Ver el código de «KongTuke ModeloRAT Microsoft Teams Campaign»

KongTuke ModeloRAT Microsoft Teams Campaign es una campaña de ciberdelincuencia sofisticada descubierta en mayo de 2026, en la que el grupo de hackers KongTuke explota la confianza inherente de los empleados en Microsoft Teams para propagar una variante avanzada de malware llamada ModeloRAT. A diferencia de los ataques de phishing tradicionales basados en correos electrónicos sospechosos, esta operación utiliza la comunicación directa a través de cuentas de Teams que parecen legítimas, haciéndose pasar por personal de soporte técnico de TI interno. Los atacantes crean conversaciones muy convincentes con los empleados y los persuaden para que ejecuten un comando de PowerShell disfrazado de procedimiento de resolución de problemas rutinario. Este comando inicia el proceso de infección, conectándose a un archivo ZIP alojado en Dropbox (aprovechando la reputación de servicios en la nube de confianza), descargando archivos maliciosos y almacenándolos en directorios ocultos de aplicaciones. El archivo descargado contiene un entorno Python portátil completo junto con scripts maliciosos, lo que elimina los problemas de compatibilidad y garantiza que el malware pueda funcionar independientemente del software ya instalado en la máquina objetivo. La última versión de ModeloRAT demuestra una mayor sofisticación al dividir sus operaciones en dos etapas independientes: la primera etapa se centra exclusivamente en el reconocimiento, recopilando información sobre el sistema operativo, las herramientas de seguridad y la configuración del entorno de la víctima; la segunda etapa establece una comunicación cifrada con la infraestructura de comando y control (C2) del atacante, permitiendo el acceso remoto y la vigilancia continua. Un aspecto alarmante de esta campaña es su capacidad de sigilo: durante la fase inicial de detección, ninguna de las muestras maliciosas fue detectada por las plataformas públicas de análisis de malware, y el malware eludió múltiples sistemas de protección de endpoints de nivel empresarial sin activar alertas. Para mantener el acceso tras el reinicio, los atacantes crean entradas ocultas en el registro de Windows y tareas programadas con nombres aleatorios. Esta campaña pone de manifiesto un cambio importante en las tácticas de ciberguerra: los atacantes ya no se limitan a atacar bandejas de entrada de correo electrónico, sino que se infiltran en los ecosistemas de colaboración en el lugar de trabajo (Microsoft Teams, Slack, Zoom), donde la confianza es naturalmente mayor y la supervisión de seguridad es significativamente menor que en el correo electrónico.
----

== Nombres Alternativos / Aliases ==

* KongTuke Teams Attack (Por el grupo y la plataforma objetivo)
* ModeloRAT Campaign (Por el nombre del malware)
* Teams Phishing 2.0 (Por la evolución de la ingeniería social)
* Dropbox-Hosted Python RAT (Por la infraestructura y tecnología)
* Collaboration Platform Exploitation (Por el vector de ataque)

----

== Fecha de Detección / Actividad ==

* Fecha de Descubrimiento: Mayo de 2026 (reportado por cyberpress.org)
* Período de Actividad: La campaña estaba activa al momento del descubrimiento
* Estado: Activo. Se insta a las organizaciones a revisar la configuración de seguridad de Microsoft Teams.

----

== Actor de Amenaza (Atribución) ==

* Nombre del Actor: KongTuke (grupo de ciberdelincuencia)
* Tipo de Actor: Grupo de ciberdelincuencia organizada, posiblemente con técnicas similares a APT (amenazas persistentes avanzadas). La disciplina operativa demostrada se asemeja a las tácticas asociadas con grupos de espionaje, lo que sugiere una convergencia entre el cibercrimen con fines lucrativos y el ciberespionaje.
* Sofisticación: Muy alta. KongTuke demuestra capacidades avanzadas: (a) explotación de plataformas de colaboración empresarial (Microsoft Teams) como vector de acceso inicial, (b) uso de cuentas falsas o comprometidas para suplantar al personal de soporte técnico interno, (c) ingeniería social altamente convincente que elude las defensas tradicionales de correo electrónico, (d) uso de PowerShell ofuscado para la ejecución inicial, (e) aprovechamiento de servicios en la nube legítimos (Dropbox) para alojar payloads, (f) implementación de un entorno Python portátil completo para garantizar la compatibilidad y minimizar fallos de ejecución, (g) arquitectura modular en dos etapas (reconocimiento primero, comunicación C2 después) para reducir la exposición y mejorar el sigilo, (h) comunicaciones cifradas con la infraestructura C2, (i) persistencia mediante entradas ocultas en el registro de Windows y tareas programadas con nombres aleatorios, y (j) capacidad de eludir múltiples sistemas de protección de endpoints de nivel empresarial y plataformas públicas de análisis de malware sin activar alertas.

