EsqueleSquad TEAM

EsqueleSquad TEAM es una agrupación de ciberdelincuencia activa, especializada en el desarrollo y distribución de malware de alto impacto, con un enfoque particular en stealers (ladrones de información) , wipers (borradores de datos) y ransomware. Este grupo opera principalmente a través de canales de Telegram, foros clandestinos y repositorios GitHub, donde publicitan y venden sus propias herramientas maliciosas, así como el código fuente de variantes modificadas de famosas familias de malware, como Agent Tesla, RedLine o Arkei. Su nombre, que alude a un "escuadrón esqueleto", busca proyectar una imagen de estructura organizada y persistente, aunque en la práctica funciona como una red difusa de afiliados y usuarios que adquieren sus productos bajo un modelo Malware-as-a-Service (MaaS).

Entre sus creaciones más notorias se encuentra el EsqueleSquad Loader, un descargador modular diseñado para evadir soluciones de seguridad mediante técnicas de ofuscación, empaquetado dinámico y verificación de entornos de sandbox. Este loader sirve como puerta de entrada para desplegar cargas útiles de segundo nivel, como el ransomware CypherIT o el stealer SquadoStealer, capaz de extraer credenciales de navegadores, carteras de criptomonedas y datos de aplicaciones de mensajería. El grupo también ha sido vinculado a campañas que distribuyen falsos cracks, generadores de licencias y actualizaciones falsas de software, utilizando técnicas de ingeniería social para infectar a víctimas desprevenidas, con especial incidencia en sectores de educación, pequeñas empresas y usuarios domésticos de habla hispana.

Aunque EsqueleSquad no alcanza la sofisticación de APTs patrocinadas por estados, su impacto radica en la accesibilidad y democratización del malware: cualquier ciberdelincuente novato puede adquirir sus herramientas por precios bajos (entre 20 y 150 USD) y lanzar ataques en minutos. Diversos reportes de empresas de ciberseguridad como Cyble y Uptycs han rastreado más de 20 variantes de su loader desde 2022, con picos de actividad en países de Latinoamérica y España. Se recomienda extremar las precauciones con archivos adjuntos sospechosos, descargas de sitios no oficiales y mantener soluciones EDR actualizadas, así como monitorear la ejecución de scripts en PowerShell y procesos firmados con certificados digitales falsos asociados a este grupo.

Funcionamiento

1. Infraestructura de distribución a escala y cadena de suministro

EsqueleSquad TEAM opera principalmente mediante ataques a la cadena de suministro de software (supply chain attacks), específicamente a través de los repositorios PyPI (Python Package Index) y NPM (Node Package Manager). Según reportes de Checkmarx, el grupo publicó cerca de 6000 paquetes maliciosos en estos repositorios bajo nombres que simulan ser bibliotecas legítimas y útiles, como adload, esqintlgtbcontrol o studyver . El mecanismo técnico consiste en inyectar código malicioso en el script setup.py o en los módulos de inicialización (__init__.py) de estos paquetes. Al momento de la instalación mediante pip install, el código se ejecuta automáticamente en el entorno de la víctima, descargando una etapa adicional de malware desde servidores remotos. Los Indicadores de Compromiso (IOCs) identificados incluyen URLs de Dropbox (https://dl.dropbox.com/s/tpykidpdjz99202/esquele.exe) y de Discord CDN (https://cdn.discordapp.com/attachments/.../bypass2.ps1), lo que evidencia el uso de servicios de nube legítimos como hosting para sus cargas maliciosas y dificulta su bloqueo por listas negras tradicionales .

2. Mecanismo de ejecución y evasión (Loader y PowerShell)

La ejecución técnica sigue un modelo de múltiples etapas diseñado para evadir soluciones de seguridad. Una vez que el paquete malicioso es instalado, descarga un ejecutable primario (esquele.exe) o un script de PowerShell (bypass2.ps1) . Este loader es responsable de implementar técnicas de sandbox evasion y AMSI bypass (Antimalware Scan Interface) para desactivar las defensas de Windows Defender sin generar alertas. El script bypass2.ps1 está ofuscado para evadir análisis estático y, al ser ejecutado, utiliza invocaciones directas a la API de Windows para deshabilitar la protección en tiempo real y cargar el payload final directamente en memoria, sin escribir en disco. Este enfoque fileless (sin archivos) hace que el malware sea difícil de detectar por antivirus tradicionales basados en firmas, ya que el código malicioso reside únicamente en la RAM del proceso PowerShell.

3. Payload final y exfiltración de datos

El payload final descargado corresponde a un stealer (ladrón de información) y un spyware (software espía) . Técnicamente, este malware está diseñado para recorrer el sistema de archivos y las carpetas de configuración de navegadores web (como Chrome, Edge, Firefox y Brave), extrayendo bases de datos SQLite que contienen credenciales guardadas, cookies de sesión e historial de navegación. Además, el stealer busca archivos de wallet de criptomonedas, archivos de configuración de clientes FTP (como FileZilla) y tokens de aplicaciones de mensajería (Discord, Telegram). Los datos robados son empaquetados en un archivo comprimido y exfiltrados mediante solicitudes HTTP POST o mediante la API de Discord (webhooks), lo que permite al atacante recibir la información sin necesidad de alojar un servidor C2 (Command & Control) propio, utilizando la infraestructura de Discord como proxy anónimo.

