Esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium analiza el malware XWorm, que ha reaparecido recientemente con más de 35 complementos, entre los que se incluye uno que permite a sus usuarios cifrar y descifrar archivos. A continuación, nuestro equipo explica cómo Microsoft logró identificar y neutralizar varias amenazas sofisticadas dirigidas a su aplicación Teams. Por último, investigamos la explotación activa de una vulnerabilidad crítica en GoAnywhere Managed File Transfer (MFT).
El malware XWorm reaparece con un ransomware tras un paréntesis
Trellix ha estado realizando un seguimiento de la evolución del malware XWorm, que ha reaparecido recientemente después de que su desarrollador original abandonara el proyecto.
XWorm v6 es un sofisticado troyano de acceso remoto que utiliza un sistema modular de complementos para llevar a cabo diversas actividades maliciosas, entre las que se incluyen el robo de credenciales, el control remoto y los mecanismos de persistencia. Esta versión de XWorm incorpora funciones mejoradas de ocultación, ejecución desde la memoria mediante complementos e integración con otras familias de malware.
El abandono y el resurgimiento de XWorm
El desarrollador de XWorm borró su cuenta tras lanzar XWorm V5.6 a finales de 2024, lo que llevó a los investigadores a creer que se trataba de la última versión. A raíz de esta acción, otros actores comenzaron a distribuir y a utilizar versiones pirateadas del malware.
En June 2025, los investigadores descubrieron una nueva publicación en la que se anunciaba el lanzamiento de XWorm V6. Esta versión incluye una corrección para una vulnerabilidad de ejecución remota de código (RCE) presente en versiones anteriores, además de otras actualizaciones. Muchas personas se preguntaron si este comunicado procedía del creador original del malware o si, simplemente, se trataba de alguien que intentaba aprovecharse de la reputación del malware.
XWorm V6: La última versión de XWorm
Trellix ha observado recientemente un aumento de las muestras de XWorm V6 en VirusTotal.
Las campañas que utilizan la variante V6 de este malware comienzan con un archivo JavaScript malicioso, , que se distribuye a través de mensajes de phishing o de sitios web maliciosos. Esto descarga y ejecuta un script de PowerShell que desactiva la Interfaz de análisis antimalware (AMSI) e instala una herramienta de inyección. Esta herramienta inyecta el código malicioso en un programa legítimo de Windows. A continuación, la carga útil final, XWorm V6, se conecta a su servidor de comando y control (C2).
Complementos de XWorm V6
El malware incluye un comando denominado «plugin», que permite a sus usuarios ejecutar cargas útiles adicionales. Todas las cargas útiles son archivos DLL que se cargan y se ejecutan en memoria.
Trellix registró el tráfico de red procedente de los C2 servidores del malware para identificar los complementos que este utilizaba, tal y como se detalla en la siguiente sección. La empresa también observó que el malware ejecutaba otras familias de malware, como DarkCloud, Phantom Stealer, Remcos RAT y varias más.
Análisis de los complementos de XWorm
XWorm es ahora compatible con más de 35 complementos. Entre ellos se incluyen RemoteDesktop.dll, para crear sesiones remotas; complementos destinados al robo de datos; y FileManager.dll, que permite acceder al sistema de archivos y manipularlo, entre otros.
El malware también incluye un complemento denominado Ransomware.dll, que permite a los usuarios cifrar y descifrar archivos. Cuando el operador utiliza este complemento de ransomware, puede personalizar la imagen que se utilizará como fondo de pantalla, la dirección BTC, una dirección de correo electrónico y el importe del rescate.
Trellix describe varios de estos complementos en el informe, para quienes deseen una lectura más técnica.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
XWorm V6 supone una evolución en el ámbito del malware modular, ya que permite a los atacantes desplegar capacidades altamente específicas con una huella mínima. El gran número de módulos disponibles en V6 permite a los usuarios adaptar su funcionalidad a cada objetivo, lo que hace que la detección y respuesta a amenazas resulten más complejas.
Las técnicas avanzadas de persistencia de XWorm, sus módulos de robo de credenciales y su integración con otras familias de malware lo convierten en una potente herramienta tanto para el espionaje como para los ataques financieros, especialmente aquellos que implican un compromiso a largo plazo.
Microsoft neutraliza varias amenazas dirigidas a Teams
Microsoft ha identificado y ha neutralizado una serie de sofisticadas amenazas cibernéticas dirigidas a su aplicación Teams, entre las que se incluyen la ingeniería social, la distribución de malware y el uso indebido de las funciones de colaboración tanto por parte de delincuentes como de actores estatales.