----

== Resumen Ejecutivo ==
KongTuke ModeloRAT Microsoft Teams Campaign representa una evolución significativa en el panorama de amenazas cibernéticas, donde los atacantes están abandonando las técnicas de phishing basadas en correo electrónico en favor de la explotación de entornos de confianza como Microsoft Teams. Descubierta en mayo de 2026, la campaña ejecutada por el grupo KongTuke utiliza cuentas de Teams falsas o comprometidas para hacerse pasar por personal de soporte técnico de TI interno. Los empleados, psicológicamente condicionados a confiar en las herramientas de colaboración corporativa, son más susceptibles a este tipo de ingeniería social que a los correos electrónicos sospechosos. Cuando un empleado contacta al falso representante de soporte (o es contactado por él), se le indica que ejecute un comando de PowerShell disfrazado de procedimiento de resolución de problemas rutinario. Este comando no es sospechoso para muchos empleados porque PowerShell es una herramienta legítima utilizada frecuentemente por los equipos de TI. El comando se conecta a un archivo ZIP alojado en Dropbox, un servicio en la nube de confianza que muchas organizaciones permiten explícitamente en sus redes. El archivo ZIP contiene un entorno Python portátil completo junto con scripts maliciosos. Esta es una evolución técnica notable: tradicionalmente, los desarrolladores de malware dependían de binarios nativos de Windows o instalaban dependencias directamente en las máquinas de las víctimas. Al incluir un entorno de ejecución completo, KongTuke elimina las barreras de compatibilidad y minimiza los fallos de ejecución, reflejando la creciente profesionalización de los grupos ciberdelincuentes. El malware se almacena en directorios ocultos de aplicaciones, y los atacantes crean entradas ocultas en el registro de Windows y tareas programadas con nombres aleatorios para garantizar la persistencia después del reinicio. La arquitectura de ModeloRAT está dividida en dos etapas independientes para maximizar el sigilo. La primera etapa se centra exclusivamente en el reconocimiento (discovery): recopila información sobre el sistema operativo de la víctima, las herramientas de seguridad instaladas (como antivirus y EDR), y la configuración general del entorno. Esta separación reduce la exposición porque las herramientas de seguridad que detectan tráfico saliente sospechoso pueden no asociarlo con actividades de reconocimiento previas. La segunda etapa establece una comunicación cifrada con la infraestructura de comando y control (C2) del atacante, lo que permite el acceso remoto completo, la vigilancia continua (incluyendo keylogging, captura de pantalla, robo de archivos), y la capacidad de descargar módulos adicionales. Uno de los hallazgos más alarmantes de la investigación es la capacidad de sigilo del malware: durante la fase inicial de detección, ninguna de las muestras maliciosas fue detectada por las plataformas públicas de análisis de malware (como VirusTotal), y el malware eludió múltiples sistemas de protección de endpoints de nivel empresarial sin activar alertas. Esto demuestra que la protección antivirus basada únicamente en firmas ya no es suficiente. La campaña también pone de relieve las deficiencias en las prácticas de gestión de identidades y cuentas: si los atacantes logran comprometer cuentas de Teams, sugiere una aplicación insuficiente de la autenticación multifactor (MFA), una higiene deficiente de las credenciales, vulnerabilidades de robo de tokens, u oportunidades para el secuestro de sesiones. Los expertos en seguridad instan a las organizaciones a actuar de inmediato: restringir la comunicación con usuarios desconocidos de Teams, supervisar las descargas no autorizadas de Dropbox, investigar eventos sospechosos de extracción de archivos ZIP en directorios de aplicaciones ocultos, e implementar modelos de seguridad centrados en la identidad.
----

