Nombres Alternativos / Aliases
- Backdoor.Turn (Malware personalizado)
- DragonForce Teams TURN Abuse (Por la técnica de ocultación)
- BYOVD Multi-Vector Campaign (Por las técnicas de evasión)
- Havoc Process Terminator (Por el controlador de Huawei abusado)
- Storm-xxxx (Designación de Microsoft, no especificada)
Fecha de Detección / Actividad
| Fecha/Período
|
Evento
|
| Diciembre de 2025
|
Primera observación de la actividad por Symantec
|
| Diciembre 2025 - Enero/Febrero 2026
|
Los atacantes permanecieron en la red de la víctima (1-2 meses)
|
| Marzo de 2026
|
Huntress documenta la vulnerabilidad del controlador de Huawei (CVE-2025-61155)
|
| 16 de junio de 2026
|
Publicación del informe de Symantec
|
| Estado actual
|
Activa (técnica documentada, probablemente en uso por otros grupos)
|
Actor de Amenaza (Atribución)
| Categoría
|
Descripción
|
| Nombre del Actor
|
DragonForce (grupo de ransomware como servicio - RaaS)
|
| Vínculo Gubernamental
|
No (ciberdelincuencia con motivación financiera)
|
| Tipo de Actor
|
Ciberdelincuencia / Ransomware as a Service (RaaS)
|
| Antigüedad
|
Activo desde 2023
|
| Sofisticación
|
MUY ALTA. El grupo demuestra:
|
- Uso innovador de infraestructura legítima (TURN/Teams) para C2
- Técnicas avanzadas de evasión (BYOVD multi-vector)
- Desarrollo de malware personalizado (Backdoor.Turn, ABYSSWORKER)
- Persistencia prolongada (1-2 meses en red de la víctima) | | Motivación | Financiera (ransomware, extorsión) | | Modelo de negocio | RaaS: proporciona ransomware y soporte a afiliados a cambio de parte de los rescates |
Resumen Ejecutivo
El grupo de ransomware DragonForce ha utilizado un malware personalizado llamado Backdoor.Turn para ocultar el tráfico de comando y control (C2) dentro de la infraestructura de retransmisión TURN de Microsoft Teams durante una intrusión en una empresa de servicios estadounidense.
El descubrimiento clave: abuso de TURN
| Componente
|
Descripción
|
| Servicio abusado
|
Infraestructura TURN (Traversal Using Relays around NAT) de Microsoft Teams
|
| Mecanismo
|
Backdoor.Turn obtiene un token de visitante anónimo de Teams a través de los servicios de identidad de Microsoft respaldados por Skype
|
| Conexión
|
Utiliza un relé TURN legítimo de Microsoft para establecer la conexión
|
| Canal de comunicación
|
Ejecuta una sesión QUIC con el servidor C2 real del atacante a través del relé
|
"Hasta donde sabemos, esta es la primera vez que la infraestructura de retransmisión TURN ha sido utilizada de esta manera en condiciones reales."
¿Por qué es tan efectivo?
