Underc0de - La Casa de los Informáticos

Un actor de amenazas alineado con China, identificado por los investigadores como UTA0388, ha sido atribuido a una serie de campañas de spear-phishing dirigidas a objetivos en Norteamérica, Asia y Europa cuyo propósito principal es entregar una puerta trasera desarrollada en Go conocida como GOVERSHELL. Estas operaciones, documentadas en un informe técnico de Volexity, muestran un uso combinado de señuelos altamente personalizados, infraestructuras legítimas para alojar cargas y —de forma notable— modelos de lenguaje grande (LLM) para automatizar y traducir contenidos de phishing.

Según Volexity, las primeras oleadas se presentaron con mensajes supuestamente enviados por investigadores o analistas de alto nivel de organizaciones fabricadas con nombres verosímiles. Posteriormente el actor evolucionó hacia phishing de creación de relaciones: secuencias de interacción largas para ganarse la confianza del objetivo antes de entregar el enlace malicioso. Los vínculos entregaban archivos ZIP o RAR que contenían una DLL maliciosa iniciada mediante DLL sideloading, método clásico para ejecutar cargas no autorizadas en entornos Windows.

Multilingüismo, servicios legítimos y uso de LLMs

UTA0388 desplegó cebos en inglés, chino, japonés, francés y alemán. En varias ocasiones los archivos maliciosos estuvieron alojados en servicios legítimos como Netlify, Sync y OneDrive, mientras que los correos partieron desde cuentas en Proton Mail, Outlook y Gmail. Un hallazgo crítico es el uso de ChatGPT para generar contenido del phishing en múltiples idiomas, asistir en flujos de trabajo maliciosos y recabar instrucciones sobre herramientas de reconocimiento (por ejemplo Nuclei y fscan). OpenAI bloqueó cuentas asociadas tras la detección del abuso.

Proofpoint y otras firmas han observado actividad solapada: Volexity indica que la operación se traslapa en parte con un clúster que Proofpoint registra como UNK_DropPitch, lo que sugiere convergencia en técnicas y objetivos en campañas centradas en inteligencia financiera y geopolítica regional.


GOVERSHELL: evolución y variantes identificadas

GOVERSHELL es la evolución de una familia previa en C++ conocida como HealthKick y ya presenta al menos cinco variantes con capacidades diferenciadas:

• HealthKick (abr. 2025): ejecución de comandos via cmd.exe.
• TE32 (jun. 2025): shell inverso en PowerShell para ejecución directa de comandos.
• TE64 (jul. 2025): ejecución nativa y dinámica mediante PowerShell; sondeo de servidor C2.
• WebSocket (jul. 2025): comunica vía WebSocket y soporta comandos PowerShell con subcomando de actualización.
• Beacon (sep. 2025): agrega intervalos de sondeo aleatorizados y ejecución dinámica de PowerShell.

La combinación de un implante en Go con módulos que usan PowerShell y DLL sideloading hace a GOVERSHELL flexible y difícil de detectar mediante firmas simples.

Impacto observado y objetivos

Volexity evalúa que el perfil de orientación es coherente con intereses geopolíticos asiáticos, con especial focalización en temas relacionados con Taiwán; además, se han reportado campañas contra departamentos gubernamentales europeos —incluyendo un caso reciente vinculado a la aviación en Serbia descrito por StrikeReady Labs— y otras instituciones en Hungría, Bélgica, Italia y Países Bajos. Esto evidencia un uso operacional del malware tanto contra objetivos diplomáticos como industriales.

Técnicas, tácticas y procedimientos (TTPs) destacados

• Spear-phishing multilíngüe y phishing de creación de relaciones para establecer confianza.
• Uso de infraestructuras en la nube y servicios legítimos para hospedar cargas y evadir bloqueos.
• DLL sideloading para ejecutar la puerta trasera desde un cargador legítimo.
• Automatización con LLMs (ChatGPT) para adaptar y escalar las campañas en múltiples idiomas.

Recomendaciones prácticas de defensa

• Bloquear y analizar enlaces entrantes: aplicar filtros URL y sandboxing antes de permitir descargas.
• Inspección y restricción de cargas remotas (OneDrive, Netlify, etc.): configurar políticas para bloquear ejecutables y archivos comprimidos desde remitentes no verificados.
• Endurecer ejecución en endpoints: mitigar DLL sideloading y aplicar políticas de restricción (AppLocker/WDAC).
• Monitoreo de PowerShell: habilitar registro avanzado de PowerShell y telemetría para detectar comandos atípicos.
• Concienciación y simulaciones: reforzar formación en phishing y ejecutar ejercicios de red team/red-blue para validar detecciones.
• Revisión de cuentas y automatización: auditar cuentas que generan contenido automatizado y aplicar MFA y límites de uso de APIs y servicios de IA donde sea posible.

En fin...

La campaña de UTA0388 y la proliferación de GOVERSHELL confirman una tendencia crítica: los actores sofisticados combinan automatización impulsada por IA, infraestructuras legítimas y técnicas clásicas de persistencia para maximizar éxito y evadir detecciones. La respuesta efectiva exige controles técnicos, visibilidad de red y formación humana. Mantener políticas de bloqueo de ejecución, observabilidad de PowerShell y controles sobre servicios en la nube reducirá significativamente el riesgo de intrusión y despliegue de implantes como GOVERSHELL.

Fuente: https://thehackernews.com/