XRed
XRed, también conocido como el gusano Synaptics, es un troyano de puerta trasera (backdoor) modular combinado con capacidades de gusano, escrito principalmente en Delphi, que ha estado activo de forma continua desde al menos 2019. Su característica más distintiva es que se disfraza completamente del controlador legítimo de Synaptics —nombre y rutas de un componente de hardware real— para pasar desapercibido tanto para el usuario como para las soluciones de seguridad. Su nivel de amenaza se clasifica como alto: no solo posee capacidades completas de control remoto y robo de datos, sino que además se propaga de forma autónoma mediante USB y macros de Office, y su calidad de desarrollo indica que no es una obra amateur, sino una herramienta madura que probablemente se comercializa en el ecosistema del cibercrimen como servicio (Cybercrime-as-a-Service, CaaS).
Funcionamiento técnico detallado
La cadena de infección de XRed está cuidadosamente diseñada y presenta una arquitectura de múltiples etapas, múltiples procesos y múltiples rutas de persistencia, orientada a evadir defensas en profundidad.
Vectores de entrada y camuflaje de ejecución
Los principales métodos de distribución de XRed incluyen: controladores de hardware troyanizados (especialmente los que acompañan a adaptadores USB-C), canales de distribución de software comprometidos (como el caso de mayo de 2025, cuando se confirmó que el fabricante de impresoras ProColored distribuyó paquetes de instalación infectados con XRed), y correos de phishing. En una campaña activa detectada en octubre de 2025, los atacantes se hicieron pasar por el Ministerio de Hacienda de India, enviando correos sobre supuestas infracciones fiscales. El vector era un archivo VBS ("Tax Penalty Notice.vbs") que descargaba un ejecutable desde https://googlevip[.]shop/216.250.104.166ClientSetup[.]exe y lo ejecutaba silenciosamente mediante PowerShell tras un retraso de 8 a 15 segundos para evadir entornos sandbox.
Instalación y persistencia
Una vez ejecutado, XRed se copia a sí mismo en C:\ProgramData\Synaptics\, disfrazado como Synaptics.exe. Para garantizar la persistencia tras reinicios, crea una clave en el registro de Windows:
text
HKCU\Software\Microsoft\Windows\CurrentVersion\Run Nombre: "Synaptics Pointing Device Driver"
Adicionalmente, verifica la existencia de un mutex llamado Synaptics2X para asegurarse de que solo se ejecute una instancia en el sistema, evitando duplicaciones que podrían delatar su presencia.
Recolección y exfiltración inicial
Tras la instalación, XRed recopila información del sistema: nombre de usuario, dirección MAC, nombre del equipo, versión del sistema operativo y otros identificadores. Estos datos son enviados mediante SMTP a direcciones de correo hardcodeadas (como xredline1@gmail.com) controladas por el atacante. Esta técnica de exfiltración vía correo electrónico es inusual y permite al atacante recibir los datos sin necesidad de un servidor C2 tradicional.
Comunicación con el centro de mando y control (C2)
El canal de C2 se establece a través del dominio xred.mooo.com, cuya resolución dinámica se gestiona mediante la API de freedns.afraid.org. Esto permite al atacante cambiar la IP del servidor sin modificar el binario, dificultando el bloqueo por parte de defensas perimetrales.
Capacidades de control remoto
El backdoor acepta múltiples comandos desde el C2, entre ellos:
- Ejecución de comandos en la línea de comandos (CMD)
- Captura de pantalla del escritorio
- Listado y navegación de directorios
- Descarga, carga y eliminación de archivos
- Registro de pulsaciones de teclado (keylogger) mediante hooks de teclado
- Control del ratón y del sistema en general
Propagación tipo gusano
XRed se propaga por dos vías principales:
- USB: crea un archivo
autorun.infen unidades extraíbles para ejecutarse automáticamente al conectarlas. - Excel: infecta archivos
.xlsminyectando macros VBA maliciosas, y modifica el registro para deshabilitar las advertencias de seguridad de macros en Office.
Variantes recientes
Las versiones más nuevas incorporan técnicas de evasión más avanzadas: liberación multi-etapa del payload, carga de componentes maliciosos mediante svchost.exe, y el uso de servicios del sistema para lograr persistencia redundante. En 2025, XRed fue detectado distribuyéndose a través del instalador de software de impresoras ProColored, lo que demuestra que el actor detrás del malware sigue activamente comprometiendo cadenas de suministro legítimas.
Impacto y consecuencias
El impacto de XRed es multidimensional y de alta severidad, tanto a nivel individual como organizacional:
a) Compromiso total del endpoint:
Al funcionar como un backdoor con control remoto completo, XRed otorga al atacante la capacidad de operar la máquina comprometida como si estuviera sentado frente a ella: ejecutar programas, robar archivos, espiar la pantalla y capturar todo lo que el usuario teclea.
b) Robo de credenciales y datos sensibles:
El keylogger integrado y la capacidad de acceder a archivos permiten la exfiltración de credenciales corporativas, correos, documentos confidenciales y datos financieros. Esto facilita ataques posteriores como fraude, suplantación de identidad y movimiento lateral en la red.
c) Propagación interna y multiplataforma:
Su capacidad de infectar unidades USB y archivos de Excel convierte a XRed en un riesgo de propagación horizontal dentro de organizaciones, especialmente en entornos donde se comparten archivos por medios extraíbles o por correo. Un solo empleado infectado puede comprometer toda una red.
d) Evasión de controles tradicionales:
Al disfrazarse de un proceso legítimo de Synaptics y usar nombres y rutas plausibles (C:\ProgramData\Synaptics\), XRed evade muchas soluciones antivirus basadas en firmas y dificulta la detección por parte del usuario o del administrador.
e) Dificultad de erradicación:
Su persistencia en registro, su capacidad de reinstalarse vía USB y su C2 dinámico hacen que la simple eliminación del binario no sea suficiente. Se requiere análisis forense completo para garantizar la desinfección.
f) Riesgo reputacional y regulatorio:
Una infección por XRed en una organización puede derivar en incumplimientos normativos (protección de datos, PCI-DSS, ISO 27001), sanciones regulatorias y daño reputacional significativo si se confirma la fuga de información sensible.
g) Actividad reciente (2025):
En octubre de 2025, Mimecast identificó una campaña de XRed que suplantaba al Ministerio de Hacienda de India con correos sobre supuestas infracciones fiscales. Los objetivos eran principalmente filiales indias de empresas con sede en Reino Unido o Estados Unidos, lo que evidencia que XRed sigue siendo utilizado en campañas activas de ciberespionaje y cibercrimen.
Origen y motivación
XRed tiene su origen en un desarrollador individual con motivación principalmente económica, aunque su uso se ha diversificado hacia campañas de cibercrimen organizado e incluso actores patrocinados por estados. Diversas evidencias lingüísticas en el código —comentarios, cadenas y nombres de variables en turco— apuntan a que su creador es un hablante nativo de ese idioma, lo que sugiere un origen en el ecosistema del cibercrimen turco, conocido por producir herramientas de acceso remoto (RAT) y stealers de bajo costo. A diferencia de un APT puro, la motivación inicial fue financiera: venta del malware en foros clandestinos, servicios de alquiler del backdoor (MaaS, Malware-as-a-Service) y fraude directo. Sin embargo, la modularidad del framework y su bajo costo de adquisición lo han convertido en una herramienta atractiva también para grupos de espionaje y sabotaje, lo que amplifica su peligro y lo posiciona como una amenaza híbrida entre el crimen común y las operaciones APT patrocinadas por estados.