Harvester APT Campaign (GoGra Linux Malware / Graphon Evolution)

Harvester APT Campaign es una operación de ciberespionaje persistentemente activa desde al menos junio de 2021, atribuida a un grupo de amenazas persistentes avanzadas (APT) patrocinado por un estado-nación, que se ha centrado tradicionalmente en sistemas Windows en el sur de Asia (India y Afganistán). Según investigadores de Symantec y Carbon Black, el grupo ha expandido recientemente sus operaciones para incluir sistemas Linux, desarrollando un nuevo backdoor malicioso llamado GoGra, escrito en Go (Golang). La campaña utiliza ingeniería social para engañar a las víctimas, enviando correos electrónicos con archivos adjuntos maliciosos que llevan nombres de servicios o entidades confiables, como "Zomato Pizza.pdf" (Zomato es una popular aplicación de entrega de comida en India), "umrah.pdf" (referente a la peregrinación religiosa musulmana) o "TheExternalAffairesMinister.pdf". Estos archivos explotan una técnica de suplantación de extensión: el nombre visible incluye ".pdf", pero la adición de un espacio minúsculo entre el nombre y la extensión engaña al usuario, mientras que el sistema operativo lo interpreta como un binario ELF de Linux ejecutable. Una vez ejecutado, un dropper Go muestra un PDF falso para mantener la apariencia de legitimidad mientras instala GoGra en un directorio oculto (~/.config/systemd/user/userservice). Para la persistencia, el malware se hace pasar por un monitor de sistema legítimo llamado Conky, activándose en cada reinicio del sistema. La característica más distintiva de la campaña es su infraestructura de comando y control (C2) sin servidores propios: GoGra utiliza servicios legítimos de Microsoft (Microsoft Graph API y buzones de Outlook) como canal C2 encubierto. El malware contiene credenciales de Azure AD robadas (tenant ID, client ID, client secret) que le permiten autenticarse en Microsoft Graph. Cada dos segundos, GoGra utiliza consultas OData (Open Data Protocol) para verificar una carpeta específica de Outlook en busca de correos con la línea de asunto "Input", que contienen comandos cifrados con AES-CBC. Tras ejecutar los comandos, el malware envía los resultados por correo electrónico con la línea de asunto "Output" y luego utiliza un comando DELETE para eliminar las pruebas. El análisis forense reveló que GoGra es casi idéntico a otro backdoor llamado Graphon utilizado por Harvester contra sistemas Windows, con los mismos errores ortográficos en el código ("ExcuteCommand" y "error occured"), confirmando que los mismos desarrolladores están detrás de ambas variantes. Esta expansión a Linux demuestra la creciente flexibilidad y sofisticación del grupo Harvester para adaptarse a múltiples plataformas y evadir la detección mediante el abuso de infraestructura legítima de la nube.

Nombres Alternativos / Aliases

Harvester APT (Nombre del grupo)
GoGra Backdoor (Por el malware Linux)
Graphon Linux Variant (Por su relación con el backdoor Windows)
Microsoft Graph C2 Campaign (Por la técnica de C2)
South Asia Espionage Operation (Por la región objetivo)

Fecha de Detección / Actividad

Primera Actividad Conocida del Grupo: Junio de 2021 (en sistemas Windows)
Fecha de Detección de GoGra (Linux): Abril de 2026 (análisis publicado el 23 de abril de 2026)
Período de Actividad de la Campaña: 2021 - presente
Estado: Activo. El grupo continúa desarrollando nuevas herramientas y expandiéndose a nuevas plataformas (Linux).

Actor de Amenaza (Atribución)

Nombre del Actor: Harvester APT
Tipo de Actor: Grupo de ciberespionaje patrocinado por un estado-nación.
Sofisticación: Alta. El grupo demuestra capacidades avanzadas: (a) desarrollo de malware personalizado en múltiples lenguajes (Go para GoGra, posiblemente otros para Graphon), (b) uso de ingeniería social dirigida con señuelos adaptados al contexto regional (Zomato para India, umrah para comunidades musulmanas, The External Affairs Minister para objetivos gubernamentales), (c) técnicas de evasión como la suplantación de extensiones de archivo mediante espacios invisibles y el camuflaje de procesos legítimos (Conky), (d) persistencia mediante systemd, (e) abuso de infraestructura de Microsoft Graph API y Outlook como canal C2 para evadir la detección de red tradicional, y (f) uso de cifrado AES-CBC para proteger las comunicaciones. La presencia de los mismos errores tipográficos en el código de GoGra y Graphon ("ExcuteCommand", "error occured") confirma un origen común y un equipo de desarrollo consistente.

