Underc0de - La Casa de los Informáticos

Investigadores de Arctic Wolf Labs han revelado una nueva operación de ciberespionaje y cibercrimen que combina dos amenazas ya conocidas pero poco vistas trabajando juntas: SocGholish (también llamado FakeUpdates) como vector de acceso inicial y RomCom como carga útil principal, una familia de malware asociada a actores alineados con Rusia.

Este caso resulta particularmente relevante porque es la primera vez que SocGholish es utilizado para distribuir RomCom, lo que demuestra una evolución en las tácticas de colaboración entre grupos criminales con motivaciones tanto financieras como geopolíticas.

¿Qué es SocGholish (FakeUpdates) y por qué es tan peligroso?

SocGholish es un loader basado en JavaScript que se ha convertido en uno de los métodos de infección más utilizados en campañas de malware a gran escala. Su técnica principal consiste en mostrar falsas alertas de actualización del navegador en sitios web legítimos pero previamente comprometidos.

CitarEl usuario visita un portal web aparentemente normal, pero este ha sido manipulado para mostrar un mensaje como:

"Tu navegador está desactualizado. Descarga la nueva versión para continuar."

Al hacer clic, la víctima descarga un archivo JavaScript malicioso que:

• Se ejecuta localmente.
• Establece persistencia en el sistema.
• Descarga otras cargas útiles desde servidores controlados por los atacantes.

SocGholish no es un malware final, sino un facilitador de acceso inicial, usado por múltiples grupos criminales, incluyendo:

• Evil Corp
• LockBit
• Dridex
• Raspberry Robin
• TA569 (Gold Prelude / UNC1543 / Mustard Tempest)

Su éxito radica en su capacidad para explorar vulnerabilidades en plugins de sitios web, insertar JavaScript malicioso y explotar la confianza del usuario.

RomCom: ciberespionaje, crimen y conexión con el GRU

RomCom, también conocido como:

• Nebulous Mantis
• Tropical Scorpius
• Storm-0978
• Void Rabisu
• UNC2596

es un grupo vinculado a campañas de ciberespionaje y crimen híbrido desde al menos 2022.

Arctic Wolf atribuye esta actividad con confianza media-alta a la Unidad 29155 del GRU ruso, una división del Estado Mayor de las Fuerzas Armadas rusas, asociada previamente a operaciones encubiertas y sabotaje cibernético.

En este caso específico, el objetivo fue una empresa de ingeniería civil estadounidense que anteriormente había trabajado para una ciudad con fuertes vínculos con Ucrania.

Esto refuerza un patrón constante: RomCom ataca organizaciones directa o indirectamente relacionadas con Ucrania, sus aliados y entidades que ofrecen soporte técnico, logístico o infraestructural.

Cadena de ataque: cómo se ejecutó la intrusión

El ataque analizado por los investigadores siguió una secuencia casi quirúrgicamente milimetrada:

1. Compromiso de un sitio web legítimo
Los atacantes explotaron vulnerabilidades en plugins para inyectar código JavaScript malicioso.

2. Distribución del loader SocGholish
Al visitar el sitio, la víctima veía una falsa actualización de navegador y descargaba el archivo JavaScript.

3. Ejecución de shell inversa
El código malicioso establecía conexión con un servidor de comando y control (C2), permitiendo a los atacantes ejecutar comandos remotamente.

4. Reconocimiento inicial
Los actores recopilaban información sobre el entorno: sistema operativo, usuarios, dominio, y estructura interna.

5. Verificación del dominio Active Directory
La entrega de RomCom no ocurría hasta que se verificaba que el dominio Windows coincidía con un valor predefinido, demostrando un ataque altamente dirigido.

6. Despliegue del loader RomCom
Se entregaba un cargador DLL con capacidad para iniciar el framework RomCom.

7. Lanzamiento del Agente Mítico y VIPERTUNNEL

• El Agente Mítico es un componente post-explotación multiplataforma usado para control total del sistema.
• VIPERTUNNEL, una puerta trasera escrita en Python, facilitaba comunicaciones persistentes con el servidor atacante.

Todo este proceso ocurrió en menos de 30 minutos desde la infección inicial, lo que demuestra un nivel de automatización y eficiencia altamente preocupante.

Técnicas, tácticas y procedimientos (TTPs) destacados

Esta campaña muestra un alto nivel de sofisticación técnica:

• Uso de JavaScript malicioso como vector inicial.
• Aplicación de spear-phishing indirecto, a través de sitios legítimos comprometidos.
• Implementación de shell inversa para control remoto.
• Uso de malware modular: SocGholish + RomCom + Agente Mítico.
• Creación de una infraestructura C2 resiliente para mantener persistencia.

Además, el ataque demuestra una clara integración de herramientas de red teaming ofensivo en operaciones reales de espionaje.

Implicaciones para empresas y equipos de seguridad

Este caso confirma varias tendencias clave en el panorama actual de amenazas:

• El JavaScript sigue siendo uno de los vectores más explotados.
• Los loaders como SocGholish se consolidan como "marketplace" de acceso para diferentes actores.
• Los ataques dirigidos continúan escalando en velocidad: menos de una hora desde la infección hasta el compromiso total.

Las empresas, especialmente aquellas vinculadas a sectores estratégicos, infraestructura crítica y gobiernos locales, deberían reforzar:

• Políticas de actualización centralizada de software.
• Filtrado de scripts en navegadores corporativos.
• Segmentación de red y monitoreo de tráfico C2.
• Protección avanzada de endpoints.
• Evaluaciones constantes de seguridad en sus sitios web.

En fin...

El ataque que combina SocGholish y RomCom marca un nuevo precedente en las amenazas persistentes avanzadas (APT) modernas. No se trata simplemente de ciberdelito económico, sino de un modelo híbrido en el que convergen espionaje, sabotaje y acceso criminal como servicio.

La utilización de JavaScript, loaders modulares, y malware como servicio demuestra cómo el ecosistema criminal evoluciona para operar con velocidad, precisión y sigilo.

Las organizaciones deben considerar este caso como una señal de alerta temprana frente a futuras campañas más sofisticadas.

Fuente: https://thehackernews.com/