Un operador de malware dejó su servidor de entrega completamente expuesto, y Rapid7 logró descargar todo el kit: 1,048 archivos que incluían plantillas de señuelo, pruebas de suplantación de nombres de archivo, experimentos de ejecución, droppers, notas del creador y dos cadenas de campaña. Una de ellas ya estaba activa contra usuarios de Windows en México, distribuyendo un infostealer a través de un sitio falso de consulta de identificación gubernamental mediante WebDAV.
Lo que hace que esto sea más que una simple colección de payloads es que capturó la operación en pleno proceso de construcción. Notas de prueba, experimentos fallidos, documentación y registros de entrega en vivo se encontraban en un solo lugar, proporcionando a los defensores una rara visión completa del desarrollo del ataque.
Rapid7 interpreta los artefactos, incluida una ruta codificada que apunta a una herramienta de codificación de IA de código abierto, como evidencia de que el operador utilizó IA generativa para producir, probar y documentar la entrega de phishing a gran velocidad.
Técnica de Secuestro de Directorio WebDAV
El conjunto de pruebas más desarrollado se centró en CVE-2025-33053 (CVSS 8.8, ahora en el catálogo KEV de CISA), la vulnerabilidad de secuestro de directorio de trabajo WebDAV que Check Point documentó el año pasado en su informe Stealth Falcon. El operador estaba reproduciendo esta técnica, que abusa de un acceso directo .url para lanzar un binario legítimo firmado de Windows mientras apunta su directorio de trabajo a un recurso compartido WebDAV controlado por el atacante.
En el ataque original, el acceso directo lanzaba iediagcmd.exe, una herramienta de diagnóstico de Internet Explorer que inicia helpers como route.exe solo por nombre de archivo. Con el directorio de trabajo apuntando al recurso remoto, Windows carga el route.exe del atacante desde WebDAV en lugar del real en System32. Las notas del operador afirman que esto se ejecuta sin advertencias de SmartScreen ni Mark-of-the-Web, "SIN advertencias de seguridad. ¡Cero alertas!" Microsoft parcheó la falla en junio de 2025.
Las notas coinciden estrechamente con el informe de Check Point, hasta el punto de que un README recuperado preservaba la ruta de ejemplo exacta summerartcamp[.]net@ssl@443DavWWWRootOSYxaOjr del informe original. Luego, el operador amplió las pruebas.
Kit de Pruebas y Uso de LLM
Un "kit de pruebas integral" expandió la técnica única en 59 archivos .url dirigidos a otros binarios firmados: herramientas .NET como InstallUtil y RegAsm, entradas LOLBAS e incluso candidatos para bypass de UAC, cada uno con una teoría escrita de por qué el secuestro debería funcionar y un orden de pruebas escalonado. Las notas tratan estos como candidatos para probar uno por uno, no secuestros confirmados, y el operador construyó el conjunto por una razón concreta: el truco original falla en Windows 11 24H2, donde Internet Explorer y, por lo tanto, iediagcmd.exe han desaparecido.
El directorio también contenía conjuntos de pruebas más pequeños para otras dos vulnerabilidades de manejo de archivos, el bypass de MSHTML CVE-2026-21513 y la fuga NTLM CVE-2025-24054, pero el secuestro WebDAV era el objetivo principal.
La pista está en la documentación. Rapid7 afirma que los README, guías de generación de señuelos, informes de prueba en formato matriz y un archivo _MAPPING.csv que vincula cada archivo de prueba con su binario objetivo llevan el formato estandarizado, verbosidad y estructura rica en emojis que asocia con la salida de un LLM. El sitio de phishing también contenía JavaScript con muchos emojis, lo que refuerza esta conclusión.
Los comentarios en ruso y los nombres de carpetas, como testik (diminutivo de "test"), sitúan al operador en un contexto de habla rusa, pero no lo identifican. Rapid7 atribuye la operación a un flujo de trabajo asistido por LLM, probablemente construido con ayuda de Coderrr, una herramienta de codificación de IA de código abierto. The Hacker News confirmó que el repositorio es público desde el 20 de julio de 2026: una herramienta de propósito general, no específica para atacantes.
El operador incluso dejó el panel de entrega, una herramienta de administración llamada Simba Service, en el mismo servidor con su puerto y credenciales predeterminados sin cambiar.
Campaña Activa Contra Usuarios Mexicanos
La alerta MDR se remontó a gobf[.]mx, un typosquatting de la consulta gubernamental de CURP (identificación nacional), que servía a las víctimas una página falsa de recuperación de registros cuyo botón de descarga ejecutaba una consulta search-ms:. Esto abría el recurso compartido WebDAV del operador como una búsqueda del Explorador de Windows filtrada a archivos .scr.
El señuelo más distribuido parecía un informe CURP en PDF, pero era un ejecutable .scr, cuyo nombre de archivo se modificó con un override de derecha a izquierda (RTLO) para que se leyera como PDF. Era un instalador de Inno Setup que desempaquetaba un loader y ejecutaba un infostealer .NET completamente en memoria, inyectado en un proceso firmado de Qihoo 360.
El ladrón robaba billeteras de criptomonedas, credenciales de navegador, cookies de sesión y sesiones de Telegram. Una segunda campaña, DlrtyGames, tomó una ruta diferente, cargando lateralmente una DLL troyanizada a través de un binario firmado de Ubisoft para distribuir un RAT modular .NET.
En aproximadamente 5.5 días (del 20 al 26 de junio de 2026 UTC), el panel de entrega registró 77,098 solicitudes de 3,892 IPs únicas en 101 países, con México representando el 82.5% del tráfico y el 96.9% de la actividad de lanzamiento. Un solo señuelo CURP generó 2,384 de los 2,441 eventos de lanzamiento, aproximadamente el 97.7%.
Esta cifra mide el alcance de la entrega, no las infecciones: Rapid7 cuenta un "evento de lanzamiento" cuando el panel ve una solicitud de cliente o abre un ejecutable del recurso compartido, no una ejecución confirmada en un endpoint. El tráfico de EE. UU. y Alemania parecía más escaneo que víctimas. La actividad también se concentró en horas laborales mexicanas, consistente con usuarios reales.
Recomendaciones para Defensores
Para los defensores, el parche de junio de 2025 cerró la ruta original de iediagcmd.exe, pero el kit de 59 archivos muestra al operador buscando otros binarios firmados que se comporten de manera similar. Rapid7 ha publicado indicadores para ambas campañas, incluidas direcciones C2 y hashes de archivos, en su GitHub. Bloquee esos primero.
Para lo que los IOCs no cubren, observe el comportamiento que la alerta detectó inicialmente: el servicio WebClient iniciándose y davclnt.dll alcanzando un host remoto, un binario firmado generando un hijo cuya ruta de imagen está en un recurso compartido WebDAV o UNC, y nombres de archivo que usan RTLO (U+202E), dobles extensiones o relleno antes de .exe o .scr.
The Hacker News se ha puesto en contacto con Rapid7 para obtener aclaraciones sobre la identificación final del payload y el estado actual de la infraestructura expuesta, y actualizará esta historia con cualquier respuesta.
El brote de entrega fue breve, disminuyendo después del 24 de junio. Lo que perdura es el método: un operador integró herramientas de codificación de IA comerciales, nunca diseñadas para este propósito, en un pipeline repetible para producir y probar entregas de phishing, listo para apuntar al próximo objetivo.
Deja una respuesta