Gamaredon

Gamaredon es un grupo de ciberespionaje de origen ruso, atribuido al 18º Centro de Seguridad de la Información del FSB, que ha centrado sus operaciones de forma exclusiva y agresiva contra instituciones gubernamentales ucranianas durante 2024. Según el análisis de ESET Research, el grupo intensificó sus campañas de spearphishing, empleando métodos de entrega novedosos como hipervínculos maliciosos y archivos LNK que ejecutan PowerShell desde dominios alojados en Cloudflare, abandonando por completo los intentos previos contra objetivos de la OTAN.

El conjunto de herramientas de Gamaredon experimentó una evolución significativa con la introducción de seis nuevos malwares, como PteroDespair, PteroTickle y PteroBox, diseñados para el reconocimiento, movimiento lateral y filtración sigilosa de información a plataformas como Dropbox. Las herramientas existentes fueron mejoradas con técnicas avanzadas de ofuscación, persistencia mediante suscripciones a eventos WMI y almacenamiento en registro, mientras que el grupo perfeccionó su capacidad para evadir detecciones ocultando casi toda su infraestructura de comando y control tras túneles de Cloudflare y utilizando servicios de terceros como Telegram y Codeberg.

A pesar de algunas limitaciones operativas, Gamaredon mantiene su relevancia como amenaza persistente debido a su constante innovación táctica y su enfoque inquebrantable en Ucrania, adaptándose rápidamente para eludir las defensas de seguridad. Se espera que, mientras continúe el conflicto, el grupo siga intensificando sus operaciones de ciberespionaje contra entidades ucranianas, refinando sus métodos para mantener la efectividad de sus ataques.

Funcionamiento

Gamaredon (también conocido como Shuckworm o Armageddon) es un grupo de amenaza persistente avanzada (APT) atribuido al 18º Centro de Seguridad de la Información del Servicio Federal de Seguridad (FSB) de Rusia . Su funcionamiento se caracteriza por un enfoque operacional intensivo y enfocado, priorizando la cantidad y la persistencia sobre la sofisticación táctica para lograr sus objetivos de ciberespionaje contra Ucrania . En 2024, el grupo perfeccionó su ciclo de ataque, que abarca desde la fase inicial de compromiso hasta la exfiltración de datos, mediante una evolución constante de su arsenal de malware y sus técnicas de evasión.

1. Vector de Ataque Inicial: Spearphishing Multicapa

El principal mecanismo de infección de Gamaredon son las campañas de spearphishing, dirigidas exclusivamente a instituciones gubernamentales ucranianas . El funcionamiento técnico de esta fase inicial es complejo y ha evolucionado para eludir defensas perimetrales:

• Formatos de entrega: Los correos maliciosos contienen archivos adjuntos en formatos comprimidos (RAR, ZIP, 7z) o archivos XHTML que emplean técnicas de HTML smuggling para entregar la carga útil inicial al navegador de la víctima sin que pase por el filtro de archivos adjuntos .
• Ejecución inicial sin macros: Para evadir las restricciones de macros de Microsoft Office, el grupo ha adoptado múltiples métodos. En 2024, una técnica novedosa consistió en incluir hipervínculos maliciosos directamente en el cuerpo del correo . Otra variante avanzada utiliza archivos LNK (acceso directo) maliciosos que, al ser abiertos, ejecutan comandos de PowerShell directamente desde dominios generados por Cloudflare, sin necesidad de descargar un archivo ejecutable secundario en ese momento, lo que dificulta el análisis en entornos de pruebas automatizados .
• Perfilado de víctimas: En campañas más recientes, se ha observado el uso de un esquema de múltiples etapas que abusa de la infraestructura de Telegram. El documento malicioso inicial se conecta a un servidor controlado por los atacantes que verifica la dirección IP de la víctima. Solo si confirma que se encuentra en Ucrania, el servidor despliega un script VBA ofuscado. Este script contacta con una cuenta de Telegram para recibir instrucciones y la dirección del siguiente servidor, creando una cadena que culmina con la descarga del malware final .

