Ver el código de «Operación DragonForce: Abuso de Infraestructura TURN de Microsoft Teams para Ocultar Comunicaciones C2 con Backdoor.Turn (2025-2026)»

== Nombres Alternativos / Aliases ==

* Backdoor.Turn (Malware personalizado)
* DragonForce Teams TURN Abuse (Por la técnica de ocultación)
* BYOVD Multi-Vector Campaign (Por las técnicas de evasión)
* Havoc Process Terminator (Por el controlador de Huawei abusado)
* Storm-xxxx (Designación de Microsoft, no especificada)

----

== Fecha de Detección / Actividad ==
{| class="wikitable"
!Fecha/Período
!Evento
|-
|Diciembre de 2025
|Primera observación de la actividad por Symantec
|-
|Diciembre 2025 - Enero/Febrero 2026
|Los atacantes permanecieron en la red de la víctima (1-2 meses)
|-
|Marzo de 2026
|Huntress documenta la vulnerabilidad del controlador de Huawei (CVE-2025-61155)
|-
|16 de junio de 2026
|Publicación del informe de Symantec
|-
|Estado actual
|Activa (técnica documentada, probablemente en uso por otros grupos)
|}
----

== Actor de Amenaza (Atribución) ==
{| class="wikitable"
!Categoría
!Descripción
|-
|Nombre del Actor
|DragonForce (grupo de ransomware como servicio - RaaS)
|-
|Vínculo Gubernamental
|No (ciberdelincuencia con motivación financiera)
|-
|Tipo de Actor
|Ciberdelincuencia / Ransomware as a Service (RaaS)
|-
|Antigüedad
|Activo desde 2023
|-
|Sofisticación
|MUY ALTA. El grupo demuestra:
|}

* Uso innovador de infraestructura legítima (TURN/Teams) para C2
* Técnicas avanzadas de evasión (BYOVD multi-vector)
* Desarrollo de malware personalizado (Backdoor.Turn, ABYSSWORKER)
* Persistencia prolongada (1-2 meses en red de la víctima) |  | Motivación | Financiera (ransomware, extorsión) |  | Modelo de negocio | RaaS: proporciona ransomware y soporte a afiliados a cambio de parte de los rescates |

----

== Resumen Ejecutivo ==
El grupo de ransomware DragonForce ha utilizado un malware personalizado llamado Backdoor.Turn para ocultar el tráfico de comando y control (C2) dentro de la infraestructura de retransmisión TURN de Microsoft Teams durante una intrusión en una empresa de servicios estadounidense.

=== El descubrimiento clave: abuso de TURN ===
{| class="wikitable"
!Componente
!Descripción
|-
|Servicio abusado
|Infraestructura TURN (Traversal Using Relays around NAT) de Microsoft Teams
|-
|Mecanismo
|Backdoor.Turn obtiene un token de visitante anónimo de Teams a través de los servicios de identidad de Microsoft respaldados por Skype
|-
|Conexión
|Utiliza un relé TURN legítimo de Microsoft para establecer la conexión
|-
|Canal de comunicación
|Ejecuta una sesión QUIC con el servidor C2 real del atacante a través del relé
|}
<blockquote>''"Hasta donde sabemos, esta es la primera vez que la infraestructura de retransmisión TURN ha sido utilizada de esta manera en condiciones reales."''</blockquote>

=== ¿Por qué es tan efectivo? ===
{| class="wikitable"
!Factor
!Explicación
|-
|Dominios legítimos
|El tráfico se dirige a servidores legítimos de Microsoft (Teams)
|-
|Cifrado QUIC
|El tráfico está cifrado y es difícil de inspeccionar
|-
|Sin bloqueo
|Los firewalls corporativos no bloquean Teams
|-
|Sin sospecha
|El tráfico a Teams parece normal
|}

