IronWind

IronWind es un cargador (loader) personalizado escrito en .NET, activo desde al menos 2023 y utilizado por el grupo de ciberespionaje WIRTE (subgrupo del Hamas-affiliated Gaza Cybergang) para comprometer objetivos en Oriente Medio. Este malware actúa como la primera etapa de infección, empleando técnicas avanzadas de evasión y ofuscación para desplegar payloads posteriores en sistemas Windows. Su nombre deriva de su capacidad para "tejer" múltiples capas de ofuscación y su naturaleza sigilosa, operando mediante DLL sideloading (secuestro de flujo de ejecución) para ejecutar código malicioso dentro de procesos legítimos y así evitar la detección por parte de soluciones de seguridad tradicionales. IronWind se caracteriza por su modularidad y su enfoque en la recolección de información del sistema víctima (nombre de equipo, versión de SO, usuario y software instalado) antes de proceder con la descarga de etapas adicionales, todo ello comunicándose con su servidor de Comando y Control (C2) mediante protocolos web estándar (HTTP) para mezclarse con el tráfico legítimo.

Técnicamente, IronWind implementa una doble capa de ofuscación para ocultar sus cadenas de comando y payloads: primero aplica una codificación Base64, seguida de una cifrado XOR con la clave "53" (valor hexadecimal 0x35), que ha sido consistentemente observada en múltiples muestras del malware. El loader desofusca dinámicamente la siguiente etapa en memoria utilizando estas operaciones, evitando escribir archivos sospechosos en disco. Para la ejecución de comandos, utiliza el shell de comandos de Windows (cmd.exe) y, en algunas variantes, PowerShell para descargar y ejecutar scripts adicionales desde el C2. Una característica distintiva es el uso de un módulo .NET llamado "exit-DN4-core.dll" , cuya función es terminar procesos maliciosos en el sistema víctima como medida de limpieza o para evitar la superposición de múltiples instancias del malware. IronWind también puede listar el software instalado en el host comprometido, lo que sugiere una fase de reconocimiento para determinar el valor del objetivo o adaptar el siguiente payload según el entorno (por ejemplo, si tiene software de seguridad específico o herramientas de administración remota).

La atribución de IronWind a WIRTE se basa en múltiples overlaps técnicos observados por investigadores de Check Point y Unit 42, incluyendo: (1) el uso consistente de DLL sideloading con nombres de archivo y rutas idénticas a campañas previas de WIRTE; (2) la clave XOR "53" que aparece tanto en IronWind como en otras herramientas del grupo como AshTag y SameCoin; (3) la infraestructura de C2 compartida (dominios y direcciones IP que han sido históricamente vinculados a WIRTE); y (4) los documentos señuelo utilizados en las campañas de phishing que distribuyen IronWind, los cuales temáticamente coinciden con los intereses geopolíticos de WIRTE (asuntos diplomáticos, militares y tecnológicos en Oriente Medio). El grupo WIRTE, activo desde al menos 2018 y con presuntos vínculos con Hamás, ha evolucionado desde operaciones de espionaje tradicional hacia actividades más disruptivas, incluyendo ataques con malware wiper contra objetivos israelíes, e IronWind representa su apuesta por un loader personalizado que les permite mantener un acceso sigiloso y persistente a redes gubernamentales, financieras y diplomáticas en la región.

Funcionamiento

IronWind es un cargador (loader) modular escrito en .NET, diseñado específicamente para operar como la primera etapa en cadenas de infección complejas dirigidas a entidades gubernamentales en Oriente Medio. Su arquitectura técnica se basa en una ejecución por etapas (stage-based execution) que permite mantener una huella inicial pequeña mientras descarga progresivamente funcionalidades más avanzadas desde servidores de Comando y Control (C2) controlados por el actor TA402 (también conocido como Molerats, Gaza Cybergang o WIRTE). A diferencia de malware monolítico, IronWind actúa como un "multi-stage downloader" que orquesta una secuencia de payloads, donde cada etapa solo se descarga y ejecuta en memoria si la anterior tiene éxito, dificultando la detección por parte de soluciones de seguridad tradicionales y el análisis forense.

