Ver el código de «StrikeShark: Campaña Global con SharkLoader Despliega Cobalt Strike Contra Gobiernos y Desarrolladores de Software (2026)»

== Nombres Alternativos / Aliases ==

* StrikeShark (Nombre de la campaña)
* SharkLoader (Dropper/loader personalizado)
* Perfect DLL Hijacking Campaign (Por la técnica de evasión)
* Cobalt Strike Delivery Framework (Por el payload final)
* Multi-Vector Exploitation Campaign (Por los vectores de ataque)

----

== Fecha de Detección / Actividad ==
{| class="wikitable"
!Fecha/Período
!Evento
|-
|Antes de junio de 2026
|Actividad de la campaña StrikeShark en múltiples países
|-
|24 de junio de 2026
|Publicación del informe técnico de Kaspersky GReAT
|-
|25 de junio de 2026
|Cobertura en The Hacker News y Help Net Security
|-
|Estado actual
|Activa (el alcance total aún no se conoce)
|}
----

== Actor de Amenaza (Atribución) ==
{| class="wikitable"
!Categoría
!Descripción
|-
|Nombre del Actor
|Desconocido (sin atribución a APT conocido)
|-
|Atribución preliminar
|Hablante de chino (confianza baja)
|-
|Indicadores de origen
|Herramientas post-explotación (FScan, Searchall, Pillager) desarrolladas por desarrolladores de habla china en GitHub
|-
|Vínculo Gubernamental
|No establecido
|-
|Tipo de Actor
|No determinado (posible espionaje o ciberdelincuencia)
|-
|Sofisticación
|ALTA. El grupo demuestra:
|}

* Uso de malware personalizado (SharkLoader)
* Técnicas avanzadas de evasión (Perfect DLL Hijacking, hooks API)
* Explotación de vulnerabilidades en múltiples productos empresariales
* Movimiento lateral y robo de credenciales en Active Directory |  | Motivación | No determinada (posible espionaje u oportunista) |  | Objetivos | Gobierno, desarrollo de software, entidades diplomáticas |

----

== Resumen Ejecutivo ==
Investigadores de Kaspersky GReAT han descubierto una campaña previamente desconocida denominada StrikeShark, que utiliza un novedoso dropper llamado SharkLoader para desplegar Cobalt Strike Beacon en sistemas comprometidos. La campaña ha afectado a organizaciones gubernamentales, empresas de desarrollo de software y entidades diplomáticas en múltiples países.

=== Descubrimientos clave ===
{| class="wikitable"
!Descubrimiento
!Detalle
|-
|Malware principal
|SharkLoader (loader personalizado)
|-
|Payload final
|Cobalt Strike Beacon
|-
|Víctimas confirmadas
|Indonesia, Taiwán, Hong Kong, Líbano, Siria, Colombia, Macedonia del Norte, Nepal, Serbia
|-
|Sectores objetivo
|Gobierno, desarrollo de software, entidades diplomáticas
|-
|Vectores de entrada
|Explotación de vulnerabilidades en aplicaciones expuestas + droppers disfrazados
|-
|Técnica de evasión
|Perfect DLL Hijacking + API hooks + desactivación de ETW
|-
|Atribución
|No determinada (posiblemente hablante de chino)
|}
<blockquote>''"Lo que inicialmente parecía un caso aislado se expandió rápidamente a una campaña más amplia a medida que identificamos infecciones adicionales de SharkLoader en múltiples países y sectores."''</blockquote>
----

== Vector de Ataque / Métodos de Distribución ==

=== Dos vías principales de acceso inicial ===

==== 1. Explotación de vulnerabilidades en aplicaciones expuestas ====
{| class="wikitable"
!Caso
!Vulnerabilidad
!Víctima
|-
|Indonesia
|CVE-2021-26855 (ProxyLogon - Microsoft Exchange)
|Entidad diplomática
|-
|Taiwán
|CVE-2023-32315 (Openfire path traversal)
|Organizaciones de desarrollo de software
|-
|Colombia
|CVE-2024-36401 (GeoServer RCE)
|Organización local
|}

==== 2. Droppers disfrazados de software legítimo ====
{| class="wikitable"
!Señuelo
!Descripción
|-
|Cisco AnyConnect
|Instalador VPN legítimo con malware oculto
|-
|Google Update
|<code>GoogleUpdateStepup.exe</code>, <code>AutoUpdate.exe</code>
|-
|Documentos PDF
|Sobre diseño de motores de cohetes o procesos de tratamiento biológico
|}