=== La cadena de ataque completa ===
{| class="wikitable"
!Fase
!Descripción
|-
|Acceso inicial
|Explotación de un sistema SQL o Microsoft SQL Server vulnerable (o compra de acceso a un Initial Access Broker)
|-
|Despliegue de carga útil
|Descarga de archivo ZIP con VirtualBox/DbgView legítimo + DLL maliciosa (vboxrt.dll)
|-
|Evasión BYOVD
|Uso de múltiples controladores vulnerables para obtener privilegios de kernel y deshabilitar EDR/AV
|-
|Reconocimiento y persistencia
|Creación de cuentas de usuario, modificación de políticas, cambio de reglas de firewall
|-
|Exfiltración de datos
|Robo de datos antes del cifrado (doble extorsión)
|-
|Despliegue de ransomware
|Cifrado de archivos con ransomware DragonForce
|-
|Backdoor persistente
|Backdoor.Turn inyectado en DbgView64.exe para mantener acceso post-ransomware
|}
----

== Vector de Ataque / Métodos de Distribución ==

=== Acceso inicial ===
{| class="wikitable"
!Vector
!Detalle
|-
|Punto de entrada
|Sistema SQL o Microsoft SQL Server vulnerable (no confirmado con certeza)
|-
|Alternativa
|Acceso comprado a un Initial Access Broker (IAB)
|}

=== Despliegue de la carga útil inicial ===
{| class="wikitable"
!Componente
!Descripción
|-
|Archivo ZIP
|Descargado a la red comprometida
|-
|Ejecutable legítimo
|VirtualBox o DbgView (firmado, confiable)
|-
|DLL maliciosa
|<code>vboxrt.dll</code> (carga lateral de DLL - DLL sideloading)
|-
|Función
|Descarga código malicioso de una lista de servidores C2
|}

=== Técnicas de evasión (BYOVD - Bring Your Own Vulnerable Driver) ===
El grupo utilizó múltiples controladores vulnerables para obtener privilegios de kernel y deshabilitar herramientas de seguridad:
{| class="wikitable"
!Controlador
!Proveedor
!Vulnerabilidad
!Observación
|-
|HWAuidoOs2Ec.sys
|Huawei
|—
|Usado en "Havoc Process Terminator" ; no se había observado previamente en ataques
|-
|wsftprm.sys
|Topaz Antifraud
|CVE-2023-52271
|Vulnerabilidad conocida
|-
|GameDriverx64.sys
|Tower of Fantasy
|CVE-2025-61155
|Vulnerabilidad documentada por Huntress en marzo de 2026
|-
|K7RKScan.sys
|K7 Security
|CVE-2025-1055
|Vulnerabilidad conocida
|-
|ABYSSWORKER
|Custom (Palo Alto Networks spoof)
|—
|Controlador personalizado que se hace pasar por controlador legítimo de Palo Alto
|}

=== El controlador de Huawei: "Havoc Process Terminator" ===
<blockquote>''"Symantec afirmó que el controlador de Huawei se utilizó como parte de un nuevo ataque denominado 'Havoc Process Terminator' y que no se había observado previamente su explotación en ataques."''</blockquote>
----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Exploit Public-Facing Application (T1190)
|Explotación de SQL Server vulnerable
|-
|Initial Access (TA0001)
|Valid Accounts (T1078)
|Compra de acceso a Initial Access Broker
|-
|Execution (TA0002)
|Command and Scripting Interpreter (T1059)
|Ejecución de PowerShell, cmd
|-
|Persistence (TA0003)
|Create Account (T1136)
|Creación de cuentas de usuario adicionales
|-
|Persistence (TA0003)
|Server Software Component (T1505)
|DLL sideloading con vboxrt.dll
|-
|Privilege Escalation (TA0004)
|BYOVD (T1068)
|Múltiples controladores vulnerables para privilegios de kernel
|-
|Defense Evasion (TA0005)
|Masquerading (T1036)
|ABYSSWORKER suplanta controlador de Palo Alto
|-
|Defense Evasion (TA0005)
|Impair Defenses (T1562)
|Deshabilitación de EDR/AV con BYOVD
|-
|Defense Evasion (TA0005)
|Indicator Removal (T1070)
|Modificación de reglas de firewall
|-
|Defense Evasion (TA0005)
|Abuse of Legitimate TURN Infrastructure
|Nuevo: ocultación C2 en Microsoft Teams**
|-
|Defense Evasion (TA0005)
|Modify Authentication Process (T1556)
|Modificación de <code>LimitBlankPassword</code>
|-
|Credential Access (TA0006)
|Credentials from Web Browsers (T1555.003)
|Robo de credenciales de navegadores
|-
|Discovery (TA0007)
|Network Service Discovery (T1046)
|Escaneo de red
|-
|Discovery (TA0007)
|LDAP/Search (T1546.008)
|Búsqueda en Active Directory y LDAP
|-
|Lateral Movement (TA0008)
|Remote Services (T1021)
|Uso de credenciales robadas para moverse lateralmente
|-
|Command and Control (TA0011)
|Application Layer Protocol: QUIC (T1071.001)
|Comunicación C2 vía sesión QUIC
|-
|Command and Control (TA0011)
|TURN Relay Abuse
|Nuevo: uso de relé TURN de Microsoft Teams**
|-
|Command and Control (TA0011)
|Encrypted Channel (T1573)
|Cifrado QUIC
|-
|Exfiltration (TA0010)
|Exfiltration Over Web Service (T1567)
|Robo de datos antes del cifrado
|-
|Impact (TA0040)
|Data Encrypted for Impact (T1486)
|Ransomware DragonForce
|}
----