| Factor
|
Explicación
|
| Dominios legítimos
|
El tráfico se dirige a servidores legítimos de Microsoft (Teams)
|
| Cifrado QUIC
|
El tráfico está cifrado y es difícil de inspeccionar
|
| Sin bloqueo
|
Los firewalls corporativos no bloquean Teams
|
| Sin sospecha
|
El tráfico a Teams parece normal
|
La cadena de ataque completa
| Fase
|
Descripción
|
| Acceso inicial
|
Explotación de un sistema SQL o Microsoft SQL Server vulnerable (o compra de acceso a un Initial Access Broker)
|
| Despliegue de carga útil
|
Descarga de archivo ZIP con VirtualBox/DbgView legítimo + DLL maliciosa (vboxrt.dll)
|
| Evasión BYOVD
|
Uso de múltiples controladores vulnerables para obtener privilegios de kernel y deshabilitar EDR/AV
|
| Reconocimiento y persistencia
|
Creación de cuentas de usuario, modificación de políticas, cambio de reglas de firewall
|
| Exfiltración de datos
|
Robo de datos antes del cifrado (doble extorsión)
|
| Despliegue de ransomware
|
Cifrado de archivos con ransomware DragonForce
|
| Backdoor persistente
|
Backdoor.Turn inyectado en DbgView64.exe para mantener acceso post-ransomware
|
Vector de Ataque / Métodos de Distribución
Acceso inicial
| Vector
|
Detalle
|
| Punto de entrada
|
Sistema SQL o Microsoft SQL Server vulnerable (no confirmado con certeza)
|
| Alternativa
|
Acceso comprado a un Initial Access Broker (IAB)
|
Despliegue de la carga útil inicial
| Componente
|
Descripción
|
| Archivo ZIP
|
Descargado a la red comprometida
|
| Ejecutable legítimo
|
VirtualBox o DbgView (firmado, confiable)
|
| DLL maliciosa
|
vboxrt.dll (carga lateral de DLL - DLL sideloading)
|
| Función
|
Descarga código malicioso de una lista de servidores C2
|
Técnicas de evasión (BYOVD - Bring Your Own Vulnerable Driver)
El grupo utilizó múltiples controladores vulnerables para obtener privilegios de kernel y deshabilitar herramientas de seguridad:
| Controlador
|
Proveedor
|
Vulnerabilidad
|
Observación
|
| HWAuidoOs2Ec.sys
|
Huawei
|
—
|
Usado en "Havoc Process Terminator" ; no se había observado previamente en ataques
|
| wsftprm.sys
|
Topaz Antifraud
|
CVE-2023-52271
|
Vulnerabilidad conocida
|
| GameDriverx64.sys
|
Tower of Fantasy
|
CVE-2025-61155
|
Vulnerabilidad documentada por Huntress en marzo de 2026
|
| K7RKScan.sys
|
K7 Security
|
CVE-2025-1055
|
Vulnerabilidad conocida
|
| ABYSSWORKER
|
Custom (Palo Alto Networks spoof)
|
—
|
Controlador personalizado que se hace pasar por controlador legítimo de Palo Alto
|
El controlador de Huawei: "Havoc Process Terminator"
"Symantec afirmó que el controlador de Huawei se utilizó como parte de un nuevo ataque denominado 'Havoc Process Terminator' y que no se había observado previamente su explotación en ataques."
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica (MITRE ATT&CK)
|
Técnica / Subtécnica
|
Descripción / Implementación
|
| Initial Access (TA0001)
|
Exploit Public-Facing Application (T1190)
|
Explotación de SQL Server vulnerable
|
| Initial Access (TA0001)
|
Valid Accounts (T1078)
|
Compra de acceso a Initial Access Broker
|
| Execution (TA0002)
|
Command and Scripting Interpreter (T1059)
|
Ejecución de PowerShell, cmd
|
| Persistence (TA0003)
|
Create Account (T1136)
|
Creación de cuentas de usuario adicionales
|
| Persistence (TA0003)
|
Server Software Component (T1505)
|
DLL sideloading con vboxrt.dll
|
| Privilege Escalation (TA0004)
|
BYOVD (T1068)