== Vectores de Ataque / Métodos de Distribución ==

# Suplantación de Identidad en Microsoft Teams: El atacante utiliza cuentas falsas o comprometidas para hacerse pasar por personal de soporte técnico de TI interno.
# Ingeniería Social Basada en Confianza: El atacante inicia conversaciones con empleados, explotando la confianza inherente en las herramientas de comunicación corporativa. Se presentan problemas de seguridad o técnicos urgentes para crear una sensación de urgencia.
# Comando de PowerShell Disfrazado: Se indica a la víctima que ejecute un comando de PowerShell (aparentemente un procedimiento de resolución de problemas legítimo). PowerShell es una herramienta común de administración de Windows, lo que reduce las sospechas.
# Descarga desde Dropbox (Servicio en la Nube Legítimo): El comando de PowerShell se conecta a un archivo ZIP alojado en Dropbox, aprovechando la reputación de este servicio para eludir los filtros de red y las listas de bloqueo de dominios.
# Entorno Python Portátil Autocontenido: El archivo ZIP contiene un entorno Python portátil completo, eliminando la necesidad de dependencias externas y garantizando la compatibilidad en diferentes sistemas Windows.
# Persistencia mediante Registro y Tareas Programadas: El malware crea entradas ocultas en el registro de Windows y tareas programadas con nombres aleatorios para garantizar la ejecución después del reinicio.

----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Phishing: Spearphishing via Service (T1566.003)
|Suplantación de identidad a través de Microsoft Teams, no mediante correo electrónico.
|-
|Initial Access (TA0001)
|Valid Accounts (T1078)
|Uso de cuentas de Teams falsas o comprometidas para iniciar conversaciones.
|-
|Execution (TA0002)
|Command and Scripting Interpreter: PowerShell (T1059.001)
|Ejecución de comando de PowerShell malicioso disfrazado de procedimiento de soporte técnico.
|-
|Execution (TA0002)
|User Execution: Malicious Link (T1204.001) / Command (T1204.002)
|El usuario ejecuta voluntariamente el comando de PowerShell creyendo que es legítimo.
|-
|Persistence (TA0003)
|Boot or Logon Autostart Execution: Registry Run Keys (T1547.001)
|Creación de entradas ocultas en el registro de Windows.
|-
|Persistence (TA0003)
|Scheduled Task/Job: Scheduled Task (T1053.005)
|Creación de tareas programadas con nombres aleatorios.
|-
|Defense Evasion (TA0005)
|Obfuscated Files or Information (T1027)
|Ofuscación del comando de PowerShell y scripts maliciosos.
|-
|Defense Evasion (TA0005)
|Masquerading (T1036) - Match Legitimate Name or Location (T1036.005)
|El comando de PowerShell se disfraza de procedimiento de soporte técnico legítimo.
|-
|Defense Evasion (TA0005)
|Deobfuscate/Decode Files or Information (T1140)
|Descifrado y ejecución de payloads en tiempo real.
|-
|Defense Evasion (TA0005)
|Virtualization/Sandbox Evasion (T1497)
|El malware evadió múltiples sistemas de protección de endpoints y plataformas públicas de análisis (no detectado en VirusTotal).
|-
|Defense Evasion (TA0005)
|Hide Artifacts: Hidden Files and Directories (T1564.001)
|Almacenamiento de archivos maliciosos en directorios ocultos de aplicaciones.
|-
|Discovery (TA0007)
|System Information Discovery (T1082)
|Primera etapa de ModeloRAT: recopilación de información del sistema operativo, herramientas de seguridad, configuración del entorno.
|-
|Discovery (TA0007)
|Security Software Discovery (T1518.001)
|Detección de herramientas de seguridad instaladas (antivirus, EDR) para adaptar el comportamiento.
|-
|Command and Control (TA0011)
|Application Layer Protocol: Web Protocols (T1071.001)
|Comunicación HTTPS cifrada con la infraestructura C2.
|-
|Command and Control (TA0011)
|Encrypted Channel (T1573)
|Uso de cifrado para las comunicaciones C2.
|-
|Command and Control (TA0011)
|Ingress Tool Transfer (T1105)
|Descarga de módulos adicionales desde Dropbox y la infraestructura C2.
|-
|Collection (TA0009)
|Data from Local System (T1005)
|Segunda etapa de ModeloRAT: robo de archivos, captura de pantalla, keylogging.
|-
|Exfiltration (TA0010)
|Exfiltration Over C2 Channel (T1041)
|Exfiltración de datos robados a través del canal C2 cifrado.
|-
|Lateral Movement (TA0008)
|Remote Services (T1021)
|Posible movimiento lateral desde el equipo comprometido a otros sistemas de la red (no confirmado pero altamente probable).
|}
----

