Operación DragonForce: Abuso de Infraestructura TURN de Microsoft Teams para Ocultar Comunicaciones C2 con Backdoor.Turn (2025-2026)
Nombres Alternativos / Aliases
- Backdoor.Turn (Malware personalizado)
- DragonForce Teams TURN Abuse (Por la técnica de ocultación)
- BYOVD Multi-Vector Campaign (Por las técnicas de evasión)
- Havoc Process Terminator (Por el controlador de Huawei abusado)
- Storm-xxxx (Designación de Microsoft, no especificada)
Fecha de Detección / Actividad
| Fecha/Período | Evento |
|---|---|
| Diciembre de 2025 | Primera observación de la actividad por Symantec |
| Diciembre 2025 - Enero/Febrero 2026 | Los atacantes permanecieron en la red de la víctima (1-2 meses) |
| Marzo de 2026 | Huntress documenta la vulnerabilidad del controlador de Huawei (CVE-2025-61155) |
| 16 de junio de 2026 | Publicación del informe de Symantec |
| Estado actual | Activa (técnica documentada, probablemente en uso por otros grupos) |
Actor de Amenaza (Atribución)
| Categoría | Descripción |
|---|---|
| Nombre del Actor | DragonForce (grupo de ransomware como servicio - RaaS) |
| Vínculo Gubernamental | No (ciberdelincuencia con motivación financiera) |
| Tipo de Actor | Ciberdelincuencia / Ransomware as a Service (RaaS) |
| Antigüedad | Activo desde 2023 |
| Sofisticación | MUY ALTA. El grupo demuestra: |
- Uso innovador de infraestructura legítima (TURN/Teams) para C2
- Técnicas avanzadas de evasión (BYOVD multi-vector)
- Desarrollo de malware personalizado (Backdoor.Turn, ABYSSWORKER)
- Persistencia prolongada (1-2 meses en red de la víctima) | | Motivación | Financiera (ransomware, extorsión) | | Modelo de negocio | RaaS: proporciona ransomware y soporte a afiliados a cambio de parte de los rescates |
Resumen Ejecutivo
El grupo de ransomware DragonForce ha utilizado un malware personalizado llamado Backdoor.Turn para ocultar el tráfico de comando y control (C2) dentro de la infraestructura de retransmisión TURN de Microsoft Teams durante una intrusión en una empresa de servicios estadounidense.
El descubrimiento clave: abuso de TURN
| Componente | Descripción |
|---|---|
| Servicio abusado | Infraestructura TURN (Traversal Using Relays around NAT) de Microsoft Teams |
| Mecanismo | Backdoor.Turn obtiene un token de visitante anónimo de Teams a través de los servicios de identidad de Microsoft respaldados por Skype |
| Conexión | Utiliza un relé TURN legítimo de Microsoft para establecer la conexión |
| Canal de comunicación | Ejecuta una sesión QUIC con el servidor C2 real del atacante a través del relé |
"Hasta donde sabemos, esta es la primera vez que la infraestructura de retransmisión TURN ha sido utilizada de esta manera en condiciones reales."
¿Por qué es tan efectivo?
| Factor | Explicación |
|---|---|
| Dominios legítimos | El tráfico se dirige a servidores legítimos de Microsoft (Teams) |
| Cifrado QUIC | El tráfico está cifrado y es difícil de inspeccionar |
| Sin bloqueo | Los firewalls corporativos no bloquean Teams |
| Sin sospecha | El tráfico a Teams parece normal |
La cadena de ataque completa
| Fase | Descripción |
|---|---|
| Acceso inicial | Explotación de un sistema SQL o Microsoft SQL Server vulnerable (o compra de acceso a un Initial Access Broker) |
| Despliegue de carga útil | Descarga de archivo ZIP con VirtualBox/DbgView legítimo + DLL maliciosa (vboxrt.dll) |
| Evasión BYOVD | Uso de múltiples controladores vulnerables para obtener privilegios de kernel y deshabilitar EDR/AV |
| Reconocimiento y persistencia | Creación de cuentas de usuario, modificación de políticas, cambio de reglas de firewall |
| Exfiltración de datos | Robo de datos antes del cifrado (doble extorsión) |
| Despliegue de ransomware | Cifrado de archivos con ransomware DragonForce |
| Backdoor persistente | Backdoor.Turn inyectado en DbgView64.exe para mantener acceso post-ransomware |
Vector de Ataque / Métodos de Distribución
Acceso inicial
| Vector | Detalle |
|---|---|
| Punto de entrada | Sistema SQL o Microsoft SQL Server vulnerable (no confirmado con certeza) |
| Alternativa | Acceso comprado a un Initial Access Broker (IAB) |
Despliegue de la carga útil inicial
| Componente | Descripción |
|---|---|
| Archivo ZIP | Descargado a la red comprometida |
| Ejecutable legítimo | VirtualBox o DbgView (firmado, confiable) |
| DLL maliciosa | vboxrt.dll (carga lateral de DLL - DLL sideloading)