=== Vulnerabilidades explotadas (lista completa) ===
{| class="wikitable"
!Producto
!CVE
!Tipo
|-
|Apache Shiro
|CVE-2016-4437
|RCE
|-
|Hikvision Products
|CVE-2021-36260
|RCE
|-
|Microsoft SharePoint
|CVE-2021-27076
|RCE
|-
|Microsoft Exchange
|CVE-2021-26855 (ProxyLogon), CVE-2022-41082
|RCE
|-
|Zimbra Collaboration Suite
|CVE-2022-27925
|RCE
|-
|F5 BIG-IP
|CVE-2023-46747
|RCE
|-
|Fortinet FortiOS
|CVE-2022-40684 (Auth Bypass), CVE-2024-21762 (RCE)
|Múltiples
|-
|Cisco IOS XE
|CVE-2023-20198
|Auth Bypass
|-
|React Server Components
|CVE-2025-55182
|RCE
|}
<blockquote>''"Todas las vulnerabilidades identificadas durante nuestra investigación tienen código de exploit público disponible, incluyendo PoCs alojados en GitHub y otras plataformas de código abierto, lo que sugiere que el actor aprovecha recursos ofensivos existentes en lugar de desarrollar capacidades de exploit personalizadas."''</blockquote>
----

== Detalle Técnico de SharkLoader ==

=== Componentes principales ===
{| class="wikitable"
!Archivo
!Propósito
|-
|SystemSettings.exe
|Aplicación legítima de Windows abusada para DLL sideloading
|-
|SystemSettings.dll
|DLL maliciosa principal (SharkLoader)
|-
|DscCoreR.mui
|Módulo encriptado (Blowfish) que contiene Cobalt Strike Beacon y MinHook
|-
|SyncRes.dat
|DLL encriptada (AES-128) que instala múltiples hooks API
|}

=== Variantes de DLL sideloading ===
{| class="wikitable"
!DLL maliciosa
!Aplicación legítima
|-
|SystemSettings.dll
|SystemSettings.exe
|-
|msedge.dll
|(Microsoft Edge)
|-
|PrintDialog.dll
|(Aplicación de impresión)
|-
|miracastview.dll
|(Miracast Viewer)
|}

=== Perfect DLL Hijacking (técnica clave) ===
SharkLoader implementa la técnica "Perfect DLL Hijacking" descrita originalmente por el investigador Elliot Killick en octubre de 2023. Esta técnica permite:

# Eludir el Windows Loader Lock (bloqueo del cargador de Windows)
# Crear un hilo malicioso de forma segura sin riesgo de deadlock
# Ejecutar código desde <code>DllMain</code> sin violar las mejores prácticas de Microsoft

El malware manipula estructuras internas del loader (<code>LdrpLoaderLock</code>, <code>LdrpWorkInProgress</code>) para liberar el bloqueo antes de crear hilos de ejecución.

=== Flujo de ejecución completo ===

=== Hooks API instalados (SyncRes.dat) ===
{| class="wikitable"
!API Hook
!Propósito
|-
|CreateProcessA/W
|PPID spoofing (procesos hijos aparecen como svchost.exe)
|-
|OpenProcessToken, AdjustTokenPrivileges
|Redirección a syscalls directos
|-
|EtwEventWrite, EventWriteEx, EventWrite
|Desactivación de ETW (Event Tracing for Windows)
|-
|VirtualAllocEx, VirtualProtectEx, VirtualProtect
|Redirección a syscalls directos
|-
|LoadLibraryA, GetModuleHandleA, GetProcAddress
|Resolución de API ofuscada
|-
|NtCreateThread, NtQueueApcThread
|Redirección a syscalls directos
|}
<blockquote>''"El gancho de Sleep se activa cuando Cobalt Strike Beacon llama a Sleep, probablemente para evadir técnicas de escaneo de memoria que identifican regiones de código ejecutable (RWX) en memoria."''</blockquote>

=== MinHook y evasión de memoria ===
El malware utiliza MinHook para:

# Hooking de VirtualAlloc: Registra direcciones y tamaños de las primeras tres asignaciones de memoria
# Hooking de Sleep: Durante los intervalos de sleep del beacon, cambia la protección de memoria de RWX a RW para evadir escáneres