== Flujo de Ataque (Cyber Kill Chain) ==

# Reconocimiento: KongTuke identifica organizaciones objetivo, probablemente aquellas con un alto uso de Microsoft Teams. Recopila información sobre empleados y estructura de soporte técnico interno para crear conversaciones convincentes.
# Armamento: El grupo desarrolla: (a) cuentas de Teams falsas o compromete cuentas legítimas, (b) comandos de PowerShell ofuscados, (c) archivos ZIP alojados en Dropbox que contienen un entorno Python portátil y scripts maliciosos de ModeloRAT, (d) infraestructura C2 con comunicaciones cifradas.
# Entrega: El atacante inicia conversaciones con empleados objetivo a través de Microsoft Teams, haciéndose pasar por personal de soporte técnico de TI interno.
# Explotación: No se explota una vulnerabilidad técnica, sino la psicología humana (ingeniería social). El empleado, confiando en la plataforma y en el supuesto rol del interlocutor, sigue las instrucciones y ejecuta el comando de PowerShell.
# Instalación: El comando de PowerShell descarga el archivo ZIP de Dropbox, extrae el entorno Python portátil y los scripts maliciosos en directorios ocultos de aplicaciones. El malware establece persistencia mediante entradas en el registro de Windows y tareas programadas.
# Comando y Control (C2): Etapa 1 (Reconocimiento): El malware recopila información del entorno y la envía a la infraestructura C2. Etapa 2: El malware establece un canal cifrado bidireccional con el C2, permitiendo comandos remotos.
# Acción sobre Objetivos: El atacante puede: (a) robar datos sensibles (archivos, credenciales), (b) capturar pantallas y pulsaciones de teclas, (c) descargar módulos adicionales para funcionalidades específicas (como ransomware o movimiento lateral), (d) usar el equipo comprometido como punto de pivote para moverse lateralmente en la red corporativa.

----

== Infraestructura Utilizada ==
{| class="wikitable"
!Tipo
!Indicador / Característica
!Propósito
|-
|Plataforma de Ingeniería Social
|Microsoft Teams (cuentas falsas o comprometidas)
|Vector de acceso inicial y distribución del comando malicioso.
|-
|Servicio en la Nube (Almacenamiento)
|Dropbox (archivos ZIP maliciosos)
|Alojamiento de payloads, aprovechando la reputación del servicio para eludir filtros.
|-
|Payload
|Entorno Python portátil + scripts ModeloRAT
|Malware principal con arquitectura de dos etapas.
|-
|Infraestructura C2
|No especificada (comunicación cifrada)
|Recepción de datos de reconocimiento, envío de comandos, exfiltración de datos robados.
|-
|Mecanismo de Persistencia
|Registro de Windows (entradas ocultas), tareas programadas (nombres aleatorios)
|Garantizar la ejecución del malware después del reinicio.
|-
|Lenguaje de Scripting
|PowerShell, Python
|Ejecución inicial y operaciones principales del malware.
|}
----