== Flujo de Ataque (Cyber Kill Chain) ==
{| class="wikitable"
!Fase
!Descripción
|-
|1. Reconocimiento
|Identificación de víctimas potenciales (empresas de servicios estadounidenses)
|-
|2. Armamento
| - Preparación de archivo ZIP con VirtualBox/DbgView + DLL maliciosa
- Desarrollo de Backdoor.Turn
- Preparación de controladores BYOVD
|-
|3. Entrega
| - Explotación de SQL Server vulnerable
- O compra de acceso a Initial Access Broker
|-
|4. Explotación
|Ejecución de DLL maliciosa (vboxrt.dll) a través de carga lateral
|-
|5. Instalación
| - Descarga de código malicioso adicional
- Instalación de controladores BYOVD
- Creación de cuentas de usuario
|-
|6. Evasión
| - BYOVD múltiple para deshabilitar EDR/AV
- Modificación de reglas de firewall
- Modificación de <code>LimitBlankPassword</code>
|-
|7. Comando y Control
| - Backdoor.Turn obtiene token de Teams
- Establece conexión a través de relé TURN de Microsoft
- Comunicación cifrada vía QUIC
|-
|8. Acción sobre Objetivos
| - Exfiltración de datos (doble extorsión)
- Despliegue de ransomware DragonForce
- Backdoor persistente post-ransomware
|}
----

== Detalle Técnico - Backdoor.Turn y Abuso de TURN ==

=== ¿Qué es TURN? ===
TURN (Traversal Using Relays around NAT) es un protocolo que permite a dispositivos detrás de NAT establecer conexiones peer-to-peer a través de servidores de retransmisión. Es ampliamente utilizado por aplicaciones de voz y video como Microsoft Teams.

=== El mecanismo de Backdoor.Turn ===
{| class="wikitable"
!Paso
!Descripción
|-
|1. Obtención de token
|Backdoor.Turn obtiene un token de visitante anónimo de Microsoft Teams a través de los servicios de identidad de Microsoft respaldados por Skype
|-
|2. Conexión al relé
|El malware se conecta a un relé TURN legítimo de Microsoft
|-
|3. Túnel cifrado
|Establece una sesión QUIC a través del relé hacia el servidor C2 real del atacante
|-
|4. Comunicación oculta
|El tráfico aparece como comunicaciones normales de Teams
|}

=== ¿Por qué es tan difícil de detectar? ===
{| class="wikitable"
!Factor
!Explicación
|-
|Dominio legítimo
|El tráfico se dirige a servidores de Microsoft (no a IPs sospechosas)
|-
|Protocolo QUIC
|El tráfico está cifrado y utiliza un protocolo relativamente nuevo
|-
|Comportamiento normal
|Teams es una aplicación común en entornos corporativos
|-
|Sin persistencia
|El token de visitante anónimo puede ser renovado
|}