1. Cadena de Infección Inicial y Vectores de Distribución

El proceso comienza con campañas de phishing altamente dirigido utilizando cuentas de correo electrónico comprometidas, incluyendo una perteneciente a un Ministerio de Asuntos Exteriores legítimo, lo que otorga credibilidad a los mensajes maliciosos. TA402 ha utilizado tres variantes distintas del vector de infección entre julio y octubre de 2023, demostrando una capacidad de adaptación táctica significativa:

1. Julio 2023 - Enlace Dropbox: El correo contenía un enlace a Dropbox que descargaba un archivo PPAM (Microsoft PowerPoint Add-in) malicioso. El nombre del señuelo era "Economic cooperation program with the countries of the Gulf Cooperation Council 2023-2024" en árabe.
2. Agosto 2023 - Archivo XLL adjunto: El vector cambió a un archivo XLL adjunto con el señuelo "List of persons and entities (designated as terrorists) by the Anti-Money Laundering and Terrorist Financing Authority".
3. Octubre 2023 - Archivo RAR adjunto: Contenía un ejecutable renombrado (tabcal.exe) y una DLL (propsys.dll) que era IronWind.

El archivo PPAM contiene una macro de VBScript que, al ser habilitada por la víctima, dropea tres archivos en el sistema: version.dll (IronWind), timeout.exe (un binario legítimo de Windows vulnerable a DLL sideloading), y gatherNetworkInfo.vbs (un script de reconocimiento inicial).

2. Mecanismo de Ejecución: DLL Sideloading

IronWind emplea DLL sideloading (T1574.001) como técnica de evasión principal, aprovechando el binario legítimo timeout.exe de Windows para cargar la DLL maliciosa. El flujo técnico es el siguiente:

1. La macro ejecuta timeout.exe, un binario firmado por Microsoft que normalmente espera cargar version.dll de Windows
2. Al colocar la version.dll maliciosa (IronWind) en el mismo directorio que timeout.exe, el binario legítimo sideloadea (carga lateralmente) la DLL maliciosa como parte de su flujo de ejecución normal
3. Una vez cargada, IronWind comienza a ejecutarse en el contexto del proceso legítimo, evadiendo muchas soluciones EDR que confían en la reputación del ejecutable firmado

Este método es particularmente efectivo porque timeout.exe es una herramienta estándar de Windows y su ejecución no levanta sospechas en sistemas bien administrados. En la variante de octubre de 2023, TA402 utilizó tabcal.exe (otro binario legítimo de Windows) para sideloadear propsys.dll (la misma DLL IronWind renombrada).

3. Comunicación Inicial y Desofuscación de Payloads

Una vez ejecutada, IronWind realiza una petición HTTP GET a su servidor C2 (dominios observados: theconomics[.]net e inclusive-economy[.]com). La solicitud incluye información básica sobre el sistema víctima, aunque la técnica exacta de exfiltración de datos inicial se ha observado que utiliza un servicio de terceros llamado Request Inspector para enviar información codificada en Base64 sobre el entorno comprometido.

IronWind implementa una doble capa de ofuscación (T1027.010) para proteger sus cadenas de comando y payloads:

• Codificación Base64 de strings y comandos
• Cifrado XOR con la clave "53" (valor hexadecimal 0x35) que se aplica después de la decodificación Base64

La función de desofuscación (T1140) funciona en memoria, lo que significa que el payload de la siguiente etapa nunca es escrito en disco, solo manipulado en RAM. La clave "53" ha sido observada consistentemente en múltiples muestras de IronWind y herramientas relacionadas del mismo actor, como AshTag y SameCoin, sirviendo como firma de atribución.

