en formato .jpg y un archivo .lnk camuflado como un .pdf. La carga útil se ejecutó a través del archivo .lnk y, a continuación, dicho archivo se eliminó y se sustituyó por un archivo .pdf de distracción.
Comprender la cadena de infección por malware
El malware contiene tres módulos, cada uno de los cuales tiene su propia función y se ejecutan de forma secuencial:
- PLUSDROP es un archivo DLL diseñado para descifrar y ejecutar la siguiente fase del ataque.
- PLUSINJECT realiza el vaciado del proceso e inyecta la carga útil final.
- TOUGHPROGRESS ejecuta las acciones propiamente dichas en el dispositivo comprometido y utiliza Google Calendar con fines de comando y control (C2).
Cómo el canal APT41 convirtió Google Calendar en el canal C2
Como ya se ha señalado, TOUGHPROGRESS hace un uso indebido de Google Calendar. Puede leer y escribir eventos mediante un Google Calendar controlado por un atacante. Al ejecutarse, creará un evento de calendario con una fecha fija de May 30, 2023 y una hora de cero minutos.
El incidente incluye datos que se recopilaron del dispositivo afectado, tal y como se indica en la descripción del incidente. El atacante también incluye comandos cifrados en eventos adicionales del calendario, en fechas predefinidas en el malware.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
APT41’s use of Google Calendar for command and control is a stark reminder that adversaries are increasingly leveraging legitimate cloud services to mask malicious activity.
Esta táctica complica la detección y pone de relieve la necesidad de contar con análisis de comportamiento que vayan más allá de la detección tradicional basada en los IOC (siglas en inglés de «», es decir, «indicadores de compromiso», que se refieren a la identificación de amenazas mediante elementos conocidos, como direcciones IP maliciosas, hash de archivos o nombres de dominio asociados a ataques anteriores).
La arquitectura en tres fases de TOUGHPROGRESS refleja una tendencia creciente en el diseño modular de malware, lo que permite a los atacantes adaptar las cargas útiles de forma dinámica y eludir las defensas estáticas. Esta modularidad también facilita la reutilización en distintas campañas, lo que complica la atribución y la mitigación.
«Void Blizzard»: una nueva amenaza para sectores clave
Microsoft ha identificado (se abre en una nueva pestaña) a un nuevo actor malicioso vinculado a Rusia denominado «Void Blizzard», que está llevando a cabo activamente campañas de ciberespionaje contra sectores críticos. El grupo utiliza credenciales robadas y tácticas de spear phishing para infiltrarse en las redes y sustraer grandes volúmenes de datos confidenciales.
¿A quién va dirigido «Void Blizzard»?
Se ha observado que Void Blizzard tiene como objetivo organizaciones de múltiples sectores, entre los que se incluyen las comunicaciones y las telecomunicaciones, la defensa, la sanidad, la educación, los organismos y servicios públicos, las tecnologías de la información, las organizaciones intergubernamentales, los medios de comunicación, las ONG y el transporte.
Por lo general, este grupo tiene como objetivo las organizaciones gubernamentales y los cuerpos de seguridad, especialmente los de los Estados miembros de la OTAN.
¿Cómo consigue Void Blizzard el acceso inicial?
El grupo utiliza principalmente técnicas poco sofisticadas para obtener el acceso inicial, entre las que se incluyen el «password spraying» y el robo de credenciales. Microsoft considera que el grupo obtiene cookies y credenciales a través del ecosistema de la ciberdelincuencia y, posteriormente, las utiliza para acceder a servicios como Exchange y SharePoint Online.
En el informe « April 2025», Microsoft identificó una campaña de spear phishing denominada «Void Blizzard» que utilizaba la técnica «adversario en el medio» (AiTM). Esta campaña se dirigió a más de 20 organizaciones no gubernamentales de Estados Unidos y Europa.
Los correos electrónicos de suplantación de identidad de « » ( ) fingían proceder de la Cumbre Europea de Defensa y Seguridad y contenían archivos PDF con una invitación falsa al evento. El PDF contenía un código QR que redirigía a un dominio creado mediante «typosquatting» que se hacía pasar por Microsoft Online. La página de phishing imitaba fielmente el portal de autenticación de Microsoft Entra. Microsoft también considera que es probable que Void Blizzard esté utilizando el marco Evilginx para llevar a cabo campañas como esta.
¿Qué ocurre tras el acceso inicial?
Una vez que el grupo consiga el acceso inicial a un entorno, hará un uso indebido de las API legítimas de la nube, entre ellas las de Exchange Online y Microsoft Graph. Esto les permite identificar los buzones de correo de los objetivos, así como diversos archivos alojados en la nube.
En algunas campañas, los atacantes también accedieron a conversaciones de Microsoft Teams, concretamente a través del cliente web.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
No es habitual que nos enteremos de la existencia de un nuevo actor o grupo malintencionado. Puede que Void Blizzard utilice técnicas menos sofisticadas, pero su capacidad para comprometer con éxito a las organizaciones nos recuerda que las estrategias más «básicas» pueden seguir constituyendo una amenaza real. Dicho esto, poder detectar y conocer algunas de las tácticas, técnicas y procedimientos (TTP) más básicos puede resultar fundamental.
Como es habitual, Microsoft ha facilitado directrices de mitigación y protección (se abre en una nueva pestaña) relacionadas con la identidad y la autenticación, la seguridad del correo electrónico y las actividades posteriores a una intrusión. Microsoft también ha incluido diversas detecciones de Defender y consultas de búsqueda para ayudar a localizar actividades relacionadas con Void Blizzard.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas de :.