== Objetivos y Sectores Afectados ==

* Objetivo Principal: Empleados de empresas que utilizan Microsoft Teams como plataforma de comunicación y colaboración.
* Sector Prioritario: General (cualquier organización que utilice Microsoft Teams). Los atacantes pueden adaptar los señuelos a diferentes industrias.
* Perfiles de Víctima: Empleados no técnicos (más propensos a caer en ingeniería social) y también desarrolladores/administradores de TI (objetivos de alto valor).
* Plataformas Afectadas: Microsoft Teams (vector de ataque), sistemas operativos Windows (ejecución de PowerShell y Python), Dropbox (infraestructura de entrega).
* Distribución Geográfica: Global (no se especifica una región geográfica particular).
* Datos Robados: Información del sistema (OS, herramientas de seguridad), archivos locales, credenciales de navegador, pulsaciones de teclas, capturas de pantalla, y posiblemente datos corporativos sensibles.

----

== Impacto y Riesgo ==

* Nivel de Riesgo: Alto para organizaciones que utilizan Microsoft Teams sin políticas de seguridad adecuadas. El riesgo es particularmente alto porque el malware eludió múltiples sistemas de protección de endpoints y plataformas públicas de análisis.
* Impacto Potencial (Organizaciones):
** Compromiso Inicial de Bajo Esfuerzo: Los atacantes pueden obtener acceso inicial a la red corporativa simplemente engañando a un empleado para que ejecute un comando de PowerShell.
** Sigilo y Evasión: La capacidad del malware para evadir las soluciones de seguridad de endpoints significa que las organizaciones pueden tener sistemas comprometidos sin saberlo durante largos períodos.
** Acceso Remoto Total: ModeloRAT permite a los atacantes controlar remotamente los equipos comprometidos, robar datos, instalar malware adicional (incluyendo ransomware) y moverse lateralmente.
** Exfiltración de Datos Sensibles: Robo de propiedad intelectual, datos de clientes, credenciales y otra información confidencial.
** Interrupción Operativa: Si los atacantes despliegan ransomware después del reconocimiento, las operaciones comerciales pueden verse gravemente afectadas.
** Daño Reputacional y Legal: Una brecha de datos resultante de esta campaña podría llevar a multas regulatorias (GDPR, CCPA), demandas y pérdida de confianza de los clientes.
* Impacto en la Industria de Seguridad (Tendencias):
** Cambio de Paradigma: Los atacantes están abandonando el correo electrónico como vector principal y moviéndose hacia plataformas de colaboración (Teams, Slack, Zoom).
** Insuficiencia de la Seguridad Basada en Firmas: La no detección por parte de plataformas públicas de análisis de malware confirma que las soluciones antivirus tradicionales son inadecuadas contra el malware moderno.
** Convergencia de Cibercrimen y Ciberespionaje: La disciplina operativa de KongTuke se asemeja a la de grupos APT patrocinados por estados, lo que sugiere que los grupos criminales están adoptando tácticas más sofisticadas.
* Contexto Psicológico: Los empleados están condicionados a confiar en las herramientas de comunicación interna. Cuando alguien parece ser del soporte técnico dentro de Teams, el escepticismo disminuye naturalmente. La ingeniería social sigue siendo efectiva porque los seres humanos responden a la autoridad y la urgencia.