4. Cadena de Payloads Multi-Etapa

La respuesta del servidor C2 a la petición GET de IronWind es shellcode que constituye la tercera etapa de la cadena de infección. Este shellcode tiene dos funciones principales:

Función de reconocimiento mediante WMI: El shellcode utiliza cargadores reflectivos .NET (reflective .NET loaders) para ejecutar consultas WMI (Windows Management Instrumentation) que recopilan información del sistema. El reflective loading es una técnica de inyección de código que permite cargar un ensamblado .NET directamente en memoria desde un array de bytes, sin necesidad de tocar el disco.

Descarga de la cuarta etapa: Simultáneamente, el shellcode actúa como un loader multi-propósito que descarga un ejecutable .NET que hace uso de SharpSploit, una biblioteca de post-explotación escrita en C# diseñada para operaciones ofensivas. SharpSploit proporciona capacidades como:

• Ejecución de comandos arbitrarios
• Inyección de shellcode en procesos remotos
• Manipulación de tokens de acceso
• Reconocimiento de red y sistema

5. Mecanismo de Comando y Control (C2) Persistente

El ejecutable .NET de la cuarta etapa establece un canal C2 persistente utilizando peticiones HTTPS POST y GET al mismo dominio C2, intercambiando datos en formato JSON. Para autenticarse ante el servidor, el malware utiliza una cadena User-Agent personalizada única:

text

Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:<tag>) Gecko/<auth> Firefox/3.15

Donce <tag> y <auth> son valores dinámicos que probablemente sirven como mecanismo de autenticación y control de versiones. Esta User-Agent es lo suficientemente distintiva como para ser utilizada como firma de detección en logs de proxy y firewall.

El C2 responde con comandos adicionales codificados en JSON, y el malware está preparado para descargar payloads de shellcode de quinta etapa, aunque durante el análisis de Proofpoint no se observó su despliegue completo. Se identificó que el código de la última etapa contenía funciones sin utilizar, lo que sugiere que TA402 continúa desarrollando y refinando IronWind para futuras campañas.

6. Capacidades de Reconocimiento y Post-Explotación

IronWind incorpora capacidades de reconocimiento del sistema víctima que se ejecutan temprano en la cadena de infección (T1082, T1033, T1518):

• System Information Discovery (T1082): Captura el nombre del equipo, versión del sistema operativo y arquitectura del sistema
• System Owner/User Discovery (T1033): Enumera el nombre de usuario de la cuenta comprometida
• Software Discovery (T1518): Lista el software instalado en el host objetivo, probablemente para determinar el valor del objetivo o adaptar los siguientes payloads según el entorno (por ejemplo, identificar presencia de soluciones EDR específicas)

La información recopilada se envía al C2 a través de los canales HTTP/HTTPS establecidos, permitiendo a los operadores de TA402 evaluar el éxito de la infección y planificar los siguientes movimientos.

7. Técnicas de Limpieza y Anti-Forense

IronWind incluye un módulo específico para eliminación de indicadores (T1070): una DLL .NET denominada exit-DN4-core.dll cuya función es terminar procesos maliciosos en el sistema víctima. Esta capacidad cumple múltiples propósitos:

1. Limpiar artefactos: Eliminar procesos que podrían ser detectados por soluciones de seguridad
2. Evitar superposición: Prevenir que múltiples instancias del malware compitan por recursos o se detecten entre sí
3. Dificultar el análisis forense: Terminar procesos que los investigadores intentarían analizar en memoria viva

Adicionalmente, TA402 emplea técnicas de geofencing (cercado geográfico) en su infraestructura C2, donde las URLs maliciosas redirigen a documentos señuelo legítimos alojados en plataformas de documentos si la solicitud no proviene de la región geográfica objetivo (probablemente Oriente Medio), complicando aún más la detección y el análisis por parte de investigadores fuera de la zona.