|
| Función | Descarga código malicioso de una lista de servidores C2 |
Técnicas de evasión (BYOVD - Bring Your Own Vulnerable Driver)
El grupo utilizó múltiples controladores vulnerables para obtener privilegios de kernel y deshabilitar herramientas de seguridad:
| Controlador | Proveedor | Vulnerabilidad | Observación |
|---|---|---|---|
| HWAuidoOs2Ec.sys | Huawei | — | Usado en "Havoc Process Terminator" ; no se había observado previamente en ataques |
| wsftprm.sys | Topaz Antifraud | CVE-2023-52271 | Vulnerabilidad conocida |
| GameDriverx64.sys | Tower of Fantasy | CVE-2025-61155 | Vulnerabilidad documentada por Huntress en marzo de 2026 |
| K7RKScan.sys | K7 Security | CVE-2025-1055 | Vulnerabilidad conocida |
| ABYSSWORKER | Custom (Palo Alto Networks spoof) | — | Controlador personalizado que se hace pasar por controlador legítimo de Palo Alto |
El controlador de Huawei: "Havoc Process Terminator"
"Symantec afirmó que el controlador de Huawei se utilizó como parte de un nuevo ataque denominado 'Havoc Process Terminator' y que no se había observado previamente su explotación en ataques."
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica (MITRE ATT&CK) | Técnica / Subtécnica | Descripción / Implementación |
|---|---|---|
| Initial Access (TA0001) | Exploit Public-Facing Application (T1190) | Explotación de SQL Server vulnerable |
| Initial Access (TA0001) | Valid Accounts (T1078) | Compra de acceso a Initial Access Broker |
| Execution (TA0002) | Command and Scripting Interpreter (T1059) | Ejecución de PowerShell, cmd |
| Persistence (TA0003) | Create Account (T1136) | Creación de cuentas de usuario adicionales |
| Persistence (TA0003) | Server Software Component (T1505) | DLL sideloading con vboxrt.dll |
| Privilege Escalation (TA0004) | BYOVD (T1068) | Múltiples controladores vulnerables para privilegios de kernel |
| Defense Evasion (TA0005) | Masquerading (T1036) | ABYSSWORKER suplanta controlador de Palo Alto |
| Defense Evasion (TA0005) | Impair Defenses (T1562) | Deshabilitación de EDR/AV con BYOVD |
| Defense Evasion (TA0005) | Indicator Removal (T1070) | Modificación de reglas de firewall |
| Defense Evasion (TA0005) | Abuse of Legitimate TURN Infrastructure | Nuevo: ocultación C2 en Microsoft Teams** |
| Defense Evasion (TA0005) | Modify Authentication Process (T1556) | Modificación de LimitBlankPassword
|
| Credential Access (TA0006) | Credentials from Web Browsers (T1555.003) | Robo de credenciales de navegadores |
| Discovery (TA0007) | Network Service Discovery (T1046) | Escaneo de red |
| Discovery (TA0007) | LDAP/Search (T1546.008) | Búsqueda en Active Directory y LDAP |
| Lateral Movement (TA0008) | Remote Services (T1021) | Uso de credenciales robadas para moverse lateralmente |
| Command and Control (TA0011) | Application Layer Protocol: QUIC (T1071.001) | Comunicación C2 vía sesión QUIC |
| Command and Control (TA0011) | TURN Relay Abuse | Nuevo: uso de relé TURN de Microsoft Teams** |
| Command and Control (TA0011) | Encrypted Channel (T1573) | Cifrado QUIC |
| Exfiltration (TA0010) | Exfiltration Over Web Service (T1567) | Robo de datos antes del cifrado |
| Impact (TA0040) | Data Encrypted for Impact (T1486) | Ransomware DragonForce |
Flujo de Ataque (Cyber Kill Chain)
| Fase | Descripción |
|---|---|
| 1. Reconocimiento | Identificación de víctimas potenciales (empresas de servicios estadounidenses) |
| 2. Armamento | - Preparación de archivo ZIP con VirtualBox/DbgView + DLL maliciosa
- Desarrollo de Backdoor.Turn - Preparación de controladores BYOVD |
| 3. Entrega | - Explotación de SQL Server vulnerable
- O compra de acceso a Initial Access Broker |
| 4. Explotación | Ejecución de DLL maliciosa (vboxrt.dll) a través de carga lateral |
| 5. Instalación | - Descarga de código malicioso adicional
- Instalación de controladores BYOVD - Creación de cuentas de usuario |
| 6. Evasión | - BYOVD múltiple para deshabilitar EDR/AV
- Modificación de reglas de firewall
- Modificación de |
| 7. Comando y Control | - Backdoor.Turn obtiene token de Teams
- Establece conexión a través de relé TURN de Microsoft - Comunicación cifrada vía QUIC |
| 8. Acción sobre Objetivos | - Exfiltración de datos (doble extorsión)
- Despliegue de ransomware DragonForce - Backdoor persistente post-ransomware |
Detalle Técnico - Backdoor.Turn y Abuso de TURN
¿Qué es TURN?