=== Capacidades de Backdoor.Turn ===
{| class="wikitable"
!Capacidad
!Descripción
|-
|Ejecución de comandos
|Ejecución remota de comandos en el sistema comprometido
|-
|Inicio de procesos
|Lanzamiento de procesos arbitrarios
|-
|Escaneo de redes
|Descubrimiento de recursos de red
|-
|Captura de certificados TLS
|Extracción de información de certificados
|-
|Búsqueda LDAP/AD
|Enumeración de Active Directory
|-
|Movimiento lateral
|Uso de credenciales robadas para propagarse
|-
|Robo de credenciales de navegador
|Extracción de credenciales almacenadas en navegadores
|}
----

== Infraestructura Utilizada ==

=== Infraestructura C2 (Microsoft Teams TURN) ===
{| class="wikitable"
!Componente
!Propósito
|-
|Servicios de identidad de Microsoft (Skype)
|Obtención de token de visitante anónimo
|-
|Relés TURN de Microsoft
|Retransmisión de tráfico C2
|-
|Sesión QUIC
|Canal de comunicación cifrado
|-
|Servidor C2 real del atacante
|Destino final de la comunicación
|}

=== Controladores vulnerables (BYOVD) ===
{| class="wikitable"
!Controlador
!Proveedor
!CVE
!Estado
|-
|HWAuidoOs2Ec.sys
|Huawei
|—
|No observado previamente en ataques
|-
|wsftprm.sys
|Topaz Antifraud
|CVE-2023-52271
|Conocido
|-
|GameDriverx64.sys
|Tower of Fantasy
|CVE-2025-61155
|Documentado por Huntress (marzo 2026)
|-
|K7RKScan.sys
|K7 Security
|CVE-2025-1055
|Conocido
|-
|ABYSSWORKER
|Custom
|—
|Suplanta controlador de Palo Alto Networks
|}

=== Herramientas de evasión adicionales ===
{| class="wikitable"
!Técnica
!Descripción
|-
|DLL sideloading
|vboxrt.dll con VirtualBox/DbgView legítimo
|-
|Modificación de LimitBlankPassword
|Simplifica el acceso a máquinas comprometidas
|-
|Cambio de reglas de firewall
|Permite tráfico malicioso
|}
----

== Víctimas y Sectores Afectados ==
{| class="wikitable"
!Categoría
!Datos
|-
|Víctima documentada
|Empresa de servicios estadounidense
|-
|Sectores objetivo
|Empresas de servicios, no especificado adicionalmente
|-
|Tiempo en red
|1-2 meses (diciembre 2025 - enero/febrero 2026)
|-
|País
|Estados Unidos
|}
----

== Impacto y Riesgo ==
{| class="wikitable"
!Categoría
!Nivel
!Descripción
|-
|Capacidad de evasión
|MUY ALTA
|Abuso de infraestructura legítima de Microsoft Teams + BYOVD multi-vector
|-
|Persistencia
|MUY ALTA
|1-2 meses en red de la víctima; backdoor post-ransomware
|-
|Detección
|MUY BAJA
|Tráfico a Microsoft parece normal; cifrado QUIC
|-
|Velocidad de propagación
|MEDIA-ALTA
|Movimiento lateral con credenciales robadas
|-
|Impacto en datos
|MUY ALTO
|Doble extorsión (exfiltración + cifrado)
|}

=== Consecuencias para la víctima ===
{| class="wikitable"
!Consecuencia
!Gravedad
!Detalle
|-
|Exfiltración de datos
|Crítica
|Robo de datos antes del cifrado
|-
|Cifrado de archivos
|Crítica
|Ransomware DragonForce
|-
|Backdoor persistente
|Crítica
|Backdoor.Turn mantiene acceso incluso si se paga el rescate
|-
|Compromiso de credenciales
|Alta
|Robo de credenciales de navegador
|-
|Exposición continuada
|Alta
|El backdoor puede facilitar futuras intrusiones
|}