Aunque no son exclusivos de Teams, existen algunos marcos de código abierto que pueden «enumerar los usuarios, grupos y inquilinos menos seguros en Teams», según Microsoft. Las herramientas de código abierto pueden recopilar información sobre diversos aspectos de Microsoft Teams, llegando incluso a revelar el estado de disponibilidad actual del usuario si no se han activado determinados ajustes de privacidad.
Para protegerse frente a las amenazas a las que se enfrenta Microsoft Teams, Microsoft sigue mejorando sus medidas de protección contra los inquilinos falsos de Entra ID, así como contra el uso indebido por parte de los actores maliciosos de los inquilinos gratuitos y las suscripciones de prueba. La empresa también describe una estrategia de defensa en varias capas que abarca la identidad, los terminales, las aplicaciones y los datos, con el fin de ayudar a las organizaciones a mitigar de forma proactiva los riesgos en constante evolución.
Acceso inicial
Los autores de amenazas están utilizando varios señuelos distintos como parte de su estrategia de acceso inicial a través de Microsoft Teams. Uno de estos señuelos es la tristemente célebre estafa del «soporte técnico», que da lugar a la descarga de una herramienta de supervisión y gestión remotas (RMM).
Un ejemplo de ello lo constituye un ataque llevado a cabo por Storm-1811, que se hizo pasar por un servicio de asistencia técnica e intentó solucionar un problema relacionado con grandes cantidades de correo basura que el propio autor había generado. Posteriormente, se descargaron herramientas de RMM y se utilizaron para distribuir cargas útiles de malware y ransomware.
Microsoft también destaca el caso en el que Midnight Blizzard se hizo pasar por el servicio de asistencia técnica para conseguir que las víctimas verificaran sus cuentas e introdujeran códigos de autenticación para acceder a ellas. Los «deepfakes» y la inteligencia artificial no harán más que contribuir a que esta ingeniería social a través de Teams resulte más eficaz.
Perseverancia
Para garantizar la persistencia de estos ataques, los autores de las amenazas están haciendo un uso indebido de los accesos directos de la carpeta de inicio con el fin de facilitar la ejecución de herramientas maliciosas y, además, están aprovechando funciones de accesibilidad, como las teclas de acceso rápido. Los usuarios también podrían crear cuentas de usuario de invitado dentro de los inquilinos a los que tienen acceso para mantener dicho acceso.
Microsoft señala el caso en el que Storm-2373 aprovechó los flujos de autenticación del código del dispositivo para capturar tokens de autenticación. El actor entablaba conversación con las víctimas en chats de Teams para ganarse su confianza antes de pedirles que se autenticaran y así sustraerles el token.
Ejecución y escalada de privilegios
Las cuentas de administrador resultan ventajosas para los autores de amenazas, ya que cuentan con los privilegios elevados necesarios para llevar a cabo otras actividades maliciosas. Además de estas cuentas de administrador, los atacantes también se centran en los usuarios comunes y corrientes y los engañan para que abran enlaces o archivos enviados a través de Teams, de forma similar a como ocurre cuando se envían por correo electrónico.
En lo que respecta a la escalada de privilegios, se ha observado que los atacantes registran los dispositivos que controlan e intentan modificar los grupos de permisos.
Acceso mediante credenciales
Un usuario con un token de actualización válido puede suplantar fácilmente la identidad de otros usuarios con la ayuda de las API de Teams. Existen varias herramientas de nivel administrativo que los autores de amenazas podrían utilizar con fines maliciosos para interceptar tokens. Además, el actor podría recurrir al «password spraying» para obtener credenciales.
Descubrimiento
También se sabe que los actores maliciosos aprovechan Microsoft Teams para realizar tareas de reconocimiento, analizando los datos de configuración de Teams y enumerando las aplicaciones si disponen de acceso.
Microsoft pone como ejemplo a Void Blizzard, un actor que utilizó AzureHound y enumeró la configuración de Microsoft Entra ID de una organización. El actor pudo descubrir detalles sobre los usuarios, los roles, los grupos, las aplicaciones, etc. El actor también pudo acceder a algunas conversaciones de Teams.
Movimiento lateral y recogida
Microsoft señala que, si un atacante consigue acceso de administrador a Teams, podría, en teoría, «aprovechar la configuración de la comunicación externa y habilitar relaciones de confianza entre organizaciones para desplazarse lateralmente».
Los actores también pueden intentar extraer de Teams otra información y recopilar datos que podrían resultarles útiles para alcanzar sus objetivos.
C2 y exfiltración
Los atacantes intentarán distribuir malware a través de Teams, a menudo mediante archivos adjuntos. Algunas herramientas incluso incorporan funciones específicas para crear C2 canales con Microsoft Teams.