2. Arsenal de Malware y Ejecución en el Sistema

Una vez comprometido el sistema inicial, Gamaredon despliega un conjunto de herramientas diseñadas para el reconocimiento, la persistencia y el movimiento lateral. En 2024, el grupo introdujo seis nuevas herramientas y actualizó significativamente las existentes .

Nuevas Herramientas de Malware (2024)

Nombre de la Herramienta	Tipo/Función Principal	Detalle Técnico de Funcionamiento
PteroDespair	Herramienta de reconocimiento PowerShell	Diseñada para recopilar datos de diagnóstico sobre el malware ya desplegado, permitiendo a los atacantes verificar el estado de la infección. Tuvo una vida operativa corta .
PteroTickle	"Weaponizer" de PowerShell	Identifica aplicaciones Python convertidas a ejecutables (.exe) en unidades fijas y extraíbles. Modifica los scripts Tcl (asociados a interfaces GUI de Python con Tkinter) para inyectar código malicioso y facilitar el movimiento lateral a otros sistemas a través de estas unidades .
PteroGraphin	Herramienta PowerShell de persistencia	Su primera versión utilizaba un método inusual: crear y explotar complementos de Microsoft Excel para garantizar la persistencia. Establece un canal de comunicación cifrado a través de la API de Telegraph (servicio de publicaciones de Telegram) para recibir cargas útiles. Versiones posteriores simplificaron la persistencia usando tareas programadas tradicionales .
PteroStew	Descargador VBScript	Funciona de manera similar a descargadores previos (PteroSand), pero con una diferencia clave en el sigilo: almacena su código malicioso en flujos de datos alternativos (ADS) asociados a archivos benignos existentes en el sistema de la víctima, en lugar de hacerlo en un archivo propio .
PteroQuark	Descargador VBScript	Introducido como un nuevo componente dentro del "weaponizer" PteroLNK (versión VBScript), lo que sugiere una modularización del código para hacerlo más fácil de actualizar y mantener .
PteroBox	Ladrón de archivos PowerShell	Especializado en la exfiltración de datos. Utiliza suscripciones a eventos WMI (Windows Management Instrumentation) para detectar en tiempo real cuándo se inserta una nueva unidad USB. Una vez detectada, filtra archivos seleccionados utilizando la API legítima de Dropbox. El malware lleva un registro de los archivos ya robados para evitar subidas redundantes, mostrando una atención meticulosa al sigilo y la eficiencia .

Actualizaciones Significativas en Herramientas Existentes

• PteroPSDoor (Ladrón de archivos PowerShell): Su evolución es un claro ejemplo de búsqueda de sigilo. Pasó de escanear directorios continuamente (una actividad ruidosa) a usar el objeto IO.FileSystemWatcher para monitorear cambios en archivos en tiempo real. Además, adoptó el almacenamiento de su código íntegramente en claves de registro de Windows en lugar de archivos, y también utiliza eventos WMI para la detección sigilosa de unidades USB .
• PteroLNK (versión VBScript): Se convirtió en una de las herramientas más activamente mantenidas. Su funcionalidad se expandió para "armar" no solo unidades USB, sino también unidades de red mapeadas, mejorando su capacidad de movimiento lateral en entornos corporativos. Las actualizaciones incluyeron ofuscación mejorada y técnicas basadas en el registro para ocultar archivos y extensiones a las víctimas .

3. Infraestructura de Red y Comando y Control (C2)

Gamaredon ha realizado un cambio radical en su infraestructura de red para priorizar la resiliencia y el sigilo, adoptando un modelo de "vivir de la infraestructura legítima" .