8. Evidencias de Desarrollo (PDB Paths)

Un hallazgo técnico significativo durante el análisis forense fue que los desarrolladores de TA402 no sanitizaron las rutas PDB (Program Database) en los binarios de IronWind, exponiendo información valiosa sobre la estructura del proyecto. Las rutas recuperadas incluyen:

• C:\Users\Win\Desktop\Reno\NewTor\27-07-2023\tornado\tornado\Payloads\BAR_33\I.A\out\IA.pdb
• C:\Users\User\Desktop\tornado\Payloads\WKS_10\I.A\out\stagerx64.pdb
• K:\prj\WIP\C# - Payload\Client-Side\https\client-Divided\KALV\obj\Release\KALV.pdb

Estas rutas revelan que el nombre del proyecto es \tornado\ y que el desarrollo está segmentado por función: "IA" para el dropper IronWind, "stager" para la DLL intermedia, y "payloads" para las etapas posteriores. Los nombres de subdirectorios como BAR_33, WKS_10, KIL_03 y KALV sugieren un sistema de versionado interno o designación de diferentes variantes del malware.

Resumen de la Cadena de Infección

Etapa	Componente	Técnica Principal	Propósito
1	Correo phishing + enlace/archivo adjunto	Ingeniería social (T1566)	Entrega inicial
2	PPAM con macro	Macro de VBScript (T1059.005)	Dropea 3 archivos
3	timeout.exe + version.dll (IronWind)	DLL Sideloading (T1574.001)	Carga legítima disfrazada
4	HTTP GET a C2 + shellcode	Web Protocols (T1071.001)	Descarga payload etapa 3
5	Shellcode con reflective .NET loader	Reflective Loading	WMI queries + descarga etapa 4
6	.NET + SharpSploit	HTTPS C2 (T1071.001)	Post-explotación

Esta arquitectura multi-etapa, combinada con ofuscación XOR/Base64, sideloading de DLLs legítimas, y el uso de infraestructura C2 con geofencing, posiciona a IronWind como una herramienta de acceso inicial altamente sofisticada, diseñada específicamente para mantener sigilo operacional mientras entrega cargas útiles de espionaje completas a objetivos gubernamentales de alto valor.

Impacto y consecuencias

El impacto de IronWind trasciende su función técnica como cargador de malware para convertirse en un habilitador estratégico de dos tipos de operaciones cibernéticas fundamentalmente diferentes: espionaje gubernamental de largo alcance y ataques destructivos de tipo wiper contra infraestructuras críticas . Desde su primera detección en julio de 2023, IronWind ha sido utilizado exclusivamente por el grupo WIRTE (TA402, Gaza Cybergang) en campañas altamente selectivas que nunca superan las cinco organizaciones objetivo por operación, lo que indica una estrategia de precisión quirúrgica en lugar de ataques masivos . Su principal consecuencia ha sido permitir a un actor respaldado por Hamás mantener operaciones de inteligencia ininterrumpidas durante el conflicto Israel-Gaza, a pesar de las expectativas de que sus capacidades se verían degradadas . La persistencia del grupo durante todo 2024, documentada tanto por Proofpoint como por Check Point Research, demuestra que IronWind ha logrado su objetivo de proporcionar un acceso inicial sigiloso que ninguna campaña de interrupción física ha podido neutralizar .

1. Facilitación de Espionaje Gubernamental Regional

La principal consecuencia de IronWind ha sido potenciar la capacidad de espionaje del grupo WIRTE contra entidades gubernamentales en Palestina, Jordania, Irak, Egipto y Arabia Saudita . El malware permite la entrega del framework de post-explotación Havoc Demon, que proporciona a los operadores capacidades completas de control remoto, movimiento lateral y exfiltración de datos . La infraestructura C2 de IronWind incorpora mecanismos de geofencing sofisticados: si una solicitud no proviene de la región geográfica objetivo (identificada por la dirección IP del visitante), el servidor redirige al solicitante a documentos señuelo legítimos alojados en plataformas de documentos o a sitios web de noticias reales como jordantimes.com y dailynewsegypt.com . Esta técnica tiene el impacto de limitar drásticamente la capacidad de detección por parte de investigadores fuera de Oriente Medio, creando un punto ciego en la inteligencia de amenazas global. El uso consistente de cuentas de correo electrónico comprometidas de Ministerios de Asuntos Exteriores legítimos añade una capa adicional de credibilidad que ha resultado en la compromisión exitosa de sistemas gubernamentales sensibles a lo largo de 2023 y 2024 .

