Tres grupos maliciosos atacan a empresas rusas con puertas traseras, ransomware y programas de borrado de datos

Según los informes de Kaspersky, empresas en Rusia han sido blanco de tres clústeres de amenazas denominados NightEagle, Hacking Cat y Toy Ghouls. El grupo NightEagle, activo desde al menos 2023, ha empleado credenciales corporativas comprometidas para acceder a redes privadas virtuales y utiliza el backdoor modular GhostContainer, el cual se oculta simulando ser un componente común del servidor. Para moverse lateralmente y lograr privilegios elevados, este actor explota vulnerabilidades en Active Directory, emplea herramientas de túneles y busca establecer persistencia para comprometer controladores de dominio.

Por otro lado, la entidad hacktivista pro ucraniana Hacking Cat ha cambiado sus tácticas hacia ataques destructivos y de cifrado, colaborando con otros grupos y empleando el troyano de acceso remoto Gorilla RAT junto con variantes del ransomware Monkey y el wiper Nemo Wiper. Los ataques de este grupo aprovechan vulnerabilidades en servidores Exchange y despliegan malware en múltiples lenguajes que incorpora capacidades para inhibir la recuperación del sistema, terminar procesos y cifrar archivos. No obstante, Hacking Cat ha negado a través de su canal de Telegram la autoría de los lockers y ha cuestionado las atribuciones de Kaspersky.

Finalmente, el grupo Toy Ghouls, motivado por fines financieros y activo desde 2025, ha evolucionado desde el uso de constructores de ransomware filtrados hacia un backdoor personalizado conocido como Bird Agent. Este malware cuenta con variantes que utilizan un broker MQTT o la aplicación de mensajería cifrada Element para comunicarse con su servidor de comando y control, y es entregado en los sistemas mediante la administración remota de Windows y herramientas de código abierto para evadir la detección.