GoGra

GoGra es un backdoor escrito en lenguaje Go (Golang), descubierto por Symantec en noviembre de 2023 tras ser desplegado contra una organización de medios en Asia del Sur. Este malware es atribuido al grupo APT conocido como Harvester, una amenaza persistente avanzada con respaldo estatal activa desde al menos junio de 2021, que previamente se especializaba en atacar sistemas Windows en la misma región. La principal innovación de GoGra radica en su uso de servicios legítimos de Microsoft (Graph API y buzones de Outlook) como canal de Comando y Control (C2), en lugar de depender de infraestructura propia, lo que le permite mezclarse con el tráfico normal de la red corporativa y evadir los controles de seguridad tradicionales.

Técnicamente, GoGra se distribuye mediante ingeniería social a través de correos electrónicos que contienen archivos adjuntos maliciosos con nombres engañosos como "Zomato Pizza.pdf" o "umrah.pdf", donde un espacio oculto entre el nombre y la extensión hace que el sistema operativo lo interprete como un binario ELF de Linux en lugar de un PDF. Una vez ejecutado, el dropper muestra un documento falso para distraer al usuario mientras instala el backdoor en la carpeta oculta ~/.config/systemd/user/userservice y establece persistencia disfrazándose como el monitor legítimo del sistema llamado Conky. El malware utiliza credenciales Azure AD robadas (tenant ID, client ID y client secret) para autenticarse ante Microsoft Graph API, y cada dos segundos consulta un buzón de Outlook específico (usuario "FNU LNU") en busca de correos con el asunto "Input". Los comandos recibidos están cifrados con AES-256-CBC usando la clave b14ca5898a4e4133bbce2ea2315a1916, y GoGra los ejecuta a través del flujo de entrada de cmd.exe, soportando además un comando adicional "cd" para cambiar de directorio activo. Los resultados de la ejecución se cifran y se envían por correo con el asunto "Output", tras lo cual el malware elimina los mensajes originales para borrar rastros forenses.

El análisis comparativo de su código fuente revela que GoGra es funcionalmente idéntico a Graphon, un backdoor en .NET utilizado previamente por el mismo grupo Harvester contra sistemas Windows, compartiendo incluso los mismos errores ortográficos en las cadenas de texto ("ExcuteCommand" y "error occured"), lo que confirma que ambos fueron desarrollados por los mismos programadores. Este descubrimiento demuestra que Harvester está expandiendo activamente su arsenal para atacar plataformas Linux, aumentando su superficie de operaciones y dificultando la detección mediante el abuso de infraestructura cloud confiable. Los indicadores de compromiso (IoCs) conocidos incluyen los hashes SHA256 d728cdcf62b497362a1ba9dbaac5e442cebe86145734410212d323a6c2959f0f y f1ccd604fcdc0034d94e575b3709cd124e13389bbee55c59cbbf7d4f3476e214 para identificar el binario de GoGra, y se recomienda bloquear servicios en la nube no esenciales, monitorear tráfico anómalo hacia Microsoft Graph API, y aplicar listas blancas de aplicaciones para mitigar el riesgo de infección.

Funcionamiento

GoGra es un backdoor multiplataforma escrito en Golang, desarrollado por el grupo de ciberespionaje Harvester (activo desde al menos 2021) y atribuido a un actor patrocinado por un estado-nación . Su principal innovación técnica radica en el uso de infraestructura legítima de Microsoft (Graph API y buzones de Outlook) como canal de Comando y Control (C2), en lugar de servidores propios, lo que le permite evadir defensas perimetrales tradicionales y mezclarse con el tráfico normal de la red corporativa . GoGra fue detectado por primera vez en noviembre de 2023, cuando Symantec lo identificó en un ataque contra una organización de medios en Asia del Sur; posteriormente, en abril de 2026, se descubrió una variante específica para Linux, lo que demuestra la expansión activa de Harvester hacia plataformas cruzadas .