|
Múltiples controladores vulnerables para privilegios de kernel
|
| Defense Evasion (TA0005)
|
Masquerading (T1036)
|
ABYSSWORKER suplanta controlador de Palo Alto
|
| Defense Evasion (TA0005)
|
Impair Defenses (T1562)
|
Deshabilitación de EDR/AV con BYOVD
|
| Defense Evasion (TA0005)
|
Indicator Removal (T1070)
|
Modificación de reglas de firewall
|
| Defense Evasion (TA0005)
|
Abuse of Legitimate TURN Infrastructure
|
Nuevo: ocultación C2 en Microsoft Teams**
|
| Defense Evasion (TA0005)
|
Modify Authentication Process (T1556)
|
Modificación de LimitBlankPassword
|
| Credential Access (TA0006)
|
Credentials from Web Browsers (T1555.003)
|
Robo de credenciales de navegadores
|
| Discovery (TA0007)
|
Network Service Discovery (T1046)
|
Escaneo de red
|
| Discovery (TA0007)
|
LDAP/Search (T1546.008)
|
Búsqueda en Active Directory y LDAP
|
| Lateral Movement (TA0008)
|
Remote Services (T1021)
|
Uso de credenciales robadas para moverse lateralmente
|
| Command and Control (TA0011)
|
Application Layer Protocol: QUIC (T1071.001)
|
Comunicación C2 vía sesión QUIC
|
| Command and Control (TA0011)
|
TURN Relay Abuse
|
Nuevo: uso de relé TURN de Microsoft Teams**
|
| Command and Control (TA0011)
|
Encrypted Channel (T1573)
|
Cifrado QUIC
|
| Exfiltration (TA0010)
|
Exfiltration Over Web Service (T1567)
|
Robo de datos antes del cifrado
|
| Impact (TA0040)
|
Data Encrypted for Impact (T1486)
|
Ransomware DragonForce
|
Flujo de Ataque (Cyber Kill Chain)
| Fase
|
Descripción
|
| 1. Reconocimiento
|
Identificación de víctimas potenciales (empresas de servicios estadounidenses)
|
| 2. Armamento
|
- Preparación de archivo ZIP con VirtualBox/DbgView + DLL maliciosa
- Desarrollo de Backdoor.Turn
- Preparación de controladores BYOVD
|
| 3. Entrega
|
- Explotación de SQL Server vulnerable
- O compra de acceso a Initial Access Broker
|
| 4. Explotación
|
Ejecución de DLL maliciosa (vboxrt.dll) a través de carga lateral
|
| 5. Instalación
|
- Descarga de código malicioso adicional
- Instalación de controladores BYOVD
- Creación de cuentas de usuario
|
| 6. Evasión
|
- BYOVD múltiple para deshabilitar EDR/AV
- Modificación de reglas de firewall
- Modificación de LimitBlankPassword
|
| 7. Comando y Control
|
- Backdoor.Turn obtiene token de Teams
- Establece conexión a través de relé TURN de Microsoft
- Comunicación cifrada vía QUIC
|
| 8. Acción sobre Objetivos
|
- Exfiltración de datos (doble extorsión)
- Despliegue de ransomware DragonForce
- Backdoor persistente post-ransomware
|
Detalle Técnico - Backdoor.Turn y Abuso de TURN
¿Qué es TURN?
TURN (Traversal Using Relays around NAT) es un protocolo que permite a dispositivos detrás de NAT establecer conexiones peer-to-peer a través de servidores de retransmisión. Es ampliamente utilizado por aplicaciones de voz y video como Microsoft Teams.
El mecanismo de Backdoor.Turn
| Paso
|
Descripción
|
| 1. Obtención de token
|
Backdoor.Turn obtiene un token de visitante anónimo de Microsoft Teams a través de los servicios de identidad de Microsoft respaldados por Skype
|
| 2. Conexión al relé
|
El malware se conecta a un relé TURN legítimo de Microsoft
|
| 3. Túnel cifrado
|
Establece una sesión QUIC a través del relé hacia el servidor C2 real del atacante
|
| 4. Comunicación oculta
|
El tráfico aparece como comunicaciones normales de Teams
|
¿Por qué es tan difícil de detectar?