Los atacantes también pueden utilizar los mensajes de Teams para la exfiltración. Tal y como señala Microsoft, existen herramientas creadas específicamente para este fin.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La continua explotación de Microsoft Teams pone de manifiesto cómo las plataformas de colaboración se han convertido en un elemento fundamental de las superficies de ataque modernas, lo que obliga a los responsables de la seguridad a tratarlas con el mismo rigor que los terminales tradicionales y los sistemas de correo electrónico.
Además, el hecho de que los atacantes utilicen a usuarios legítimos y marcas conocidas para ganarse la confianza de los usuarios nos recuerda de forma contundente que la verificación de identid e debe ir más allá de los indicadores superficiales, especialmente en entornos en los que la colaboración externa es habitual.
El informe de Microsoft contiene numerosas recomendaciones útiles sobre medidas de mitigación y protección, además de detecciones de Defender y consultas de búsqueda para ayudar a identificar esta amenaza y protegerse contra ella.
Storm-1175 aprovecha una vulnerabilidad crítica de GoAnywhere MFT
Microsoft ha detectado la explotación activa de una vulnerabilidad crítica (CVE-2025-10035) en GoAnywhere MFT, que permite la ejecución remota de código sin autenticación a través de una respuesta de licencia falsificada.
Storm-1175, un actor malicioso con fines lucrativos, está aprovechando activamente esta vulnerabilidad para distribuir ransomware y sustraer datos, lo que hace necesario aplicar medidas urgentes de mitigación y instalar los parches correspondientes.
[Descubra cómo la gestión moderna de vulnerabilidades ayuda a convertir el caos en confianza]
Acerca de CVE-2025-10035
El mes pasado se publicó un aviso de seguridad en el que se detallaba la vulnerabilidad CVE-2025-10035 del servlet de licencias de GoAnywhere MFT. Esta vulnerabilidad ha recibido una puntuación CVSS de 10 y podría dar lugar a la inyección de comandos y a la ejecución remota de código. Desde entonces, Microsoft ha detectado que un agente malicioso, identificado como Storm-1175, está aprovechando esta vulnerabilidad.
La vulnerabilidad consiste en un fallo de deserialización en la consola de administración del servlet de licencias MFT de GoAnywhere. Afecta a las versiones hasta la 7.8.3 y «permitiría a un atacante eludir la verificación de la firma mediante la creación de una firma de respuesta de licencia falsificada, lo que a su vez permitiría la deserialización de objetos arbitrarios controlados por el atacante». Al parecer, para aprovechar esta vulnerabilidad no es necesario que el atacante se autentique, siempre que sea capaz de falsificar o interceptar las respuestas de licencia, lo que aumenta el riesgo que plantea esta vulnerabilidad.
Según Microsoft, esta vulnerabilidad podría permitir a los atacantes llevar a cabo la detección de sistemas y usuarios, así como la implementación de herramientas adicionales, todo ello mientras mantienen un acceso a largo plazo.
Storm-1175 y CVE-2025-10035
Microsoft ha observado que Storm-1175 aprovecha esta vulnerabilidad en ataques de varias fases. Para obtener acceso inicial, el atacante aprovecha la vulnerabilidad existente en GoAnywhere MFT. Y, para garantizar la persistencia, utilizaron herramientas RMM cuyos archivos binarios colocaron dentro del proceso de GoAnywhere MFT.
De este modo, el actor podría utilizar comandos de detección y desplegar herramientas adicionales antes de desplazarse lateralmente por la red. Las herramientas RMM se volvieron a utilizar para C2 fines y se procesaron los datos. En uno de los casos observados, también se utilizó el ransomware « » de Medusa .
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Es importante señalar que Storm-1175 comenzó a aprovechar la vulnerabilidad CVE-2025-10035 antes de que se hiciera pública. Esto demuestra que los autores de amenazas son cada vez más hábiles a la hora de identificar y aprovechar las vulnerabilidades de día cero, a menudo con mayor rapidez de la que tardan los defensores en reaccionar.
Dado que GoAnywhere MFT se utiliza ampliamente en entornos empresariales para la transferencia segura de archivos, esta vulnerabilidad constituye un ejemplo claro de cómo un único fallo en una herramienta de terceros puede tener un impacto en cadena.
Microsoft también ha incluido en el informe una guía sobre medidas de mitigación y protecci .
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium, para iniciar una conversación.
Si desea ampliar información, le invitamos a consultar nuestros últimos resúmenes sobre inteligencia en materia de amenazas cibernéticas.