TURN (Traversal Using Relays around NAT) es un protocolo que permite a dispositivos detrás de NAT establecer conexiones peer-to-peer a través de servidores de retransmisión. Es ampliamente utilizado por aplicaciones de voz y video como Microsoft Teams.
El mecanismo de Backdoor.Turn
| Paso | Descripción |
|---|---|
| 1. Obtención de token | Backdoor.Turn obtiene un token de visitante anónimo de Microsoft Teams a través de los servicios de identidad de Microsoft respaldados por Skype |
| 2. Conexión al relé | El malware se conecta a un relé TURN legítimo de Microsoft |
| 3. Túnel cifrado | Establece una sesión QUIC a través del relé hacia el servidor C2 real del atacante |
| 4. Comunicación oculta | El tráfico aparece como comunicaciones normales de Teams |
¿Por qué es tan difícil de detectar?
| Factor | Explicación |
|---|---|
| Dominio legítimo | El tráfico se dirige a servidores de Microsoft (no a IPs sospechosas) |
| Protocolo QUIC | El tráfico está cifrado y utiliza un protocolo relativamente nuevo |
| Comportamiento normal | Teams es una aplicación común en entornos corporativos |
| Sin persistencia | El token de visitante anónimo puede ser renovado |
Capacidades de Backdoor.Turn
| Capacidad | Descripción |
|---|---|
| Ejecución de comandos | Ejecución remota de comandos en el sistema comprometido |
| Inicio de procesos | Lanzamiento de procesos arbitrarios |
| Escaneo de redes | Descubrimiento de recursos de red |
| Captura de certificados TLS | Extracción de información de certificados |
| Búsqueda LDAP/AD | Enumeración de Active Directory |
| Movimiento lateral | Uso de credenciales robadas para propagarse |
| Robo de credenciales de navegador | Extracción de credenciales almacenadas en navegadores |
Infraestructura Utilizada
Infraestructura C2 (Microsoft Teams TURN)
| Componente | Propósito |
|---|---|
| Servicios de identidad de Microsoft (Skype) | Obtención de token de visitante anónimo |
| Relés TURN de Microsoft | Retransmisión de tráfico C2 |
| Sesión QUIC | Canal de comunicación cifrado |
| Servidor C2 real del atacante | Destino final de la comunicación |
Controladores vulnerables (BYOVD)
| Controlador | Proveedor | CVE | Estado |
|---|---|---|---|
| HWAuidoOs2Ec.sys | Huawei | — | No observado previamente en ataques |
| wsftprm.sys | Topaz Antifraud | CVE-2023-52271 | Conocido |
| GameDriverx64.sys | Tower of Fantasy | CVE-2025-61155 | Documentado por Huntress (marzo 2026) |
| K7RKScan.sys | K7 Security | CVE-2025-1055 | Conocido |
| ABYSSWORKER | Custom | — | Suplanta controlador de Palo Alto Networks |
Herramientas de evasión adicionales
| Técnica | Descripción |
|---|---|
| DLL sideloading | vboxrt.dll con VirtualBox/DbgView legítimo |
| Modificación de LimitBlankPassword | Simplifica el acceso a máquinas comprometidas |
| Cambio de reglas de firewall | Permite tráfico malicioso |
Víctimas y Sectores Afectados
| Categoría | Datos |
|---|---|
| Víctima documentada | Empresa de servicios estadounidense |
| Sectores objetivo | Empresas de servicios, no especificado adicionalmente |
| Tiempo en red | 1-2 meses (diciembre 2025 - enero/febrero 2026) |
| País | Estados Unidos |
Impacto y Riesgo
| Categoría | Nivel | Descripción |
