Campaña de Ciberespionaje contra Refinería Libia (AsyncRAT)

Campaña de Ciberespionaje contra Refinería Libia es el nombre que recibe una operación de ciberespionaje prolongada que tuvo como objetivo a una refinería de petróleo en Libia, junto con una empresa de telecomunicaciones y una institución estatal del mismo país. Activa desde al menos noviembre de 2025 hasta febrero de 2026, la campaña utilizó correos de spear-phishing con señuelos de temática política libia para desplegar AsyncRAT, un troyano de acceso remoto (RAT) modular y ampliamente disponible. Los atacantes mantuvieron acceso persistente a las redes comprometidas durante meses, con el objetivo probable de recopilar inteligencia en un contexto de creciente inestabilidad geopolítica en Oriente Medio y crecientes temores sobre el suministro energético mundial.

Nombres Alternativos / Aliases

• Operación Saif al-Gaddafi (Por el nombre del señuelo político utilizado)
• Campaña AsyncRAT Libia (Por el malware y el país objetivo)
• Espionaje contra Sector Energético Libio (Por el sector y geografía afectados)
• Operación de Phishing con Temática Libia (Por el vector de ataque principal)

Fecha de Detección / Actividad

• Inicio de la Actividad: Abril de 2025 (evidencia de archivos en VirusTotal que datan de esta fecha).
• Actividad Confirmada en Redes: Noviembre de 2025 a febrero de 2026.
• Fecha de Divulgación Pública: 20 de marzo de 2026 (reportado por Symantec y Carbon Black).
• Estado: Actividad detectada y contenida en las organizaciones afectadas. No se ha confirmado el desmantelamiento de la infraestructura del atacante.

Actor de Amenaza (Atribución)

• Atribución: No atribuido de forma concluyente. Las técnicas coinciden con campañas de espionaje anteriores en Oriente Medio atribuidas a MuddyWater (grupo vinculado a Irán), pero el uso de AsyncRAT (una herramienta pública) impide una atribución definitiva.
• Tipo de Actor: Probablemente patrocinado por un estado (state-sponsored), dada la naturaleza de los objetivos (refinería, telecomunicaciones, institución estatal) y la duración prolongada del acceso.
• Motivación: Inteligencia geopolítica y económica. Recopilación de información sobre infraestructura energética crítica en un contexto de inestabilidad regional y tensiones en el suministro petrolero mundial.
• Sofisticación: Media-Alta. Uso de spear-phishing dirigido con señuelos contextualizados, cadena de infección en múltiples etapas, persistencia mediante tareas programadas y despliegue de un RAT modular con amplias capacidades.

Resumen Ejecutivo

Entre noviembre de 2025 y febrero de 2026, una campaña de ciberespionaje dirigida afectó a múltiples organizaciones libias, incluyendo una refinería de petróleo, una empresa de telecomunicaciones y una institución estatal. La operación, que podría haber estado activa desde abril de 2025 según los archivos rastreados, utilizó correos de spear-phishing con documentos señuelo que aprovechaban eventos políticos locales, como el asesinato de Saif al-Islam Gaddafi, una figura relevante en Libia. Este uso de temáticas locales indica una selección deliberada de objetivos y un conocimiento contextual por parte de los atacantes.

La cadena de infección comenzaba con un descargador VBS (con nombres como video_saif_gadafi_2026.vbs) alojado en servicios de nube legítimos como Kraken Files. Este descargador obtenía un dropper de PowerShell que creaba una tarea programada llamada "devil" para garantizar la persistencia en el sistema comprometido. Finalmente, se desplegaba AsyncRAT, un troyano de acceso remoto basado en .NET, disponible públicamente, que proporciona capacidades como keylogging, captura de pantalla, ejecución remota de comandos y gestión de archivos.

Los atacantes mantuvieron presencia en las redes de la compañía petrolera durante al menos tres meses, con actividad registrada en noviembre de 2025, diciembre de 2025 y febrero de 2026. Aunque los ataques ocurrieron antes del inicio de los bombardeos estadounidenses e israelíes contra Irán, los investigadores advierten que la inestabilidad en Oriente Medio podría intensificar los ataques contra productores de petróleo en otros países, especialmente dado que la producción petrolera libia alcanzó en 2025 su nivel más alto en 12 años.

Vectores de Ataque

• Spear-Phishing con Señuelos Políticos Locales: El vector de ataque inicial fueron correos electrónicos de spear-phishing que contenían documentos señuelo relacionados con eventos políticos en Libia. Un ejemplo destacado fue un documento titulado "Vídeos filtrados de CCTV: asesinato de Saif al-Gaddafi.gz", haciendo referencia al asesinato ocurrido el 3 de febrero de 2026.
• Alojamiento en Servicios en la Nube Legítimos: Los descargadores VBS se alojaban en plataformas de almacenamiento en la nube como Kraken Files para evadir la detección basada en reputación de dominios.
• Descarga en Múltiples Etapas: Cadena de infección que incluía VBS → PowerShell → AsyncRAT, dificultando la detección por soluciones de seguridad basadas en firmas estáticas.