1. Cadena de Infección y Mecanismo de Distribución

La fase inicial del ataque se basa en ingeniería social altamente dirigida, utilizando señuelos contextualizados para la región objetivo (principalmente India y Afganistán) :

Archivos adjuntos engañosos: Las víctimas reciben correos electrónicos con archivos adjuntos que parecen documentos PDF legítimos, con nombres como "Zomato Pizza.pdf", "umrah.pdf" o "TheExternalAffairesMinister.pdf" . Sin embargo, estos archivos son en realidad binarios ELF ejecutables para Linux, con un truco de espacio invisible entre el nombre y la extensión para engañar al usuario .
Dropper en Go: Una vez ejecutado, el binario despliega un dropper escrito en Go que realiza dos acciones simultáneamente: (1) muestra un documento PDF falso en pantalla para distraer a la víctima mientras el malware opera en segundo plano, y (2) instala el payload principal de GoGra en el sistema .
Persistencia sigilosa: GoGra se copia a la ruta oculta ~/.config/systemd/user/userservice y establece persistencia mediante dos mecanismos :
- Un systemd user unit que ejecuta el malware al inicio de sesión del usuario.
- Una entrada XDG autostart que se disfraza del monitor legítimo del sistema Conky (herramienta común de monitoreo de recursos en Linux/BSD), lo que dificulta su detección por parte del administrador del sistema.

2. Infraestructura de Comando y Control Basada en Microsoft Graph API

El aspecto técnicamente más sofisticado de GoGra es su canal C2, que abusa de servicios de Microsoft de la siguiente manera:

Autenticación OAuth2: El malware contiene credenciales Azure AD hardcodeadas en texto plano dentro de su código, incluyendo:

tenant_id (identificador del inquilino de Azure)
client_id (identificador de la aplicación registrada)
client_secret (clave secreta de autenticación)

Estas credenciales permiten a GoGra solicitar tokens OAuth2 directamente a Microsoft, autenticándose como una aplicación legítima . Una vez autenticado, el malware utiliza la Microsoft Graph API para interactuar con buzones de Outlook sin necesidad de intervención humana.

Carpeta de control oculta: GoGra está configurado para comunicarse con una carpeta de correo específica dentro de un buzón de Outlook, nombrada "Zomato Pizza" (en la versión Windows utilizaba "Dragan Dash" - ambos son nombres de restaurantes en Hyderabad, India) . El malware realiza consultas OData cada 2 segundos a esta carpeta, filtrando mensajes entrantes cuyo asunto comienza con la palabra "Input" .

3. Procesamiento de Comandos y Ejecución

Cuando el operador del C2 envía un comando, el flujo de ejecución es el siguiente :

Recepción y desencriptación:

GoGra identifica un correo con asunto "Input" en la carpeta "Zomato Pizza"
Extrae el cuerpo del mensaje, que está en formato Base64
Desencripta el contenido utilizando AES-256-CBC con una clave hardcodeada: b14ca5898a4e4133bbce2ea2315a1916

Ejecución:

4. El comando desencriptado se pasa a /bin/bash -c en Linux (o a cmd.exe en Windows) para su ejecución local

5. GoGra soporta un comando adicional "cd" para cambiar el directorio de trabajo activo

Exfiltración de resultados:

6. La salida del comando ejecutado se encripta nuevamente con AES-256-CBC

7. Los resultados se codifican en Base64 y se envían como un correo de respuesta con el asunto "Output" al mismo buzón

8. Para eliminar evidencias forenses, GoGra emite una solicitud HTTP DELETE que elimina el correo original con el comando "Input" después de procesarlo, dejando una huella mínima en los logs del buzón

4. Evasión y Antianálisis

GoGra implementa múltiples capas de evasión que lo hacen particularmente difícil de detectar:

Abuso de infraestructura confiable: Al utilizar dominios de Microsoft (graph.microsoft.com, outlook.office365.com) y tráfico HTTPS hacia IPs legítimas de Microsoft, el malware se mezcla con el tráfico corporativo normal. Los firewalls y proxies tradicionales no pueden distinguir las consultas maliciosas de las operaciones legítimas de Graph API .

