Se ha encontrado que los actores de amenaza detr\u00e1s de la explotaci\u00f3n de un d\u00eda cero de una vulnerabilidad de seguridad recientemente parada en Microsoft Windows entregan dos nuevas puertas traseras llamadas Precio silencioso <\/b>y Darkwisp<\/b>.<\/p>\n
La actividad se ha atribuido a un presunto grupo de pirater\u00eda ruso llamado Water Gamayun, que tambi\u00e9n se conoce como CiCrryPTHUB y LARVA-208.<\/p>\n
“El actor de amenaza despliega las cargas \u00fatiles principalmente mediante paquetes de aprovisionamiento malicioso, archivos .msi firmados y archivos MSC de Windows, utilizando t\u00e9cnicas como el IntelliJ Runnerw.exe para la ejecuci\u00f3n de comandos”, los investigadores de Trend Micro Aliakbar Zahravi y Ahmed Mohamed Ibrahim dicho<\/a> En un an\u00e1lisis de seguimiento publicado la semana pasada.<\/p>\n Water Gamayun se ha vinculado a la explotaci\u00f3n activa del CVE-2025-26633 (tambi\u00e9n conocido como MSC Eviltwin), una vulnerabilidad en el marco de la consola de administraci\u00f3n de Microsoft (MMC), para ejecutar malware por medio de un archivo Rogue Microsoft Console (.msc).<\/p>\n Las cadenas de ataque implican el uso de paquetes de aprovisionamiento (.ppkg), archivos de instalador de Microsoft Windows firmados (.msi) y archivos .msc para entregar informaci\u00f3n de robos y puertas traseras que son capaces de persistencia y robo de datos. <\/p>\n CiCrryPTHUB llam\u00f3 la atenci\u00f3n a fines de junio de 2024, despu\u00e9s de haber usado un repositorio de GitHub llamado “CiCryPTHUB” para empujar a varios tipos de familias de malware, incluidos robos, mineros y ransomware, a trav\u00e9s de un Sitio web falso de Winrar<\/a>. Desde entonces, los actores de amenaza han hecho la transici\u00f3n a su infraestructura tanto para la puesta en escena como para los fines de comando y control (C&C).<\/p>\n Los instaladores .msi utilizados en los ataques se preparan como software leg\u00edtimo de mensajer\u00eda y reuni\u00f3n como Dingtalk, QQTalk y VOOV Reuni\u00f3n. Est\u00e1n dise\u00f1ados para ejecutar un descargador de PowerShell, que luego se usa para obtener y ejecutar la carga \u00fatil de la pr\u00f3xima etapa en un host comprometido.<\/p>\n Uno de estos malware es un implante de PowerShell denominado SilentPrism que puede configurar la persistencia, ejecutar m\u00faltiples comandos de shell simult\u00e1neamente y mantener el control remoto, al tiempo que incorpora t\u00e9cnicas anti-an\u00e1lisis para evadir la detecci\u00f3n. Otra puerta trasera de PowerShell es DarkWisp, que permite el reconocimiento del sistema, la exfiltraci\u00f3n de datos confidenciales y la persistencia. <\/p>\n “Una vez que el malware exfiltra el reconocimiento y la informaci\u00f3n del sistema al servidor C&C, ingresa a un bucle continuo esperando comandos”, dijeron los investigadores. “El malware acepta comandos a trav\u00e9s de una conexi\u00f3n TCP en el puerto 8080, donde llegan los comandos en el comando de formato | “El bucle de comunicaci\u00f3n principal garantiza una interacci\u00f3n continua con el servidor, manejar comandos, mantener la conectividad y transmitir de forma segura los resultados”.<\/p>\n La tercera carga \u00fatil que se redujo en los ataques es el cargador MSC Eviltwin que armaba CVE-2025-26633 para ejecutar un archivo .msc malicioso, lo que finalmente conduce al despliegue del robador de Rhadamanthys. El cargador tambi\u00e9n est\u00e1 dise\u00f1ado para realizar una limpieza del sistema para evitar dejar un sendero forense.<\/p>\n Rhadamanthys est\u00e1 lejos de ser el \u00fanico robador en el arsenal de Gamayun de Water, ya que se ha observado que entrega otro robador de productos llamados STEALC, as\u00ed como tres variantes personalizadas de PowerShell denominadas Variant A, variantes B y variantes.<\/p>\n El Stealer a medida es un malware totalmente caracter\u00edstico que puede recopilar informaci\u00f3n extensa del sistema, incluidos detalles sobre el software antivirus, el software instalado, los adaptadores de red y las aplicaciones en ejecuci\u00f3n. Tambi\u00e9n extrae contrase\u00f1as de Wi-Fi, claves de productos de Windows, historial de portapapeles, credenciales de navegador y datos de sesi\u00f3n de varias aplicaciones relacionadas con mensajes, VPN, FTP y administraci\u00f3n de contrase\u00f1as.<\/p>\n Adem\u00e1s, destaca espec\u00edficamente archivos que coinciden con ciertas palabras clave y extensiones, lo que indica un enfoque en recopilar frases de recuperaci\u00f3n asociadas con billeteras de criptomonedas.<\/p>\n “Estas variantes exhiben funcionalidades y capacidades similares, con solo modificaciones menores que las distinguen”, se\u00f1alaron los investigadores. “Todas las variantes de CiCrypThub cubiertas en esta investigaci\u00f3n son versiones modificadas del robador kematiano de c\u00f3digo abierto”.<\/p>\n Una iteraci\u00f3n del robador de cifrado es notable para el uso de una nueva t\u00e9cnica binaria viva-de la tierra (LOLBIN) en la que el lanzador de procesos IntelliJ “Runnerw.exe” se utiliza para obtener la ejecuci\u00f3n de un script de PowerShell remoto en un sistema infectado.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/03\/Los-piratas-informaticos-rusos-explotan-CVE-2025-26633-a-traves-de-MSC.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n