2. Habilitación de Ataques Destructivos con SameCoin Wiper

El impacto más severo y disruptivo de IronWind se manifestó en febrero y octubre de 2024, cuando el mismo grupo utilizó el loader para desplegar el malware SameCoin Wiper contra objetivos exclusivamente israelíes, incluyendo hospitales y municipalidades . La conexión técnica entre IronWind y SameCoin es irrefutable: el wiper comparte una función XOR idéntica con una variante reciente de IronWind, diferenciándose únicamente en la clave utilizada (IronWind usa "msasn1.dll" mientras SameCoin emplea "Saturday, October 07, 2023, 6:29:00 AM", la fecha y hora del ataque de Hamás) . Esta firma criptográfica única demuestra que el mismo desarrollador compiló ambas herramientas en el mismo entorno de desarrollo, elevando las consecuencias del loader más allá del espionaje hacia el sabotaje activo. En la campaña de octubre de 2024, el wiper fue enviado desde una cuenta legítima comprometida de un revendedor israelí de ESET, lo que permitió eludir filtros de correo electrónico y llegar a víctimas de alto valor. El wiper, tras verificar que la víctima estaba en Israel comprobando el acceso al sitio de la Home Front Command (oref.org.il), procedía a sobrescribir archivos con bytes aleatorios, cambiar el fondo de pantalla a una imagen pro-Hamas (mencionando a las Brigadas Al-Qassam) y reproducir un video de propaganda del 7 de octubre . Además, incluía un componente de propagación activa (csrs.exe) que enviaba el wiper como archivo adjunto a otros contactos en la misma organización mediante Outlook y lo copiaba a máquinas remotas en el Active Directory usando tareas programadas .

3. Continuidad Operacional a Pesar del Conflicto

Una de las consecuencias más notables documentadas por investigadores es que el conflicto Israel-Gaza no ha interrumpido las operaciones de WIRTE . Contrario a las expectativas de que los ciberoperadores palestinos serían "retirados del tablero" tras la ofensiva terrestre israelí, el grupo no solo continuó activo sino que expandió su repertorio táctico . En octubre de 2023, mientras la guerra se intensificaba, WIRTE lanzó una campaña utilizando el señuelo "تقريــر وتوصيـات الـدورة (110) بخصوص الحرب على غزة" (Informe y Recomendaciones de la 110ª Sesión sobre la Guerra en Gaza), demostrando capacidad de adaptación táctica en tiempo real . Esta continuidad tiene implicaciones estratégicas: demuestra que la infraestructura de C2 de IronWind (dominios como theconomics[.]net e inclusive-economy[.]com) y los mecanismos de entrega son suficientemente resilientes para soportar interrupciones geopolíticas masivas . Los investigadores de Check Point señalan que esta persistencia "fortalece la afiliación del grupo con Hamás" mientras que al mismo tiempo "complica la atribución geográfica de esta actividad específicamente a Gaza" .

4. Impacto en la Postura de Defensa de las Organizaciones

Para las organizaciones objetivo, IronWind introduce desafíos defensivos únicos debido a su arquitectura de múltiples etapas y su uso de sideloading de DLLs legítimas. La técnica de DLL sideloading mediante binarios firmados por Microsoft como timeout.exe o tabcal.exe permite que el malware se ejecute en el contexto de procesos de confianza, evadiendo muchas soluciones EDR que confían en la reputación del ejecutable padre . Además, el uso de cargadores reflectivos .NET que ejecutan código directamente en memoria (sin escritura en disco) y la desofuscación en tiempo real de payloads mediante XOR con la clave "53" (0x35) hacen que los IoCs estáticos basados en archivos sean insuficientes para la detección . La segmentación geográfica implementada en los servidores C2 significa que las organizaciones fuera de Oriente Medio no pueden inspeccionar el payload malicioso completo, ya que el servidor les redirige a contenido benigno si no cumplen con los criterios de geolocalización esperados .