• Abuso de Cloudflare: La evolución más crítica es el uso masivo de túneles de Cloudflare para ocultar sus servidores de comando y control (C&C). En lugar de conectar directamente a una IP maliciosa, el malware se comunica con un subdominio de trycloudflare.com. El tráfico, al viajar por la red de Cloudflare y ser HTTPS, parece legítimo y evita fácilmente los cortafuegos y sistemas de detección de intrusiones, ya que la IP de destino es de Cloudflare, no del atacante. Para finales de 2024, casi toda su infraestructura de C&C estaba oculta tras estos túneles .
• Uso de servicios de terceros: El grupo integra servicios legítimos en su cadena de ataque para acciones específicas, lo que se conoce como living-off-the-land.
  • Telegram y Telegraph: Usados para distribuir dinámicamente direcciones IP de servidores C2 y como canales de comunicación cifrada, como en el caso de PteroGraphin .
  • Dropbox: Utilizado como punto de exfiltración por PteroBox, aprovechando su API legítima .
  • Codeberg: Una plataforma de repositorios de código (similar a GitHub) usada para alojar y distribuir dinámicamente la información de los servidores C2 de PteroVDoor, complicando el bloqueo de dominios estáticos .
• Ofuscación de la red: Para dificultar el análisis y el bloqueo, Gamaredon emplea técnicas de DNS sobre HTTPS (DoH) para resolver sus dominios C2 a través de servicios como Google o Cloudflare, evitando así los resolutores DNS corporativos que podrían bloquearlos . También rotan las IPs de sus dominios (fast-flux), aunque el número de dominios registrados disminuyó de más de 500 en 2023 a unos 200 en 2024 .

4. Propaganda como Objetivo Atípico

En julio de 2024, se descubrió una carga útil inusual que se desviaba de los objetivos de espionaje puro. Unos descargadores de Gamaredon entregaron un script VBScript ad hoc sin funcionalidad de robo de información. Su único propósito era abrir automáticamente en el navegador de la víctima el canal de Telegram "Guardians of Odessa" , utilizado para difundir propaganda prorrusa en la región de Odesa. Este hallazgo indica una integración operativa entre el ciberespionaje y las campañas de influencia o cognitivas .

Impacto y consecuencias

El impacto de Gamaredon trasciende la mera infección de sistemas, configurándose como una amenaza estratégica para la seguridad nacional de Ucrania y un modelo evolutivo en el panorama del ciberespionaje estatal ruso . Sus consecuencias se manifiestan en múltiples dimensiones: desde la exfiltración sistemática de información sensible de entidades gubernamentales y de defensa, hasta una evolución táctica que le ha permitido eludir defensas de manera más efectiva, pasando por una convergencia operativa sin precedentes con otros grupos de amenaza y la integración de sus operaciones con campañas de influencia cognitiva .

1. Impacto Estratégico en la Seguridad Nacional de Ucrania

El principal impacto de Gamaredon radica en su capacidad para comprometer de forma persistente y a gran escala el tejido institucional ucraniano. Su enfoque exclusivo en instituciones gubernamentales, militares y de infraestructura crítica durante 2024 representa una amenaza directa a la soberanía y seguridad del país en un contexto de guerra activa .

• Exfiltración Masiva de Datos Sensibles: La evolución de su arsenal, con herramientas como PteroBox (que exfiltra archivos a Dropbox mediante la detección de unidades USB a través de eventos WMI) y las versiones mejoradas de PteroPSDoor (que monitoriza cambios de archivos de forma sigilosa), permite una sustracción de información altamente eficiente y dirigida . Esto incluye potencialmente planes de defensa, comunicaciones diplomáticas y datos de inteligencia, cuyo análisis por parte del FSB ruso puede influir directamente en las decisiones en el campo de batalla y en la esfera geopolítica.
• Potencial de Disrupción: Aunque su objetivo principal es el espionaje, el acceso persistente a sistemas de infraestructura crítica sienta las bases para eventuales operaciones de tipo destructivo o disruptivo, lo que amplifica el impacto potencial de sus campañas .

2. Consecuencias Operativas y Tácticas: La Normalización del Sigilo y la Evasión

Las consecuencias de la actividad de Gamaredon también se observan en la constante adaptación de sus Tácticas, Técnicas y Procedimientos (TTPs), lo que eleva el listón para las defensas de ciberseguridad a nivel global.