Evasión de detección de red: No genera tráfico hacia dominios desconocidos o IPs en países sospechosos. Todo el canal C2 se oculta dentro de comunicaciones cifradas TLS hacia Microsoft, que las organizaciones no pueden bloquear sin interrumpir operaciones legítimas .

Ocultamiento en el sistema: Se disfraza como el proceso legítimo Conky, un monitor de sistema ampliamente utilizado en entornos Linux/BSD, lo que dificulta su identificación en listados de procesos o herramientas de auditoría .

Autodestrucción de comandos: La eliminación automática de los correos "Input" después de su procesamiento elimina la evidencia de la comunicación en el buzón de Outlook, complicando el análisis forense retrospectivo .

5. Evidencias de Atribución y Desarrollo Multiplataforma

El análisis de código fuente revela que las versiones Linux y Windows de GoGra comparten la misma base de código, con diferencias menores en la arquitectura de despliegue y los nombres de carpetas utilizadas. Los investigadores de Symantec identificaron errores tipográficos idénticos en ambas versiones, incluyendo cadenas como "ExcuteCommand" y "error occured", lo que confirma que el mismo desarrollador está detrás de ambas plataformas .

Esta evidencia, sumada a la similitud funcional con Graphon (un backdoor .NET utilizado por Harvester desde 2021), permite atribuir GoGra al grupo Harvester con alta confianza, demostrando su continua evolución hacia capacidades multiplataforma .

6. Indicadores de Compromiso (IoCs) Técnicos

Los IoCs específicos para Linux GoGra incluyen :

Hashes SHA256 (versión Linux):

d728cdcf62b497362a1ba9dbaac5e442cebe86145734410212d323a6c2959f0f
f1ccd604fcdc0034d94e575b3709cd124e13389bbee55c59cbbf7d4f3476e214

Rutas de instalación:

~/.config/systemd/user/userservice (payload principal)
Entradas systemd y XDG autostart asociadas

Parámetros C2:

Buzón de Outlook: "FNU LNU" (Windows) o carpeta "Zomato Pizza" (Linux)
Asuntos: "Input" (comandos entrantes), "Output" (resultados salientes)
Clave AES: b14ca5898a4e4133bbce2ea2315a1916
Frecuencia de polling: 2 segundos
API endpoints: Microsoft Graph API (graph.microsoft.com)

Técnicas MITRE ATT&CK identificadas:

T1059.009: Command and Scripting Interpreter (Cloud API)
T1567.002: Exfiltration to Cloud Storage
T1585.003: Establish Accounts (Cloud Accounts)
T1608.001: Stage Capabilities (Upload Malware)

Impacto y consecuencias

GoGra, un backdoor atribuido al grupo APT Harvester (activo desde al menos 2021 y con presunto respaldo estatal), representa una evolución significativa en las tácticas de ciberespionaje debido a su arquitectura multiplataforma y el abuso innovador de infraestructura legítima de Microsoft como canal de Comando y Control (C2) . Aunque los informes de Symantec y Carbon Black no detallan víctimas específicas en la campaña más reciente, el análisis de los artefactos subidos a VirusTotal desde India y Afganistán, junto con el uso de documentos señuelo localizados ("Zomato Pizza", "TheExternalAffairesMinister.pdf"), confirma que Asia del Sur sigue siendo el foco geográfico principal de las operaciones de espionaje de Harvester, con blancos prioritarios en los sectores de telecomunicaciones, gobierno y tecnología de la información .

1. Impacto Estratégico en la Detección y Defensa Perimetral

La consecuencia técnica más crítica de GoGra es la capacidad de evasión casi total de las defensas de red tradicionales. Al utilizar credenciales Azure AD hardcodeadas para obtener tokens OAuth2 y comunicarse exclusivamente con graph.microsoft.com y buzones de Outlook a través de HTTPS, el malware genera tráfico que es indistinguible del flujo legítimo de una organización que utiliza Microsoft 365 . Esto tiene múltiples implicaciones ofensivas:

Bypass de firewalls y proxies: Los dominios de Microsoft están siempre en listas blancas; bloquearlos interrumpiría operaciones críticas del negocio .
Evasión de soluciones de inspección de tráfico (DLP): El contenido malicioso viaja dentro de correos cifrados TLS, imposibilitando su inspección profunda .
Falsa sensación de seguridad: Las organizaciones que confían en que el tráfico hacia Microsoft es inherentemente seguro quedan completamente expuestas .