----

== Post-Explotación ==

=== Actividades de reconocimiento ===
{| class="wikitable"
!Comando/Técnica
!Propósito
|-
|<code>systeminfo</code>, <code>ipconfig /all</code>, <code>tasklist /svc</code>
|Información básica del sistema
|-
|<code>netstat -ano</code>, <code>arp -a</code>, <code>net share</code>
|Descubrimiento de red
|-
|<code>query user</code>, <code>nslookup</code>, <code>quser</code>
|Usuarios conectados
|-
|<code>net group /domain</code>
|Enumeración de grupos de Active Directory
|-
|<code>powershell "Get-ADGroupMember"</code>
|Enumeración de miembros de AD
|-
|<code>ntdsutil "ac i ntds" "ifm" "create full"</code>
|Extracción de base de datos NTDS
|}

=== Herramientas de post-explotación (open-source) ===
{| class="wikitable"
!Herramienta
!Descripción
|-
|FScan
|Escáner de red con módulos de explotación
|-
|Searchall
|Búsqueda de información sensible
|-
|Pillager
|Herramienta de recolección de información
|-
|SharpGPOAbuse
|Modificación de GPO en Active Directory
|-
|Procdump
|Volcado de memoria de LSASS
|}

=== Persistencia ===
{| class="wikitable"
!Método
!Descripción
|-
|Registry Run Key
|<code>HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MFUpdate</code>
|-
|Scheduled Task
|<code>\Microsoft\Windows\Edge\Edgeupdate</code> (diario, con privilegios SYSTEM)
|-
|Tarea temporal
|Ejecución cada segundo (eliminada tras 1.5 segundos)
|-
|Tarea persistente
|Ejecución cada 5 minutos
|}
----

== Víctimas y Sectores Afectados ==
{| class="wikitable"
!Categoría
!Detalle
|-
|Países confirmados
|Indonesia, Taiwán, Hong Kong, Líbano, Siria, Colombia, Macedonia del Norte, Nepal, Serbia
|-
|Sectores objetivo
|Gobierno, desarrollo de software, entidades diplomáticas
|-
|Alcance geográfico
|Asia, América Latina, Europa
|-
|Objetivos estratégicos
|Posible recolección de inteligencia política o propiedad intelectual
|}
<blockquote>''"El objetivo de organizaciones gubernamentales y de desarrollo de software puede indicar un objetivo de ciberespionaje, aunque nuestra confianza es baja debido a la limitada actividad post-compromiso observada, que consistió principalmente en acceso a credenciales, reconocimiento del sistema y movimiento lateral."''</blockquote>
----

== Impacto y Riesgo ==
{| class="wikitable"
!Categoría
!Nivel
!Descripción
|-
|Alcance geográfico
|ALTO
|Múltiples países, 3 continentes
|-
|Técnica de evasión
|MUY ALTA
|Perfect DLL Hijacking + API hooks + ETW desactivado
|-
|Detección
|MUY BAJA
|Tráfico C2 mimetizado, ejecución en memoria
|-
|Capacidad de espionaje
|ALTA
|Acceso a AD, credenciales, movimiento lateral
|-
|Persistencia
|ALTA
|Tareas programadas, Registry Run Keys
|}

=== Consecuencias para las víctimas ===
{| class="wikitable"
!Consecuencia
!Gravedad
!Detalle
|-
|Compromiso de Active Directory
|Crítica
|Extracción de NTDS, hashes de contraseñas
|-
|Robo de credenciales
|Crítica
|Volcado de LSASS, credenciales de navegadores
|-
|Acceso persistente
|Crítica
|Backdoors con Cobalt Strike y tareas programadas
|-
|Movimiento lateral
|Alta
|Capacidad de propagación en la red
|-
|Posible exfiltración
|Alta
|Cobalt Strike permite robo de datos
|}
----

== Detección y Respuesta ==

=== Recomendaciones de Kaspersky ===
{| class="wikitable"
!Acción
!Descripción
|-
|Mantener parches actualizados
|Especialmente para Exchange, SharePoint, Openfire, FortiOS, Cisco IOS XE
|-
|Monitorear DLL sideloading
|Buscar ejecución de SystemSettings.exe desde ubicaciones no estándar
|-
|Auditar tareas programadas
|Buscar tareas con nombres genéricos o de Microsoft
|-
|Monitorear Registry Run Keys
|Buscar entradas que ejecuten SystemSettings.exe
|-
|Detectar hooks API
|Buscar modificaciones en API críticas
|-
|Monitorear tráfico a dominios C2
|<code>connect-microsoft[.]com</code>, <code>ms-record[.]com</code>, etc.
|}