=== Impacto en la industria de seguridad ===
<blockquote>''"El despliegue de Backdoor.Turn, combinado con su evasión multivectorial de BYOVD, los convierte en uno de los grupos de ransomware más capaces y persistentes que operan en la actualidad."''</blockquote>
----

== Detección y Respuesta ==

=== Recomendaciones para organizaciones ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|Monitorear tráfico QUIC
|ALTA
|Buscar conexiones QUIC a servicios de Microsoft que no sean típicas
|-
|Auditar tokens de Teams
|ALTA
|Buscar tokens de visitante anónimo inusuales
|-
|Monitorear carga de controladores
|CRÍTICA
|Buscar controladores no firmados o vulnerables (especialmente los listados)
|-
|Restringir BYOVD
|ALTA
|Políticas de control de controladores (Windows Driver Blocklist)
|-
|Monitorear DLL sideloading
|ALTA
|Buscar ejecución de VirtualBox/DbgView con DLLs no firmadas
|-
|Auditar cuentas de usuario
|ALTA
|Buscar cuentas creadas recientemente o inusuales
|-
|Revisar reglas de firewall
|ALTA
|Buscar cambios no autorizados en reglas de firewall
|-
|Verificar LimitBlankPassword
|ALTA
|Asegurar que la configuración no ha sido modificada
|}

=== Herramientas de detección ===
{| class="wikitable"
!Herramienta
!Propósito
|-
|Symantec Endpoint Protection
|Detección de Backdoor.Turn y controladores BYOVD
|-
|Huntress
|Detección de CVE-2025-61155 (GameDriverx64.sys)
|-
|Monitoreo de controladores
|Detectar carga de HWAuidoOs2Ec.sys, wsftprm.sys, GameDriverx64.sys, K7RKScan.sys
|-
|Análisis de tráfico de red
|Detectar conexiones QUIC a servidores de Microsoft seguidas de tráfico anómalo
|}

=== Script de verificación (PowerShell) ===
powershell
 # Buscar controladores vulnerables cargados
 Get-WindowsDriver -Online | Where-Object {
     $_.Driver -match "HWAuidoOs2Ec|wsftprm|GameDriverx64|K7RKScan|ABYSSWORKER"
 }
 
 # Buscar procesos de VirtualBox/DbgView
 Get-Process | Where-Object {
     $_.ProcessName -match "VirtualBox|DbgView"
 }
 
 # Buscar cuentas creadas recientemente
 Get-LocalUser | Where-Object {
     $_.Created -gt (Get-Date).AddDays(-60)
 }
 
 # Verificar configuración LimitBlankPassword
 Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "LimitBlankPasswordUse"

=== Indicadores de compromiso (IoC) ===
Symantec ha publicado una lista completa de IoCs. Consultar el informe de Symantec para detalles completos.
----

== Comparativa: Abuso de Plataformas Legítimas para C2 ==
{| class="wikitable"
!Grupo
!Plataforma
!Técnica
!Fecha
|-
|DragonForce
|Microsoft Teams TURN
|Túnel QUIC a través de relés de Microsoft
|2025-2026
|-
|UNC3753
|Privnote.com
|Mensajería autodestructiva para instrucciones
|2026
|-
|Miasma
|Steam Comments
|Esteganografía Unicode en comentarios de perfil
|2025-2026
|-
|Varios
|Filen.io, Koofr, Icedrive
|Almacenamiento en la nube como C2
|2025-2026
|}
Patrón emergente: Los grupos de ransomware están abusando de plataformas legítimas para ocultar sus comunicaciones C2, aprovechando la confianza en los dominios y servicios de grandes empresas tecnológicas.
----

== Opiniones de Expertos ==
<blockquote>''"Backdoor.Turn obtiene un token de visitante anónimo de Teams a través de los servicios de identidad de Microsoft respaldados por Skype, utiliza un relé TURN legítimo de Microsoft para establecer la conexión y, a continuación, ejecuta una sesión QUIC con el servidor de comando y control (C2) real del atacante."''