| Factor
|
Explicación
|
| Dominio legítimo
|
El tráfico se dirige a servidores de Microsoft (no a IPs sospechosas)
|
| Protocolo QUIC
|
El tráfico está cifrado y utiliza un protocolo relativamente nuevo
|
| Comportamiento normal
|
Teams es una aplicación común en entornos corporativos
|
| Sin persistencia
|
El token de visitante anónimo puede ser renovado
|
Capacidades de Backdoor.Turn
| Capacidad
|
Descripción
|
| Ejecución de comandos
|
Ejecución remota de comandos en el sistema comprometido
|
| Inicio de procesos
|
Lanzamiento de procesos arbitrarios
|
| Escaneo de redes
|
Descubrimiento de recursos de red
|
| Captura de certificados TLS
|
Extracción de información de certificados
|
| Búsqueda LDAP/AD
|
Enumeración de Active Directory
|
| Movimiento lateral
|
Uso de credenciales robadas para propagarse
|
| Robo de credenciales de navegador
|
Extracción de credenciales almacenadas en navegadores
|
Infraestructura Utilizada
Infraestructura C2 (Microsoft Teams TURN)
| Componente
|
Propósito
|
| Servicios de identidad de Microsoft (Skype)
|
Obtención de token de visitante anónimo
|
| Relés TURN de Microsoft
|
Retransmisión de tráfico C2
|
| Sesión QUIC
|
Canal de comunicación cifrado
|
| Servidor C2 real del atacante
|
Destino final de la comunicación
|
Controladores vulnerables (BYOVD)
| Controlador
|
Proveedor
|
CVE
|
Estado
|
| HWAuidoOs2Ec.sys
|
Huawei
|
—
|
No observado previamente en ataques
|
| wsftprm.sys
|
Topaz Antifraud
|
CVE-2023-52271
|
Conocido
|
| GameDriverx64.sys
|
Tower of Fantasy
|
CVE-2025-61155
|
Documentado por Huntress (marzo 2026)
|
| K7RKScan.sys
|
K7 Security
|
CVE-2025-1055
|
Conocido
|
| ABYSSWORKER
|
Custom
|
—
|
Suplanta controlador de Palo Alto Networks
|
Herramientas de evasión adicionales
| Técnica
|
Descripción
|
| DLL sideloading
|
vboxrt.dll con VirtualBox/DbgView legítimo
|
| Modificación de LimitBlankPassword
|
Simplifica el acceso a máquinas comprometidas
|
| Cambio de reglas de firewall
|
Permite tráfico malicioso
|
Víctimas y Sectores Afectados
| Categoría
|
Datos
|
| Víctima documentada
|
Empresa de servicios estadounidense
|
| Sectores objetivo
|
Empresas de servicios, no especificado adicionalmente
|
| Tiempo en red
|
1-2 meses (diciembre 2025 - enero/febrero 2026)
|
| País
|
Estados Unidos
|
Impacto y Riesgo
| Categoría
|
Nivel
|
Descripción
|
| Capacidad de evasión
|
MUY ALTA
|
Abuso de infraestructura legítima de Microsoft Teams + BYOVD multi-vector
|
| Persistencia
|
MUY ALTA
|
1-2 meses en red de la víctima; backdoor post-ransomware
|
| Detección
|
MUY BAJA
|
Tráfico a Microsoft parece normal; cifrado QUIC
|
| Velocidad de propagación
|
MEDIA-ALTA
|
Movimiento lateral con credenciales robadas
|
| Impacto en datos
|
MUY ALTO
|
Doble extorsión (exfiltración + cifrado)
|
Consecuencias para la víctima
| Consecuencia
|
Gravedad
|
Detalle
|
| Exfiltración de datos
|
Crítica
|
Robo de datos antes del cifrado
|
| Cifrado de archivos
|
Crítica
|
Ransomware DragonForce
|
| Backdoor persistente
|
Crítica
|
Backdoor.Turn mantiene acceso incluso si se paga el rescate
|
| Compromiso de credenciales
|
Alta
|
Robo de credenciales de navegador
|
| Exposición continuada
|
Alta
|
El backdoor puede facilitar futuras intrusiones
|
Impacto en la industria de seguridad
"El despliegue de Backdoor.Turn, combinado con su evasión multivectorial de BYOVD, los convierte en uno de los grupos de ransomware más capaces y persistentes que operan en la actualidad."