----

== Recomendaciones de Mitigación ==

# Securización de Microsoft Teams y Plataformas de Colaboración (M1030, M1037):
#* Restringir la comunicación externa en Microsoft Teams para evitar que actores maliciosos inicien conversaciones con usuarios internos. Configurar políticas para que solo los dominios confiables puedan contactar a los empleados.
#* Tratar Teams, Slack y Zoom como superficies de ataque de alto riesgo, aplicando las mismas estrategias de monitorización, concienciación y protección de la identidad que para el correo electrónico.
#* Auditar regularmente las cuentas de Teams en busca de cuentas inactivas, sospechosas o no autorizadas.
# Políticas Estrictas para la Ejecución de Comandos y Scripts (M1038, M1040):
#* Educar a los empleados para que nunca ejecuten scripts o comandos (especialmente PowerShell) proporcionados por personas que afirman ser de soporte técnico sin verificar a través de canales oficiales (ej., llamada telefónica a la mesa de ayuda).
#* Implementar políticas de control de aplicaciones (AppLocker, WDAC) para restringir la ejecución de PowerShell solo a administradores y escenarios autorizados.
#* Habilitar el registro de bloques de scripts de PowerShell (Event ID 4104) y monitorear comandos anómalos.
# Fortalecimiento de la Autenticación y Gestión de Identidades (M1032, M1018):
#* Implementar autenticación multifactor (MFA) resistente al phishing (FIDO2/WebAuthn, claves de seguridad) para todas las cuentas de Microsoft 365, especialmente las que tienen acceso a Teams.
#* Monitorear inicios de sesión anómalos, robos de tokens y secuestros de sesión.
#* Aplicar el principio de mínimo privilegio para las cuentas de usuario.
# Control y Monitorización de Servicios en la Nube (Dropbox) (M1037, M1040):
#* Supervisar las descargas no autorizadas de Dropbox y otros servicios de almacenamiento en la nube desde endpoints.
#* Bloquear el acceso a Dropbox si no es necesario para operaciones comerciales legítimas. Si es necesario, utilizar políticas de Solo Lectura o permitir solo dominios específicos.
#* Implementar soluciones de seguridad de acceso a la nube (CASB) para detectar y bloquear la descarga de archivos sospechosos (ZIP que contienen entornos Python portátiles).
# Detección de Comportamiento y Respuesta a Incidentes (M1040):
#* Implementar soluciones EDR (Endpoint Detection and Response) que se centren en el análisis de comportamiento, no solo en firmas. Buscar:
#** Ejecución anómala de PowerShell.
#** Extracción oculta de archivos ZIP en directorios de aplicaciones.
#** Creación inusual de tareas programadas con nombres aleatorios.
#** Modificaciones no autorizadas en el registro de Windows.
#** Comunicación saliente a infraestructura C2 desconocida.
#* Configurar alertas para eventos sospechosos de extracción de archivos ZIP en directorios ocultos (<code>%AppData%</code>, <code>%LocalAppData%</code>, etc.).
#* Realizar ejercicios de simulación de ataques de suplantación de identidad en Teams para evaluar la preparación de los empleados.

----

== Herramientas de Detección ==

* EDR / XDR: Soluciones como CrowdStrike, SentinelOne, Microsoft Defender for Endpoint pueden detectar la ejecución de PowerShell con líneas de comando sospechosas (descarga de Dropbox), extracción de archivos ZIP en directorios ocultos, creación de tareas programadas y modificaciones en el registro.
* SIEM: Correlacionar logs de Microsoft Teams (actividad de cuentas externas, mensajes que contienen comandos de PowerShell), logs de autenticación, logs de PowerShell (Event ID 4104), logs de creación de procesos, logs de red (conexiones a Dropbox y C2).
* Monitoreo de Microsoft Teams (APIs de Graph): Herramientas de seguridad de colaboración (ej., Varonis, AvePoint) pueden detectar cuentas externas iniciando conversaciones con usuarios internos y mensajes que contienen comandos sospechosos.
* CASB (Cloud Access Security Broker): Soluciones como McAfee MVISION Cloud, Netskope, o Microsoft Defender for Cloud Apps pueden detectar y bloquear la descarga de archivos ZIP desde Dropbox que contengan entornos Python portátiles o scripts maliciosos.
* Análisis de Comportamiento de PowerShell: Herramientas como PowerShell Script Analyzer o scripts personalizados pueden analizar los comandos de PowerShell en busca de patrones de ofuscación o descarga de contenido remoto.

----

== Referencias y Fuentes ==

* Undercode AI. (2026, mayo). ''KongTuke aprovecha las vulnerabilidades de Microsoft Teams para propagar malware ModeloRAT avanzado''. cyberpress.org. (Artículo proporcionado por el usuario).
* Digital Trends. (2026). (Fuente adicional mencionada).
* OpenAI & Undercode AI DI v2. (2026). ''ModeloRAT Analysis''.
* MITRE ATT&CK Framework. Enterprise Matrix. (Para mapeo de TTPs).