|---|---|---|
| Capacidad de evasión | MUY ALTA | Abuso de infraestructura legítima de Microsoft Teams + BYOVD multi-vector |
| Persistencia | MUY ALTA | 1-2 meses en red de la víctima; backdoor post-ransomware |
| Detección | MUY BAJA | Tráfico a Microsoft parece normal; cifrado QUIC |
| Velocidad de propagación | MEDIA-ALTA | Movimiento lateral con credenciales robadas |
| Impacto en datos | MUY ALTO | Doble extorsión (exfiltración + cifrado) |
Consecuencias para la víctima
| Consecuencia | Gravedad | Detalle |
|---|---|---|
| Exfiltración de datos | Crítica | Robo de datos antes del cifrado |
| Cifrado de archivos | Crítica | Ransomware DragonForce |
| Backdoor persistente | Crítica | Backdoor.Turn mantiene acceso incluso si se paga el rescate |
| Compromiso de credenciales | Alta | Robo de credenciales de navegador |
| Exposición continuada | Alta | El backdoor puede facilitar futuras intrusiones |
Impacto en la industria de seguridad
"El despliegue de Backdoor.Turn, combinado con su evasión multivectorial de BYOVD, los convierte en uno de los grupos de ransomware más capaces y persistentes que operan en la actualidad."
Detección y Respuesta
Recomendaciones para organizaciones
| Acción | Prioridad | Descripción |
|---|---|---|
| Monitorear tráfico QUIC | ALTA | Buscar conexiones QUIC a servicios de Microsoft que no sean típicas |
| Auditar tokens de Teams | ALTA | Buscar tokens de visitante anónimo inusuales |
| Monitorear carga de controladores | CRÍTICA | Buscar controladores no firmados o vulnerables (especialmente los listados) |
| Restringir BYOVD | ALTA | Políticas de control de controladores (Windows Driver Blocklist) |
| Monitorear DLL sideloading | ALTA | Buscar ejecución de VirtualBox/DbgView con DLLs no firmadas |
| Auditar cuentas de usuario | ALTA | Buscar cuentas creadas recientemente o inusuales |
| Revisar reglas de firewall | ALTA | Buscar cambios no autorizados en reglas de firewall |
| Verificar LimitBlankPassword | ALTA | Asegurar que la configuración no ha sido modificada |
Herramientas de detección
| Herramienta | Propósito |
|---|---|
| Symantec Endpoint Protection | Detección de Backdoor.Turn y controladores BYOVD |
| Huntress | Detección de CVE-2025-61155 (GameDriverx64.sys) |
| Monitoreo de controladores | Detectar carga de HWAuidoOs2Ec.sys, wsftprm.sys, GameDriverx64.sys, K7RKScan.sys |
| Análisis de tráfico de red | Detectar conexiones QUIC a servidores de Microsoft seguidas de tráfico anómalo |
Script de verificación (PowerShell)
powershell
# Buscar controladores vulnerables cargados
Get-WindowsDriver -Online | Where-Object {
$_.Driver -match "HWAuidoOs2Ec|wsftprm|GameDriverx64|K7RKScan|ABYSSWORKER"
}
# Buscar procesos de VirtualBox/DbgView
Get-Process | Where-Object {
$_.ProcessName -match "VirtualBox|DbgView"
}
# Buscar cuentas creadas recientemente
Get-LocalUser | Where-Object {
$_.Created -gt (Get-Date).AddDays(-60)
}
# Verificar configuración LimitBlankPassword
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "LimitBlankPasswordUse"
Indicadores de compromiso (IoC)
Symantec ha publicado una lista completa de IoCs. Consultar el informe de Symantec para detalles completos.