Detección y Respuesta
Recomendaciones para organizaciones
| Acción
|
Prioridad
|
Descripción
|
| Monitorear tráfico QUIC
|
ALTA
|
Buscar conexiones QUIC a servicios de Microsoft que no sean típicas
|
| Auditar tokens de Teams
|
ALTA
|
Buscar tokens de visitante anónimo inusuales
|
| Monitorear carga de controladores
|
CRÍTICA
|
Buscar controladores no firmados o vulnerables (especialmente los listados)
|
| Restringir BYOVD
|
ALTA
|
Políticas de control de controladores (Windows Driver Blocklist)
|
| Monitorear DLL sideloading
|
ALTA
|
Buscar ejecución de VirtualBox/DbgView con DLLs no firmadas
|
| Auditar cuentas de usuario
|
ALTA
|
Buscar cuentas creadas recientemente o inusuales
|
| Revisar reglas de firewall
|
ALTA
|
Buscar cambios no autorizados en reglas de firewall
|
| Verificar LimitBlankPassword
|
ALTA
|
Asegurar que la configuración no ha sido modificada
|
Herramientas de detección
| Herramienta
|
Propósito
|
| Symantec Endpoint Protection
|
Detección de Backdoor.Turn y controladores BYOVD
|
| Huntress
|
Detección de CVE-2025-61155 (GameDriverx64.sys)
|
| Monitoreo de controladores
|
Detectar carga de HWAuidoOs2Ec.sys, wsftprm.sys, GameDriverx64.sys, K7RKScan.sys
|
| Análisis de tráfico de red
|
Detectar conexiones QUIC a servidores de Microsoft seguidas de tráfico anómalo
|
Script de verificación (PowerShell)
powershell
# Buscar controladores vulnerables cargados
Get-WindowsDriver -Online | Where-Object {
$_.Driver -match "HWAuidoOs2Ec|wsftprm|GameDriverx64|K7RKScan|ABYSSWORKER"
}
# Buscar procesos de VirtualBox/DbgView
Get-Process | Where-Object {
$_.ProcessName -match "VirtualBox|DbgView"
}
# Buscar cuentas creadas recientemente
Get-LocalUser | Where-Object {
$_.Created -gt (Get-Date).AddDays(-60)
}
# Verificar configuración LimitBlankPassword
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "LimitBlankPasswordUse"
Indicadores de compromiso (IoC)
Symantec ha publicado una lista completa de IoCs. Consultar el informe de Symantec para detalles completos.
Comparativa: Abuso de Plataformas Legítimas para C2
| Grupo
|
Plataforma
|
Técnica
|
Fecha
|
| DragonForce
|
Microsoft Teams TURN
|
Túnel QUIC a través de relés de Microsoft
|
2025-2026
|
| UNC3753
|
Privnote.com
|
Mensajería autodestructiva para instrucciones
|
2026
|
| Miasma
|
Steam Comments
|
Esteganografía Unicode en comentarios de perfil
|
2025-2026
|
| Varios
|
Filen.io, Koofr, Icedrive
|
Almacenamiento en la nube como C2
|
2025-2026
|
Patrón emergente: Los grupos de ransomware están abusando de plataformas legítimas para ocultar sus comunicaciones C2, aprovechando la confianza en los dominios y servicios de grandes empresas tecnológicas.
Opiniones de Expertos
"Backdoor.Turn obtiene un token de visitante anónimo de Teams a través de los servicios de identidad de Microsoft respaldados por Skype, utiliza un relé TURN legítimo de Microsoft para establecer la conexión y, a continuación, ejecuta una sesión QUIC con el servidor de comando y control (C2) real del atacante."