Impacto y consecuencias

1. A nivel de infraestructura: contaminación masiva de la cadena de suministro de software

El impacto técnico más significativo de EsqueleSquad TEAM se manifiesta en el envenenamiento de la cadena de suministro de software (software supply chain compromise). El grupo publicó cerca de 6000 paquetes maliciosos en los repositorios PyPI y NPM durante febrero de 2023. Cada paquete, al ser instalado mediante pip install o npm install, ejecuta automáticamente código PowerShell ofuscado en Base64 que descarga un ejecutable (esquele.exe) desde servicios de terceros como Dropbox o Discord CDN. Dado que los desarrolladores y equipos de CI/CD (Integración Continua/Despliegue Continuo) confían inherentemente en estos repositorios oficiales, un único pip install de un paquete malicioso puede comprometer entornos de desarrollo completos, sistemas de integración continua, pipelines de despliegue y, potencialmente, los artefactos de software generados para distribución a clientes finales. Las consecuencias incluyen la incapacidad de confiar en la integridad de las dependencias propias, la necesidad de auditorías retrospectivas de todo el código fuente y la posible exposición de credenciales de acceso a sistemas corporativos almacenadas en variables de entorno de los pipelines.

2. A nivel de sistema víctima: desactivación de defensas y despliegue de malware en memoria

Una vez que el loader inicial se ejecuta, el impacto técnico sobre el sistema objetivo es severo y multifacético. El análisis dinámico realizado por Socket Research Team revela que el script bypass.ps1 implementa una función denominada Esquele que, mediante la técnica CMSTP bypass (Connection Manager Profile Installer), ejecuta comandos arbitrarios con altos privilegios y agrega rutas de exclusión para las unidades C:\ y D:\ en Windows Defender, desactivando efectivamente la protección en tiempo real sin generar alertas visibles para el usuario. Esta técnica abusa de un binario legítimo de Windows (cmstp.exe) para eludir controles de seguridad. El loader final carga el payload directamente en la memoria RAM (ejecución fileless), lo que implica que el malware no escribe su código en el disco duro, evadiendo así la detección por parte de soluciones antivirus tradicionales basadas en análisis de firmas en archivos estáticos. Las consecuencias inmediatas son: el sistema queda indefenso ante futuras infecciones, el malware persiste en memoria incluso si se eliminan los archivos originales, y cualquier intento de análisis forense posterior se complica al no quedar trazas en el sistema de archivos.

3. A nivel de datos y consecuencias finales: exfiltración de credenciales, spyware y brechas masivas de datos

El payload final desplegado por EsqueleSquad ejecuta spyware y malware robador de información (info-stealer). Técnicamente, este malware está diseñado para recorrer las carpetas de perfil de navegadores web (Chrome, Edge, Firefox, Brave), extrayendo las bases de datos SQLite locales que contienen credenciales guardadas, cookies de sesión (lo que permite el secuestro de cuentas sin necesidad de contraseña), historial de navegación y datos de formularios autocompletados. También busca wallets de criptomonedas, archivos de configuración de clientes FTP y tokens de aplicaciones como Discord y Telegram. Los datos robados son empaquetados y exfiltrados mediante peticiones HTTP POST a webhooks de Discord, lo que permite a los atacantes recibir la información de manera anónima y en tiempo real. En mayo de 2026, un miembro identificado como Skull1172 del grupo filtró más de 80 millones de registros correspondientes a 900 dominios gubernamentales, universitarios y mediáticos de Argentina, incluyendo datos de ARCA (ex AFIP), ANSES, Mi Argentina y la tarjeta SUBE, con un volumen de 50 GB de información que incluía DNIs, CUILs, números de teléfono, direcciones de correo, contraseñas y más de 154.000 conversaciones de webmail corporativo. Las consecuencias finales abarcan desde el robo de identidad y fraudes financieros hasta el acceso no autorizado a sistemas críticos del Estado y la exposición de información clasificada.

Origen y motivacion

El origen de EsqueleSquad TEAM se remonta a actores de ciberdelincuencia de habla hispana, posiblemente con raíces en Argentina, que emergieron alrededor de 2021-2022 en plataformas como GitHub y Telegram. Motivados principalmente por el beneficio económico inmediato bajo un modelo de Malware-as-a-Service (MaaS), el grupo busca democratizar el acceso a herramientas maliciosas para ciberdelincuentes novatos, además de obtener ganancias mediante la extracción y venta de datos robados y el secuestro de sistemas. En algunos casos, como la filtración de bases de datos gubernamentales en 2026, sus acciones han trascendido el lucro para adquirir connotaciones de hacktivismo o demostración de poder, evidenciando un interés en el reconocimiento dentro de la comunidad subterránea y el caos institucional.