=== Indicadores de Compromiso (IoC) ===

==== Hashes MD5 ====
{| class="wikitable"
!Tipo
!Hash
|-
|Installer
|<code>C559CC68986933200FD5D9E4388E2F58</code>
|-
|Dropper
|<code>B3352B42432DEDC4A519F011DC8B5D5A</code>
|-
|Dropper
|<code>24FCEBDEECBA65004FDB0923763D74FD</code>
|-
|SharkLoader DLL
|<code>9C872A0D5D5A38950E8B9AC9B488BE3F</code>
|-
|SharkLoader DLL
|<code>AA3086BE652C8B20B0B29B2730D57119</code>
|-
|Archivo encriptado (DscCoreR.mui)
|<code>A514D1BB62D7916475946FE7C07AC0AA</code>
|-
|Archivo encriptado (SyncRes.dat)
|<code>9CBD560F820C95D7C38342CD558CB5C6</code>
|}

==== Dominios C2 ====
{| class="wikitable"
!Dominio
!Propósito
|-
|<code>connect-microsoft[.]com</code>
|C2
|-
|<code>ms-record[.]com</code>
|C2
|-
|<code>ms-record[.]top</code>
|C2
|-
|<code>ms-tray[.]top</code>
|C2
|}

==== Nombres de archivos sospechosos ====
{| class="wikitable"
!Archivo
!Propósito
|-
|<code>GoogleUpdateStepup.exe</code>
|Dropper
|-
|<code>AnyConnect-win-4.10.04071-predeploy-k9exe</code>
|Dropper
|-
|<code>AutoUpdate.exe</code>
|Dropper
|-
|<code>SystemSettings.dll</code>
|SharkLoader DLL
|-
|<code>DscCoreR.mui</code>
|Módulo encriptado
|-
|<code>SyncRes.dat</code>
|Módulo encriptado
|}
----

== Opiniones de Expertos ==
<blockquote>''"La campaña StrikeShark destaca la evolución del panorama de amenazas en el que los adversarios combinan herramientas de ataque fácilmente disponibles con malware personalizado y técnicas avanzadas de evasión. El uso de señuelos de apariencia legítima y la explotación de vulnerabilidades conocidas subrayan la necesidad crítica de que las organizaciones mantengan una rigurosa gestión de parches, una detección y respuesta robustas en endpoints, y una formación integral en concienciación sobre seguridad para sus empleados."''

— Fareed Radzi, investigador de seguridad en Kaspersky GReAT</blockquote><blockquote>''"La combinación de técnicas de explotación oportunistas y el uso de un loader personalizado como SharkLoader sugiere que el atacante puede estar operando con un doble objetivo: espionaje estratégico contra gobiernos y desarrolladores, y explotación oportunista de sistemas vulnerables. La ausencia de evidencia clara de exfiltración de datos hasta ahora no excluye esta posibilidad, ya que los módulos de operación de archivos y exfiltración de Cobalt Strike podrían emplearse en una etapa posterior."''

— Kaspersky GReAT</blockquote>
----

== Referencias y Fuentes ==

# Kaspersky GReAT. (2026, 24 de junio). ''StrikeShark: investigating a new campaign delivering Cobalt Strike through SharkLoader''.
# The Hacker News. (2026, 25 de junio). ''New SharkLoader Malware Deploys Cobalt Strike in StrikeShark Cyberattacks''.
# Help Net Security. (2026, 25 de junio). ''Mystery hackers use novel SharkLoader dropper against governments, software devs''.
# Kaspersky Press Release. (2026, 25 de junio). ''Kaspersky warns of a new StrikeShark campaign''.

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-06-26
|1.0
|Fernando Vargas Hincapié
|Creación inicial basada en informes de Kaspersky GReAT y cobertura de prensa
|}
----

== Etiquetas / Categorías ==
text
 strikeshark sharkloader cobalt-strike-beacon perfect-dll-hijacking loader-lock-bypass api-hooking-etw-disabling windows-dll-sideloading exchange-proxylogon openfire-cve-2023-32315 geoserver-cve-2024-36401 fortinet-cve-2024-21762 f5-big-ip-cve-2023-46747 active-directory-compromise ntds-extraction lsass-dump