— Symantec
"Hasta donde sabemos, esta es la primera vez que la infraestructura de retransmisión TURN ha sido utilizada de esta manera en condiciones reales."
— Symantec
"El despliegue de Backdoor.Turn, combinado con su evasión multivectorial de BYOVD, los convierte en uno de los grupos de ransomware más capaces y persistentes que operan en la actualidad."
— Symantec
Referencias y Fuentes
- Markovic, S. (2026, 16 de junio). Cybercriminals mask malicious communications through Microsoft Teams network. Help Net Security.
- Symantec. (2026, junio). DragonForce Ransomware Group Uses Custom Backdoor.Turn Malware to Abuse Microsoft Teams TURN Infrastructure.
- Huntress. (2026, marzo). *CVE-2025-61155: GameDriverx64.sys Vulnerability Documentation*.
Historial de Revisiones
| Fecha
|
Versión
|
Autor
|
Cambios Realizados
|
| 2026-06-19
|
1.0
|
Fernando Vargas Hincapié
|
Creación inicial basada en el informe de Symantec y el artículo de Help Net Security
|
Indicadores de Compromiso (IOCs)
Malware
| Nombre
|
Tipo
|
Propósito
|
| Backdoor.Turn
|
RAT
|
C2 oculto a través de Microsoft Teams TURN
|
| vboxrt.dll
|
DLL maliciosa
|
Carga lateral con VirtualBox/DbgView
|
| ABYSSWORKER
|
Controlador
|
Suplanta controlador de Palo Alto Networks
|
Controladores vulnerables (BYOVD)
| Controlador
|
Proveedor
|
CVE
|
Hash (consultar Symantec)
|
| HWAuidoOs2Ec.sys
|
Huawei
|
—
|
—
|
| wsftprm.sys
|
Topaz Antifraud
|
CVE-2023-52271
|
—
|
| GameDriverx64.sys
|
Tower of Fantasy
|
CVE-2025-61155
|
—
|
| K7RKScan.sys
|
K7 Security
|
CVE-2025-1055
|
—
|
Herramientas legítimas abusadas
| Herramienta
|
Propósito
|
| VirtualBox
|
Ejecución de DLL maliciosa (sideloading)
|
| DbgView
|
Ejecución de DLL maliciosa (sideloading)
|
Comportamiento anómalo a monitorear
| Comportamiento
|
Dónde buscar
|
| Tokens de visitante anónimo de Teams
|
Logs de autenticación de Microsoft
|
| Tráfico QUIC a servidores de Microsoft
|
Logs de firewall, inspección de red
|
| Carga de controladores no firmados
|
Logs de sistema, Event Viewer
|
| Ejecución de VirtualBox/DbgView
|
Logs de procesos, EDR
|
| Cambios en LimitBlankPassword
|
Registro de Windows (HKLM...\Lsa)
|
| Cambios en reglas de firewall
|
Logs de auditoría de Windows Firewall
|
Preguntas sin respuesta
| Pregunta
|
Estado
|
| ¿El vector de acceso inicial fue explotación o compra de acceso?
|
No determinado con certeza
|
| ¿Microsoft ha implementado mitigaciones contra este abuso de TURN?
|
No especificado
|
| ¿Otros grupos de ransomware están utilizando técnicas similares?
|
Probable, pero no documentado
|
| ¿Backdoor.Turn ha sido utilizado en otras intrusiones?
|
No especificado
|
| ¿Las cuentas de visitante anónimo de Teams pueden ser deshabilitadas?
|
No especificado
|
Etiquetas / Categorías
dragonforce-ransomware backdoor-turn microsoft-teams-turn-abuse turn-relay-c2 quic-encryption byovd-attack havok-process-terminator dll-sideloading virtualbox-dbgview-abuse ransomware-as-a-service initial-access-broker double-extortion persistent-backdoor zero-day-control-exploit