• Erosión de las Defensas Tradicionales: El abuso generalizado de servicios de terceros ha neutralizado muchas herramientas de defensa perimetral. Al ocultar más del 90% de su infraestructura de comando y control (C&C) tras túneles de Cloudflare  y utilizar servicios como Telegram, Telegraph, Codeberg y Dropbox para distribuir comandos, exfiltrar información o alojar payloads, su tráfico malicioso se camufla como comunicación legítima y cifrada (HTTPS), burlando cortafuegos, proxies y sistemas de detección basados en reputación de IP o dominios .
• Complejidad en la Detección y Respuesta: Las mejoras en sus herramientas, como el almacenamiento de código en flujos de datos alternativos (ADS) con PteroStew o exclusivamente en el registro de Windows con PteroPSDoor, complican enormemente el análisis forense y la detección por parte del software de seguridad tradicional basado en escaneo de archivos . El uso de DNS sobre HTTPS (DoH) para resolver sus dominios C2 impide el bloqueo a través del análisis de tráfico DNS corporativo, una medida de seguridad fundamental .

3. Convergencia de Amenazas: Colaboración Gamaredon-Turla

Quizás la consecuencia más significativa de la actividad de Gamaredon en 2025 es la evidencia de su colaboración operativa con Turla, otro grupo de ciberespionaje ruso de élite, marcando un hito en la cooperación entre APT alineadas con el estado ruso .

• Modelo de "Acceso como Servicio": La investigación de ESET reveló que Gamaredon, que compromete cientos o miles de máquinas, actuó como proveedor de acceso inicial para Turla. En al menos siete máquinas de alto perfil en Ucrania, Turla desplegó su sofisticada puerta trasera Kazuar (versiones v2 y v3) utilizando las herramientas de Gamaredon como PteroGraphin, PteroOdd y PteroPaste para ejecutar y mantener su acceso .
• Sinergia de Capacidades: Esta colaboración combina el enfoque de volumen y persistencia de Gamaredon con la precisión quirúrgica y el malware avanzado de Turla. Mientras Gamaredon inunda el panorama ucraniano de ataques, Turla selecciona y explota los objetivos más valiosos. Esto demuestra una madurez y una coordinación estratégica dentro de las unidades de ciberinteligencia del FSB (Centro 18 para Gamaredon y Centro 16 para Turla), creando una amenaza compuesta que es a la vez ubicua y profundamente sigilosa .
• Implicaciones Globales: Esta convergencia sugiere que Ucrania se ha convertido en un "campo de pruebas" para tácticas cibernéticas avanzadas rusas, donde se integran capacidades para luego ser potencialmente desplegadas contra otros adversarios de la OTAN. Para los defensores, implica que enfrentarse a un grupo como Gamaredon podría significar, en realidad, enfrentarse a las capacidades combinadas de múltiples equipos de élite .

4. Impacto Híbrido: La Fusión del Ciberespionaje con la Guerra de la Información

Un hallazgo particularmente relevante es la integración de sus operaciones con objetivos de guerra cognitiva, desdibujando la línea entre el espionaje y la influencia.

• Malware con Fines Propagandísticos: En julio de 2024, se descubrió una carga útil única de VBScript, distribuida por los descargadores de Gamaredon, que carecía de cualquier funcionalidad de espionaje. Su único propósito era abrir automáticamente en el navegador de la víctima el canal de Telegram "Guardians of Odessa" , utilizado para difundir propaganda prorrusa en la región de Odesa . Aunque atípico, este incidente demuestra que el grupo puede ser utilizado como una plataforma para entregar mensajes de desinformación directamente a los sistemas de funcionarios y ciudadanos ucranianos, amplificando el impacto de las campañas de influencia rusas y mostrando la convergencia del ciberespionaje con las operaciones psicológicas (PSYOPS) .

Origen y motivación

Gamaredon es un grupo de ciberespionaje de origen ruso, activo desde al menos 2013, que ha sido atribuido por el Servicio de Seguridad de Ucrania (SSU) al Centro 18 de Seguridad de la Información del Servicio Federal de Seguridad (FSB) ruso, operando desde la Crimea ocupada ; su motivación principal, alineada con los intereses geopolíticos de Rusia, es llevar a cabo operaciones de espionaje dirigidas casi exclusivamente contra instituciones gubernamentales ucranianas para obtener inteligencia sensible que apoye los objetivos estratégicos de Moscú, especialmente en el contexto de la guerra en curso, aunque en el pasado ha mostrado interés en entidades de la OTAN sin éxito de compromiso.