5. Consecuencias a Largo Plazo y Evolución del Actor

El desarrollo de IronWind representa una evolución significativa en las capacidades de un actor que anteriormente dependía de herramientas de código abierto y técnicas menos sofisticadas. Las rutas PDB no sanitizadas reveladas durante el análisis (C:\Users\Win\Desktop\Reno\NewTor\...\tornado\Payloads\BAR_33\I.A\out\IA.pdb) demuestran que el malware es parte de un proyecto interno denominado "tornado" , con subdirectorios como BAR_33, WKS_10 y KIL_03 que sugieren un sistema de versionado metódico y un ciclo de desarrollo profesional . La observación de que "el código de la última etapa contenía funciones sin utilizar" indica que TA402 continúa refinando activamente IronWind para futuras campañas . A largo plazo, la existencia de IronWind en la naturaleza significa que el umbral de sofisticación para grupos patrocinados por estados no pertenecientes a las "Cuatro Grandes" (Rusia, China, Irán, Corea del Norte) se ha elevado . Como señala Josh Miller de Proofpoint, "ver una sofisticación relativamente alta de un adversario fuera de las Cuatro Grandes es algo inusual" . Las consecuencias incluyen que los equipos de seguridad gubernamentales en la región deben ahora prepararse para defensas contra malware personalizado de múltiples etapas con geofencing, no solo contra herramientas de espionaje comerciales o de código abierto. La capacidad de WIRTE para alternar entre espionaje y sabotaje según el objetivo (gobiernos árabes para inteligencia, Israel para destrucción) demuestra una madurez operacional que convierte a IronWind en un multiplicador de fuerza estratégico para los intereses de Hamás en el ciberespacio .

Origen y motivación

IronWind es un cargador (loader) personalizado desarrollado por el grupo de ciberespionaje WIRTE (también conocido como TA402 o Gaza Cybergang) , una facción del ecosistema de amenazas palestino con presuntos vínculos con Hamás, activa desde al menos 2018 . Su origen se remonta a mediados de 2023, cuando fue identificado por primera vez en campañas dirigidas contra entidades gubernamentales en Oriente Medio, incluyendo Palestina, Jordania, Irak, Egipto y Arabia Saudita . La motivación principal de IronWind es dual y geográficamente segmentada: por un lado, facilitar operaciones de espionaje continuas para recopilar inteligencia sobre gobiernos árabes vecinos, manteniendo acceso sigiloso a redes diplomáticas, financieras y tecnológicas; por otro lado, a partir de febrero de 2024, el mismo loader ha sido utilizado para desplegar ataques destructivos de tipo wiper (SameCoin Wiper) exclusivamente contra objetivos israelíes, incluyendo hospitales y municipalidades, en una escalada que coincide con el conflicto Israel-Gaza . Esta motivación de sabotaje está reforzada por la inclusión de una firma criptográfica única (la fecha y hora del ataque de Hamás del 7 de octubre de 2023) dentro del código del wiper, demostrando una intencionalidad política explícita . El desarrollo de IronWind representa, por tanto, un esfuerzo deliberado de WIRTE por profesionalizar su arsenal más allá de herramientas de código abierto, adoptando técnicas avanzadas como DLL sideloading, cargadores reflectivos .NET y geofencing en C2, con el objetivo de mantener capacidades operacionales resilientes a pesar del contexto bélico en la región.

• Relación de acciones para mitigar el riesgo de esta actividad maliciosa.