Las infraestructuras críticas de todo el mundo están amenazadas por «ecosistemas de espionaje» altamente organizados y patrocinados por el Estado. Estas organizaciones poco unidas pero bien dotadas de recursos están desplegando una variedad de herramientas destinadas tanto a interrumpir los servicios esenciales como a recopilar información de inteligencia. Algunas actúan lanzando ataques dedicados de denegación de servicio (DDoS) contra los centros de transporte y comunicaciones, así como contra las cadenas de suministro comerciales. Otros buscan ventajas geopolíticas, militares o económicas, son expertos en la extracción de información sensible y hábiles para eludir las medidas de seguridad tradicionales. Todo es un objetivo y ningún lugar está a salvo.
Entonces, ¿qué aspecto tiene un ecosistema de espionaje y cómo funciona? En este blog le mostramos un ejemplo reciente.
Durante más de una década, el gobierno indio y las organizaciones de defensa han operado bajo una constante sombra digital. Entre bastidores, un ecosistema de espionaje estrechamente conectado -sobre todo Transparent Tribe (APT36) y el grupo estrechamente alineado SideCopy- ha seguido sondeando, adaptándose y persistiendo. Aunque las campañas individuales van y vienen, el objetivo subyacente permanece inalterado: la recopilación de inteligencia a largo plazo a través de un acceso sigiloso y resistente, lo que subraya la importancia de los esfuerzos de defensa sostenidos.
Estos actores no son llamativos. En su lugar, confían en tácticas probadas, spear-phishing, documentos armados y una mezcla de troyanos de acceso remoto personalizados y comerciales para incrustarse silenciosamente en los entornos objetivo. Con el tiempo, sin embargo, sus herramientas han evolucionado constantemente. Las cargas útiles multiplataforma, la ejecución residente en memoria y los canales de mando y control cada vez más encubiertos forman ahora la columna vertebral de un ecosistema diseñado para la paciencia más que para la velocidad, lo que anima a los defensores a adaptarse continuamente.
Un aumento de la actividad: Lo que observamos
Durante el mes pasado, los Laboratorios de Investigación de Amenazas Aryaka observaron múltiples campañas activas dirigidas a organizaciones indias de defensa y alineadas con el gobierno, tanto en entornos Windows como Linux. Detallar el enfoque de estas campañas pone de relieve el persistente panorama de amenazas al que se enfrentan los sectores de seguridad regionales.
Campaña Windows: GETA RAT vía Abuso de vivir fuera de la tierra
Una campaña activa se dirigía a sistemas Windows mediante correos electrónicos de phishing que entregaban archivos LNK y HTA. Estos archivos desplegaban en última instancia GETA RAT, un troyano de acceso remoto basado en .NET frecuentemente vinculado al grupo SideCopy. La cadena de infección abusa de componentes legítimos de Windows -incluyendo mshta.exe, deserialización XAML y ejecución de carga útil en memoria- para evadir la detección tradicional basada en archivos.
Para lograr la persistencia, los atacantes implementaron mecanismos de arranque por capas que aseguraban el acceso continuado incluso si se producía una interrupción en la cadena de infección. El resultado es un punto de apoyo ligero pero duradero, muy adecuado para el reconocimiento prolongado y la recopilación de inteligencia.
Campaña Linux: ARES RAT y la persistencia a nivel de sistema
Paralelamente, otra campaña se centró en entornos Linux, un área en la que Transparent Tribe ha mostrado una creciente madurez. Esta operación utilizó un descargador basado en Go para instalar ARES RAT, una herramienta de acceso remoto basada en Python asociada históricamente con la actividad de APT36.
Una vez desplegado, ARES RAT realizó un perfilado automatizado del sistema, una enumeración recursiva de archivos y una exfiltración estructurada de datos. La persistencia se logró a través de los servicios de usuario systemd, lo que permitió al malware sobrevivir a los reinicios mientras se mezclaba con las operaciones normales del sistema. Esta campaña señala claramente una intención de mantener la paridad entre plataformas, en lugar de tratar a Linux como una ocurrencia tardía.
Una herramienta emergente: Desk RAT entra en escena
Más allá de las familias de malware conocidas, Aryaka Threat Research Labs también observó campañas que distribuían Desk RAT, un troyano de acceso remoto basado en Go y distribuido a través de un complemento malicioso de PowerPoint (PPAM). El énfasis en esta herramienta emergente subraya la continua innovación de los actores de amenazas y la necesidad de actualizar las estrategias de detección.
Desk RAT destaca por su énfasis en la telemetría del host y la supervisión en tiempo real. Recopila diagnósticos detallados del sistema y se comunica con sus operadores mediante un sistema de mando y control basado en WebSocket, intercambiando mensajes estructurados de heartbeat e información del cliente. Este diseño permite un conocimiento continuo de la situación de los hosts comprometidos, lo que refuerza los objetivos de vigilancia a largo plazo de APT36.
Una visión más amplia
En conjunto, estas campañas refuerzan una narrativa familiar pero en evolución. Transparent Tribe y SideCopy no están reinventando el espionaje, sino refinándolo. Al ampliar la cobertura multiplataforma, inclinarse por técnicas residentes en la memoria y experimentar con nuevos vectores de distribución, este ecosistema sigue operando por debajo del ruido de fondo al tiempo que mantiene un enfoque estratégico.
Para los defensores, la lección está clara: no se trata de incidentes aislados, sino de esfuerzos coordinados dentro de un ecosistema de amenazas maduro. Detectar y desbaratar a estos actores requiere visibilidad en todas las plataformas, atención a las sutiles señales de comportamiento y comprender que la persistencia es la mayor arma del atacante y no la velocidad, lo que faculta a los equipos de seguridad para tomar medidas integrales.
Lea el informe completo aquí