Tres grupos de ciberdelincuentes atacan a empresas rusas con puertas traseras, ransomware y programas de borrado de datos

Según va­rios in­for­mes de Kas­persky, las em­pre­sas rusas se han con­ver­ti­do en el ob­je­ti­vo de tres gru­pos de ame­na­zas iden­ti­fi­ca­dos como Nigh­tEa­gle, Hac­king Cat y Toy Ghouls.

El pro­vee­dor de ci­ber­se­gu­ri­dad afir­mó haber iden­ti­fi­ca­do ata­ques per­pe­tra­dos por Nigh­tEa­gle (tam­bién co­no­ci­do como APT-Q-95), un grupo de ci­ber­de­lin­cuen­tes ac­ti­vo desde al menos 2023, que em­plean nue­vas téc­ni­cas de per­sis­ten­cia y mo­vi­mien­to la­te­ral.

"En la ma­yo­ría de los in­ci­den­tes, los ata­can­tes uti­li­za­ron cre­den­cia­les vá­li­das com­pro­me­ti­das para ac­ce­der a las VPN cor­po­ra­ti­vas", in­di­có Kas­persky en su aná­li­sis. "Las co­ne­xio­nes VPN se ori­gi­na­ron desde di­rec­cio­nes IP del seg­men­to ruso vin­cu­la­das a tú­ne­les Cloud­fla­re WARP, así como desde di­rec­cio­nes IP aso­cia­das a pro­vee­do­res de in­fra­es­truc­tu­ra vir­tual eu­ro­peos".

Los ata­ques, como se des­ta­có en julio de 2025, im­pli­can el des­plie­gue de Ghost­Con­tai­ner, una puer­ta tra­se­ra mo­du­lar co­no­ci­da que otor­ga a los ope­ra­do­res ac­ce­so com­ple­to al ser­vi­dor Mi­cro­soft Ex­chan­ge de la víc­ti­ma, ade­más de la ca­pa­ci­dad de eje­cu­tar có­di­go ar­bi­tra­rio, rea­li­zar ope­ra­cio­nes con ar­chi­vos y car­gar mó­du­los adi­cio­na­les.

Para elu­dir la de­tec­ción, el malwa­re se dis­fra­za de un com­po­nen­te común del ser­vi­dor para in­te­grar­se en las ope­ra­cio­nes ha­bi­tua­les. Tam­bién puede fun­cio­nar como un re­di­rec­cio­na­dor de trá­fi­co o un túnel. Ata­ques an­te­rio­res con este malwa­re han te­ni­do como ob­je­ti­vo una agen­cia gu­ber­na­men­tal y una em­pre­sa de alta tec­no­lo­gía ubi­ca­da en Asia…