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-05-14
|1.0
|Asistente de Seguridad
|Creación inicial de la entrada basada en el análisis de Undercode AI sobre la campaña de KongTuke y ModeloRAT en Microsoft Teams.
|}
----

== Indicadores de Compromiso (IOCs) ==
{| class="wikitable"
!Tipo
!Valor
|-
|Nombre del Grupo
|KongTuke
|-
|Nombre del Malware
|ModeloRAT (variante avanzada)
|-
|Plataforma de Ataque
|Microsoft Teams (cuentas falsas o comprometidas)
|-
|Servicio en la Nube Abusado
|Dropbox (alojamiento de archivos ZIP maliciosos)
|-
|Lenguaje de Programación
|Python (entorno portátil), PowerShell (comando inicial)
|-
|Comando de PowerShell (Ejemplo)
|Invoke-RestMethod / iex (específico no proporcionado, pero típicamente descarga de Dropbox)
|-
|Archivo ZIP
|Contiene entorno Python portátil y scripts maliciosos de ModeloRAT
|-
|Directorios Ocultos
|Directorios de aplicaciones en <code>%AppData%</code> o <code>%LocalAppData%</code>
|-
|Persistencia (Registro)
|Entradas ocultas en Run keys (ubicaciones específicas no proporcionadas)
|-
|Persistencia (Tarea Programada)
|Nombres aleatorios (patrón no especificado)
|-
|Arquitectura del Malware
|Dos etapas: (1) Discovery/Reconocimiento, (2) Comunicación C2 y acceso remoto
|-
|Datos Recopilados (Etapa 1)
|Sistema operativo, herramientas de seguridad, configuración del entorno
|-
|Comunicación C2
|Cifrada (HTTPS), infraestructura específica no proporcionada
|-
|Capacidades (Etapa 2)
|Acceso remoto, vigilancia continua, keylogging, captura de pantalla, robo de archivos, descarga de módulos adicionales
|-
|Detección en Plataformas Públicas
|No detectado (eludió VirusTotal y plataformas similares)
|-
|Evasión de Endpoints
|Eludió múltiples sistemas de protección de endpoints de nivel empresarial
|-
|Comportamiento Anómalo (Teams)
|Conversaciones no solicitadas desde cuentas externas o con nombres de visualización que imitan al soporte técnico
|-
|Comportamiento Anómalo (Teams)
|Mensajes que contienen comandos de PowerShell o instrucciones para ejecutar scripts
|-
|Comportamiento Anómalo (PowerShell)
|<code>Invoke-RestMethod</code> o <code>Invoke-WebRequest</code> a Dropbox, seguido de <code>iex</code> (Invoke-Expression)
|-
|Comportamiento Anómalo (Archivos)
|Extracción de archivos ZIP en directorios ocultos de aplicaciones
|-
|Comportamiento Anómalo (Registro)
|Creación de nuevas entradas en Run keys (especialmente con nombres inusuales)
|-
|Comportamiento Anómalo (Tareas Programadas)
|Creación de tareas con nombres aleatorios, intervalo de repetición no especificado
|-
|Comportamiento Anómalo (Red)
|Tráfico HTTPS hacia Dropbox (descarga) y hacia infraestructura C2 desconocida
|}
----

== Etiquetas / Categorías ==
<code>kongtuke</code> <code>modelorat</code> <code>microsoft-teams</code> <code>teams-phishing</code> <code>powershell-malware</code> <code>python-portable</code> <code>dropbox-abuse</code> <code>cloud-storage-malware</code> <code>remote-access-trojan</code> <code>rat</code> <code>social-engineering</code> <code>collaboration-platform-attack</code> <code>supply-chain-risk</code> <code>edr-evasion</code> <code>signature-evasion</code> <code>two-stage-malware</code> <code>registry-persistence</code> <code>scheduled-tasks</code> <code>cyber-espionage</code> <code>ransomware-vector</code> <code>identity-theft</code> <code>cyberpress</code> <code>undercode-ai</code> <code>ciberwiki</code> <code>deeba-ahmed</code> <code>kongtuke-teams-attack</code> <code>modelorat-campaign</code> <code>teams-security</code>

[[Category:CAMPAÑAS|CAMPAÑAS]]