Técnicas, Tácticas y Procedimientos (TTPs)

Táctica (MITRE ATT&CK)	Técnica	Descripción / Implementación
Acceso Inicial (TA0001)	Phishing: Spearphishing Attachment (T1566.001)	Correos electrónicos dirigidos con documentos señuelo sobre asesinato de Saif al-Gaddafi y otros eventos políticos libios.
Ejecución (TA0002)	Command and Scripting Interpreter: Visual Basic (T1059.005)	Uso de descargadores VBS (.vbs) para iniciar la cadena de infección y descargar cargas adicionales.
Ejecución (TA0002)	Command and Scripting Interpreter: PowerShell (T1059.001)	Dropper de PowerShell que crea tareas programadas y descarga AsyncRAT.
Persistencia (TA0003)	Scheduled Task/Job: Scheduled Task (T1053.005)	Creación de una tarea programada llamada "devil" utilizando un archivo XML (Googless.xml) para ejecutar AsyncRAT de forma persistente.
Defensa en Defensa (TA0005)	Obfuscated Files or Information (T1027)	Uso de múltiples etapas de descarga y nombres de archivo engañosos (ej. image.png que en realidad es un ejecutable PowerShell) para evadir la detección.
Mando y Control (TA0011)	Application Layer Protocol: Web Protocols (T1071.001)	AsyncRAT utiliza protocolos web estándar (HTTP/HTTPS) para comunicarse con los servidores C2, mezclándose con el tráfico legítimo.
Recopilación (TA0009)	Screen Capture (T1113)	Capacidad de AsyncRAT para capturar pantallas del sistema comprometido.
Recopilación (TA0009)	Input Capture: Keylogging (T1056.001)	Capacidad de AsyncRAT para registrar pulsaciones de teclas y capturar credenciales.

Flujo de Ataque (Kill Chain)

1. Reconocimiento: Los atacantes identifican objetivos en el sector energético, telecomunicaciones y gobierno de Libia, aprovechando el contexto de inestabilidad política y el aumento de la producción petrolera.
2. Preparación de Señuelos: Crean documentos señuelo con temáticas políticas locales relevantes, como el asesinato de Saif al-Islam Gaddafi.
3. Entrega (Spear-Phishing): Envían correos electrónicos dirigidos a empleados de las organizaciones objetivo, adjuntando o enlazando los documentos señuelo.
4. Ejecución Inicial: La víctima abre el archivo señuelo, activando un descargador VBS.
5. Descarga de Cargas: El descargador VBS se conecta a un servicio de nube legítimo (Kraken Files) para obtener un dropper de PowerShell.
6. Persistencia: El dropper de PowerShell crea una tarea programada llamada "devil" que asegura la ejecución continua del malware.
7. Despliegue de RAT: Se descarga e instala AsyncRAT en el sistema comprometido.
8. Acceso Prolongado y Exfiltración: Los atacantes mantienen acceso remoto durante meses (noviembre 2025 - febrero 2026), utilizando las capacidades de AsyncRAT para keylogging, captura de pantalla, ejecución de comandos y exfiltración de información sensible.

Infraestructura Utilizada

• Servicios en la Nube Legítimos Abusados: Kraken Files (dominio hs8.krakenfiles[.]com) utilizado para alojar los droppers de PowerShell.
• Servidores C2: Direcciones IP y dominios utilizados por AsyncRAT para la comunicación de mando y control (no especificados en el informe público, pero gestionados por los atacantes).
• Archivos Maliciosos: Múltiples descargadores VBS con nombres temáticos (ej. video_saif_gadafi_2026.vbs, Audio_Libya_algeria.vbs, Libya_voice2025.vbs) alojados en la infraestructura del atacante.

Objetivos y Sectores Atacados

• Objetivo Principal: Recopilación de inteligencia sobre infraestructura energética crítica en Libia.
• Sectores Específicos:
  • Energético: Refinería de petróleo en Libia.
  • Telecomunicaciones: Empresa de telecomunicaciones libia.
  • Gobierno: Institución estatal libia.
• Geografía: Libia, con un enfoque concentrado en organizaciones del país.
• Contexto Geopolítico: La campaña ocurrió en un período de inestabilidad en Oriente Medio, con tensiones crecientes en el Golfo y temores sobre el suministro energético mundial, lo que hace que el sector petrolero libio sea un objetivo estratégico.

Impacto y Riesgo

• Nivel de Riesgo: Alto para las organizaciones objetivo. La intrusión prolongada en una refinería de petróleo representa un riesgo significativo para la seguridad nacional de Libia y la estabilidad del suministro energético regional.
• Impacto en la Confidencialidad: Exfiltración potencial de información sensible sobre operaciones de refinación, infraestructura crítica, credenciales de acceso y comunicaciones internas.
• Impacto en la Integridad: Los atacantes con acceso remoto persistente podrían haber manipulado sistemas de control o alterado configuraciones, aunque no se reportaron incidentes de sabotaje.
• Impacto en la Disponibilidad: No se reportaron interrupciones de servicios como resultado directo de la campaña.
• Duración del Compromiso: Los atacantes mantuvieron acceso a las redes de la compañía petrolera durante al menos tres meses (noviembre 2025 - febrero 2026), con evidencia de actividad continua durante ese período.

