Las instituciones gubernamentales de alto nivel en Sri Lanka, Bangladesh y Pakist\u00e1n se han convertido en el objetivo de una nueva campa\u00f1a orquestada por un actor de amenaza conocido como Sidewinder.<\/p>\n
“Los atacantes utilizaron correos electr\u00f3nicos de phishing de lanza combinados con cargas \u00fatiles geofencionadas para garantizar que solo las v\u00edctimas en pa\u00edses espec\u00edficos recibieran el contenido malicioso”, los investigadores de Acronis Santiago Pontiroli, Jozsef Gegeny y Prakas thevendaran dicho<\/a> En un informe compartido con The Hacker News.<\/p>\n Las cadenas de ataque aprovechan los se\u00f1uelos de phishing de lanza como punto de partida para activar el proceso de infecci\u00f3n y implementar un malware conocido denominado StealerBot. Vale la pena se\u00f1alar que el modus operandi es consistente con los recientes ataques de compras documentados por Kaspersky en marzo de 2025.<\/p>\n Algunos de los objetivos de la campa\u00f1a, seg\u00fan Acronis, incluyen la Comisi\u00f3n Reguladora de Telecomunicaciones de Bangladesh, el Ministerio de Defensa y el Ministerio de Finanzas; Direcci\u00f3n de Pakist\u00e1n de desarrollo t\u00e9cnico ind\u00edgena; y el Departamento de Recursos Externos de Sri Lanka, Departamento de Operaciones del Tesoro, Ministerio de Defensa y Banco Central.<\/p>\n Los ataques se caracterizan por el uso de fallas de ejecuci\u00f3n de c\u00f3digo remoto de a\u00f1os en la oficina de Microsoft (CVE-2017-0199 y CVE-2017-11882) como vectores iniciales para implementar malware capaz de mantener el acceso persistente en entornos gubernamentales en todo el sur de Asia.<\/p>\n Los documentos maliciosos, cuando se abren, activan un exploit para CVE-2017-0199 para entregar cargas \u00fatiles de la pr\u00f3xima etapa responsables de instalar StealerBot mediante t\u00e9cnicas de carga lateral DLL.<\/p>\n Una t\u00e1ctica notable adoptada por Sidewinder es que los correos electr\u00f3nicos de phishing de lanza se combinan con cargas \u00fatiles geofenciadas para garantizar que solo las v\u00edctimas que cumplan con los criterios de orientaci\u00f3n reciban el contenido malicioso. En el caso de que la direcci\u00f3n IP de la v\u00edctima no coincida, se env\u00eda un archivo RTF vac\u00edo como un se\u00f1uelo.<\/p>\n La carga \u00fatil maliciosa es un archivo RTF que armaba CVE-2017-11882, una vulnerabilidad de corrupci\u00f3n de memoria en el editor de ecuaciones, para lanzar un cargador basado en shellcode que ejecuta el malware de strealerbot.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/05\/Ministerios-del-Sur-de-Asia-Hit-por-Sidewinder-APT-utilizando.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n