Peor aún, el malware elimina los correos de comando originales mediante peticiones HTTP DELETE después de procesarlos, eliminando las evidencias de la transacción en el buzón de Outlook . Esto significa que incluso si un equipo de respuesta a incidentes revisara posteriormente los logs del buzón controlado por el atacante, no encontraría rastro de los comandos emitidos, complicando exponencialmente la investigación forense y la atribución.

2. Expansión de la Superficie de Ataque y Capacidades Multiplataforma

El desarrollo de una variante Linux de GoGra que comparte una base de código casi idéntica con la versión Windows original, incluyendo los mismos errores tipográficos ("ExcuteCommand") y la misma clave AES (b14ca5898a4e4133bbce2ea2315a1916), demuestra que Harvester está invirtiendo activamente en capacidades de ataque multiplataforma . Las consecuencias de esta expansión son profundas:

Compromiso de infraestructuras críticas: Muchos servidores gubernamentales, de telecomunicaciones y financieros en Asia del Sur operan sobre Linux, sistemas que antes podían considerarse fuera del alcance de este grupo .
Movimiento lateral simplificado: Un atacante que compromete una estación de trabajo con Windows puede ahora desplegar la variante Linux de GoGra para moverse lateralmente hacia servidores Unix/Linux dentro de la misma red, aumentando el alcance de la intrusión .
Persistencia sigilosa en Linux: La capacidad de disfrazarse como el monitor legítimo Conky y utilizar systemd para persistir hace que el malware sea extremadamente difícil de detectar incluso para administradores experimentados de Linux .

3. Impacto Operacional en las Víctimas

Aunque no se han divulgado pérdidas financieras o de datos específicas, el modus operandi de GoGra implica consecuencias graves para las organizaciones comprometidas:

Área de Impacto	Consecuencias Específicas
Pérdida de información clasificada	El backdoor permite ejecución remota de comandos arbitrarios, posibilitando la exfiltración de documentos, correos electrónicos, bases de datos y planos de infraestructura. El uso de canales C2 basados en correo electrónico permite extraer datos en fragmentos pequeños que pasan desapercibidos
Compromiso a largo plazo	La persistencia a través de systemd y XDG autostart, combinada con la naturaleza sigilosa del canal C2, permite que GoGra permanezca operativo durante meses o años sin ser detectado
Punto de apoyo para ataques secundarios	El backdoor puede ser utilizado como puerta de entrada para desplegar malware adicional (ransomware, mineros de criptomonedas, keyloggers) o para movimientos laterales hacia otras redes
Daño reputacional	Para organizaciones en sectores sensibles (gobierno, defensa, telecomunicaciones), la confirmación pública de una intrusión de espionaje patrocinada por un estado puede erosionar la confianza de socios internacionales y ciudadanos

4. Consecuencias para la Comunidad de Seguridad y la Industria Tecnológica

El uso por parte de Harvester de técnicas previamente documentadas en otros grupos APT (como APT28 con Graphite o Flea con Graphican) confirma una tendencia creciente y peligrosa: los actores de ciberespionaje están estudiando activamente las tácticas de sus pares y adoptando aquellas que demuestran ser efectivas . Las consecuencias de esta tendencia incluyen:

Carrera armamentista defensiva: Los equipos de seguridad deben ahora monitorear actividad anómala en APIs de Microsoft Graph, autenticaciones OAuth2 inusuales y accesos a buzones de Outlook desde procesos que no son navegadores .
Necesidad de controles granulares: Las organizaciones se ven forzadas a implementar listas blancas de aplicaciones, bloquear procesos no navegadores que se conecten a servicios en la nube y activar auditorías detalladas de logs en la nube, aumentando la carga operativa de los equipos de seguridad .
Redefinición de "infraestructura confiable": El dogma de seguridad que consideraba que el tráfico hacia grandes proveedores de nube era inherentemente seguro queda completamente invalidado. Los atacantes han demostrado que el abuso de la confianza es la nueva frontera de la evasión.