Recomendaciones de Mitigación

Recomendaciones para Organizaciones del Sector Energético y Crítico

• Concienciación sobre Phishing: Capacitar al personal para identificar correos de spear-phishing, especialmente aquellos que aprovechan eventos políticos o noticias de actualidad para crear señuelos convincentes.
• Segmentación de Red: Aislar los sistemas de control industrial (ICS/SCADA) de las redes corporativas para limitar el movimiento lateral en caso de una intrusión.
• Monitoreo de Tráfico: Implementar soluciones de monitoreo de red que detecten comunicaciones anómalas con servicios en la nube no autorizados o patrones de tráfico propios de RATs como AsyncRAT.
• Control de Scripts: Restringir la ejecución de scripts VBS y PowerShell en sistemas donde no sean necesarios para las operaciones diarias. Utilizar políticas de ejecución de PowerShell y logging mejorado (script block logging) para detectar actividad maliciosa.
• Gestión de Tareas Programadas: Auditar regularmente las tareas programadas en sistemas críticos para identificar entradas sospechosas (como "devil" en este caso).
• Actualizaciones y Parches: Mantener actualizados los sistemas operativos y aplicaciones para reducir la superficie de ataque.

Herramientas de Detección

• Soluciones EDR: Pueden detectar la ejecución de scripts VBS y PowerShell no autorizados, la creación de tareas programadas sospechosas y la actividad de procesos asociados a AsyncRAT.
• SIEM con Correlación: Correlacionar eventos de creación de tareas programadas, descargas desde servicios en la nube poco comunes y conexiones salientes a IPs sospechosas.
• Análisis de Logs de PowerShell: Revisar logs de PowerShell en busca de comandos de descarga y ejecución de cargas maliciosas.

Indicadores de Compromiso (IOCs)

Artefactos en el Sistema de la Víctima

• Archivos Maliciosos (Hash SHA-256):
  • AsyncRAT: 12c65ac4e02313ed1aa2d32d56428f0a135b281604d536e5ae6ca08b6b4232c9, 0f3344e672d1ea6cde382b68b27063ed766fced717e9f5f2e15e6c79ce0737f7, ad796fc0ac17b58e47dbadd42bf164790c18ac67aade8c6bf2251056ef68138d
  • Descargadores VBS: 39eade26c5680d20f5a8032a0d3996a29058e52c147e4b49a2072d2dcb353325 (video_saif_gadafi_2026.vbs), 43c5d9a267742ee3c6c9bcf3e6f63ec397fbe0233a5d99bdb7dacbfa1a0f69d5 (Audio_Libya_algeria.vbs), b4a3f2f5091df7174e82283ed59cd557eea2e8ddd7a018dafc5e8151fd683429 (Libya_voice2025.vbs)
  • Droppers PowerShell: c3eef096073dd0873a821c35dd2e7eaf391863264ab72e1b91f2ca73218c2d04 (image.png), 22a1cf91fbac104e2dd374dd06e93488cfdf216890088ef18318d90f440f00f6 (image.png)
• Tareas Programadas:
  • Nombre de tarea: "devil"
  • Archivo XML asociado: C:\Users\Public\Music\/Googless.xml
• Patrones de Nombres de Archivos VBS:
  • video_saif_gadafi_2026.vbs
  • audio_hafter_saif_eslam_rusia.vbs
  • voice_dbeibeh2025.vbs
  • libya_russia_video2025.vbs
  • Audio_Libya_algeria.vbs
  • Lista_nombre_Libia_israel.vbs
  • Voice_Egypt_hafter_Libia.vbs
  • video_saif_eslam.vbs
  • audio_libya.vbs
  • list_name_libya.vbs
  • Libya_Jordania.vbs
  • names_libya444.vbs
  • Libya_voice2025.vbs

Infraestructura de C2

• Servicios en la Nube Abusados: hs8.krakenfiles[.]com
• Dominios/IPs C2: No especificados públicamente en el informe original.

Referencias y Fuentes

• Tikekar, P. (2026, Marzo 20). Una campaña de ciberespionaje que duró varios meses afectó a una refinería de petróleo libia. Information Security Media Group (ISMG).
• Symantec Threat Intelligence & Carbon Black. (2026, Marzo 20). Refinería de petróleo libia entre los objetivos de una prolongada campaña de espionaje. Broadcom.
• MITRE ATT&CK Framework: Mapeo de TTPs (T1566.001, T1059.001, T1059.005, T1053.005, T1113, T1056.001, etc.).

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-03-20	1.0	Fernando Vargas Hincapié	Creación inicial de la entrada en la wiki basada en los informes de Symantec/Carbon Black y ISMG.

Etiquetas / Categorías

ciberespionaje asyncrat libia refineria-petroleo spear-phishing muddywater sector-energetico orientemedio persistencia rat estado-nacion infraestructura-critica ciberwiki threat-intelligence symantec carbonblack