Comparativa: Abuso de Plataformas Legítimas para C2
| Grupo | Plataforma | Técnica | Fecha |
|---|---|---|---|
| DragonForce | Microsoft Teams TURN | Túnel QUIC a través de relés de Microsoft | 2025-2026 |
| UNC3753 | Privnote.com | Mensajería autodestructiva para instrucciones | 2026 |
| Miasma | Steam Comments | Esteganografía Unicode en comentarios de perfil | 2025-2026 |
| Varios | Filen.io, Koofr, Icedrive | Almacenamiento en la nube como C2 | 2025-2026 |
Patrón emergente: Los grupos de ransomware están abusando de plataformas legítimas para ocultar sus comunicaciones C2, aprovechando la confianza en los dominios y servicios de grandes empresas tecnológicas.
Opiniones de Expertos
"Backdoor.Turn obtiene un token de visitante anónimo de Teams a través de los servicios de identidad de Microsoft respaldados por Skype, utiliza un relé TURN legítimo de Microsoft para establecer la conexión y, a continuación, ejecuta una sesión QUIC con el servidor de comando y control (C2) real del atacante." — Symantec
"Hasta donde sabemos, esta es la primera vez que la infraestructura de retransmisión TURN ha sido utilizada de esta manera en condiciones reales." — Symantec
"El despliegue de Backdoor.Turn, combinado con su evasión multivectorial de BYOVD, los convierte en uno de los grupos de ransomware más capaces y persistentes que operan en la actualidad." — Symantec
Referencias y Fuentes
- Markovic, S. (2026, 16 de junio). Cybercriminals mask malicious communications through Microsoft Teams network. Help Net Security.
- Symantec. (2026, junio). DragonForce Ransomware Group Uses Custom Backdoor.Turn Malware to Abuse Microsoft Teams TURN Infrastructure.
- Huntress. (2026, marzo). *CVE-2025-61155: GameDriverx64.sys Vulnerability Documentation*.
Historial de Revisiones
| Fecha | Versión | Autor | Cambios Realizados |
|---|---|---|---|
| 2026-06-19 | 1.0 | Fernando Vargas Hincapié | Creación inicial basada en el informe de Symantec y el artículo de Help Net Security |
Indicadores de Compromiso (IOCs)
Malware
| Nombre | Tipo | Propósito |
|---|---|---|
| Backdoor.Turn | RAT | C2 oculto a través de Microsoft Teams TURN |
| vboxrt.dll | DLL maliciosa | Carga lateral con VirtualBox/DbgView |
| ABYSSWORKER | Controlador | Suplanta controlador de Palo Alto Networks |
Controladores vulnerables (BYOVD)
| Controlador | Proveedor | CVE | Hash (consultar Symantec) |
|---|---|---|---|
| HWAuidoOs2Ec.sys | Huawei | — | — |
| wsftprm.sys | Topaz Antifraud | CVE-2023-52271 | — |
| GameDriverx64.sys | Tower of Fantasy | CVE-2025-61155 | — |
| K7RKScan.sys | K7 Security | CVE-2025-1055 | — |
Herramientas legítimas abusadas
| Herramienta | Propósito |
|---|---|
| VirtualBox | Ejecución de DLL maliciosa (sideloading) |
| DbgView | Ejecución de DLL maliciosa (sideloading) |
Comportamiento anómalo a monitorear
| Comportamiento | Dónde buscar |
|---|---|
| Tokens de visitante anónimo de Teams | Logs de autenticación de Microsoft |
| Tráfico QUIC a servidores de Microsoft | Logs de firewall, inspección de red |
| Carga de controladores no firmados | Logs de sistema, Event Viewer |
| Ejecución de VirtualBox/DbgView | Logs de procesos, EDR |
| Cambios en LimitBlankPassword | Registro de Windows (HKLM...\Lsa) |
| Cambios en reglas de firewall | Logs de auditoría de Windows Firewall |
Preguntas sin respuesta
| Pregunta | Estado |
|---|---|
| ¿El vector de acceso inicial fue explotación o compra de acceso? | No determinado con certeza |
| ¿Microsoft ha implementado mitigaciones contra este abuso de TURN? | No especificado |
| ¿Otros grupos de ransomware están utilizando técnicas similares? | Probable, pero no documentado |
| ¿Backdoor.Turn ha sido utilizado en otras intrusiones? | No especificado |
| ¿Las cuentas de visitante anónimo de Teams pueden ser deshabilitadas? | No especificado |
Etiquetas / Categorías
dragonforce-ransomware backdoor-turn microsoft-teams-turn-abuse turn-relay-c2 quic-encryption byovd-attack havok-process-terminator dll-sideloading virtualbox-dbgview-abuse ransomware-as-a-service initial-access-broker double-extortion persistent-backdoor zero-day-control-exploit