Además, la existencia de una variante Linux de GoGra subraya que los ecosistemas de código abierto ya no son refugios seguros frente a APTs patrocinados por estados. Los desarrolladores y administradores de sistemas Linux en sectores críticos deben ahora considerar que sus máquinas son objetivos de primera línea, no sistemas inmunes por defecto.

5. Impacto en el Ecosistema de Microsoft y la Confianza en la Nube

A nivel estratégico, el abuso de Microsoft Graph API y Outlook como canal C2 tiene el potencial de erosionar la confianza en los servicios de nube de Microsoft para usos gubernamentales y militares sensibles . Aunque Microsoft no es responsable de que sus credenciales sean robadas o hardcodeadas en malware, el hecho de que actores estatales puedan operar impunemente dentro de su infraestructura plantea preguntas incómodas:

¿Puede Microsoft detectar y deshabilitar cuentas Azure AD abusadas por APTs?
¿Deberían las organizaciones gubernamentales reconsiderar el uso de servicios en la nube para comunicaciones sensibles?
¿Qué responsabilidad tienen los proveedores de nube cuando su infraestructura es sistemáticamente utilizada para evadir defensas?

Hasta la fecha, no hay evidencia pública de que Microsoft haya tomado medidas contra las cuentas Azure AD abusadas por Harvester, lo que sugiere que los atacantes pueden operar durante largos períodos sin ser detectados dentro del propio ecosistema de Microsoft.

6. Lecciones para la Defensa (Recomendaciones Técnicas)

Basado en el análisis de impacto, las organizaciones deben implementar las siguientes medidas:

Medida Defensiva	Justificación Técnica
Monitoreo de logs de Graph API	Identificar consultas OData anómalas o accesos a buzones desde IPs no corporativas
Restricción de aplicaciones Azure AD	Implementar políticas que requieran aprobación explícita para aplicaciones que usen Graph API, evitando credenciales hardcodeadas desconocidas
Auditoría de procesos no navegadores	Bloquear o alertar sobre cualquier proceso que no sea un navegador web (ej. binarios ELF en `/tmp`) realizando peticiones a `graph.microsoft.com`
Inspección de autostart y systemd	Revisar periódicamente `~/.config/systemd/user/` y entradas XDG autostart en busca de servicios sospechosos, especialmente aquellos que imitan `Conky`
Detección de nombres de archivo engañosos	Implementar reglas YARA para identificar binarios ELF con extensiones falsas (`.pdf`, `.docx`) en directorios de usuario

Origen y motivación

El backdoor GoGra tiene su origen en el grupo de ciberespionaje Harvester, un actor de amenazas persistente que opera desde al menos junio de 2021 y que, según firmas de seguridad como Symantec y Carbon Black, cuenta con respaldo de un estado-nación (aunque no se ha atribuido oficialmente a un país específico, su perfil de objetivos y capacidades apunta a un patrocinio gubernamental) . La motivación principal de este grupo es inequívocamente el espionaje en lugar del beneficio financiero, como demuestra su historial de ataques dirigidos a los sectores de telecomunicaciones, gobierno y tecnología de la información en Asia del Sur, con un enfoque particular en India y Afganistán, desde donde se han detectado las primeras muestras del malware subidas a plataformas como VirusTotal . GoGra es una evolución del backdoor Graphon (utilizado previamente por Harvester) y representa un esfuerzo deliberado del grupo por expandir su arsenal más allá de Windows, desarrollando capacidades multiplataforma para infectar sistemas Linux y así ampliar su espectro de víctimas potenciales dentro de sus objetivos estratégicos en la región .