— Symantec</blockquote><blockquote>''"Hasta donde sabemos, esta es la primera vez que la infraestructura de retransmisión TURN ha sido utilizada de esta manera en condiciones reales."''

— Symantec</blockquote><blockquote>''"El despliegue de Backdoor.Turn, combinado con su evasión multivectorial de BYOVD, los convierte en uno de los grupos de ransomware más capaces y persistentes que operan en la actualidad."''

— Symantec</blockquote>
----

== Referencias y Fuentes ==

# Markovic, S. (2026, 16 de junio). ''Cybercriminals mask malicious communications through Microsoft Teams network''. Help Net Security.
# Symantec. (2026, junio). ''DragonForce Ransomware Group Uses Custom Backdoor.Turn Malware to Abuse Microsoft Teams TURN Infrastructure''.
# Huntress. (2026, marzo). *CVE-2025-61155: GameDriverx64.sys Vulnerability Documentation*.

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-06-19
|1.0
|Fernando Vargas Hincapié
|Creación inicial basada en el informe de Symantec y el artículo de Help Net Security
|}
----

== Indicadores de Compromiso (IOCs) ==

=== Malware ===
{| class="wikitable"
!Nombre
!Tipo
!Propósito
|-
|Backdoor.Turn
|RAT
|C2 oculto a través de Microsoft Teams TURN
|-
|vboxrt.dll
|DLL maliciosa
|Carga lateral con VirtualBox/DbgView
|-
|ABYSSWORKER
|Controlador
|Suplanta controlador de Palo Alto Networks
|}

=== Controladores vulnerables (BYOVD) ===
{| class="wikitable"
!Controlador
!Proveedor
!CVE
!Hash (consultar Symantec)
|-
|HWAuidoOs2Ec.sys
|Huawei
|—
|—
|-
|wsftprm.sys
|Topaz Antifraud
|CVE-2023-52271
|—
|-
|GameDriverx64.sys
|Tower of Fantasy
|CVE-2025-61155
|—
|-
|K7RKScan.sys
|K7 Security
|CVE-2025-1055
|—
|}

=== Herramientas legítimas abusadas ===
{| class="wikitable"
!Herramienta
!Propósito
|-
|VirtualBox
|Ejecución de DLL maliciosa (sideloading)
|-
|DbgView
|Ejecución de DLL maliciosa (sideloading)
|}

=== Comportamiento anómalo a monitorear ===
{| class="wikitable"
!Comportamiento
!Dónde buscar
|-
|Tokens de visitante anónimo de Teams
|Logs de autenticación de Microsoft
|-
|Tráfico QUIC a servidores de Microsoft
|Logs de firewall, inspección de red
|-
|Carga de controladores no firmados
|Logs de sistema, Event Viewer
|-
|Ejecución de VirtualBox/DbgView
|Logs de procesos, EDR
|-
|Cambios en LimitBlankPassword
|Registro de Windows (HKLM...\Lsa)
|-
|Cambios en reglas de firewall
|Logs de auditoría de Windows Firewall
|}
----

== Preguntas sin respuesta ==
{| class="wikitable"
!Pregunta
!Estado
|-
|¿El vector de acceso inicial fue explotación o compra de acceso?
|No determinado con certeza
|-
|¿Microsoft ha implementado mitigaciones contra este abuso de TURN?
|No especificado
|-
|¿Otros grupos de ransomware están utilizando técnicas similares?
|Probable, pero no documentado
|-
|¿Backdoor.Turn ha sido utilizado en otras intrusiones?
|No especificado
|-
|¿Las cuentas de visitante anónimo de Teams pueden ser deshabilitadas?
|No especificado
|}
----

== Etiquetas / Categorías ==
 dragonforce-ransomware backdoor-turn microsoft-teams-turn-abuse turn-relay-c2 quic-encryption byovd-attack havok-process-terminator dll-sideloading virtualbox-dbgview-abuse ransomware-as-a-service initial-access-broker double-extortion persistent-backdoor zero-day-control-exploit