Resumen Ejecutivo

Harvester APT Campaign representa una evolución significativa en las operaciones de ciberespionaje del grupo Harvester, que ha estado activo en el sur de Asia desde al menos 2021. Tradicionalmente enfocado en sistemas Windows con su backdoor Graphon, el grupo ha desarrollado recientemente GoGra, un nuevo backdoor escrito en Go específicamente para sistemas Linux, dirigido a objetivos en India y Afganistán. El vector de ataque inicial es la ingeniería social altamente dirigida: los atacantes envían correos electrónicos con archivos adjuntos maliciosos que llevan nombres atractivos y contextualmente relevantes, como "Zomato Pizza.pdf" (aprovechando la popularidad de la aplicación de entrega de comida en India), "umrah.pdf" (dirigido a comunidades musulmanas durante la peregrinación), o "TheExternalAffairesMinister.pdf" (apuntando a entidades gubernamentales). La técnica de evasión empleada es sutil pero efectiva: el archivo incluye un espacio minúsculo entre el nombre y la extensión .pdf, de modo que para el usuario aparece como un documento PDF legítimo, pero el sistema operativo lo interpreta y ejecuta como un binario ELF de Linux. Una vez ejecutado, el dropper Go muestra un PDF falso (o documento) para mantener la ilusión de normalidad mientras la víctima está distraída. En segundo plano, el dropper instala GoGra en un directorio oculto (~/.config/systemd/user/userservice) y configura la persistencia utilizando systemd, haciéndose pasar por un monitor de sistema legítimo llamado Conky (un popular monitor de recursos para Linux), por lo que el malware se reinicia automáticamente cada vez que el sistema se reinicia. La característica más distintiva de GoGra es su canal de comando y control (C2). En lugar de comunicarse con servidores propios (que podrían ser detectados y bloqueados), el malware abusa de la infraestructura legítima de Microsoft. Contiene credenciales robadas de Azure AD: un tenant ID, un client ID y un client secret (que actúa como clave de autenticación privada). Con estas credenciales, GoGra se autentica en Microsoft Graph API y accede a un buzón de Outlook específico. Cada dos segundos, el malware realiza consultas OData para verificar una carpeta específica en busca de correos electrónicos con la línea de asunto "Input". Estos correos contienen comandos cifrados con AES-CBC. GoGra descifra, ejecuta los comandos, y luego envía los resultados por correo electrónico con la línea de asunto "Output". Finalmente, utiliza un comando DELETE para eliminar los correos originales y el rastro de la comunicación, mantiendo la operación encubierta. El análisis forense confirmó la relación entre GoGra y el backdoor Windows Graphon de Harvester mediante la identificación de errores tipográficos idénticos en el código fuente de ambos malware: las palabras "ExcuteCommand" (en lugar de "ExecuteCommand") y "error occured" (en lugar de "error occurred") aparecen en ambas bases de código. Estos errores compartidos demuestran que un mismo equipo de desarrolladores creó ambas herramientas. La expansión de Harvester a Linux indica una adaptación estratégica para aumentar su superficie de ataque y evadir defensas, utilizando infraestructura cloud legítima (Microsoft Graph) como canal C2 encubierto, lo que dificulta su detección por parte de soluciones de seguridad tradicionales.

Vectores de Ataque / Métodos de Distribución

Ingeniería Social con Correos Electrónicos Dirigidos: El grupo envía correos electrónicos a víctimas específicas (probablemente en India y Afganistán) utilizando señuelos contextualmente relevantes: nombres de aplicaciones populares (Zomato), referencias religiosas (umrah), o temas gubernamentales (The External Affairs Minister).
Suplantación de Extensión de Archivo (Espacio Invisible): El archivo adjunto se nombra con un espacio minúsculo entre el nombre y la extensión .pdf (ej., "Zomato Pizza.pdf" con espacio invisible). El usuario ve un archivo PDF legítimo, pero el sistema operativo lo interpreta como un binario ELF ejecutable de Linux.
Dropper con Documento Falso: Al ejecutarse, el dropper escrito en Go muestra un PDF o documento falso para que la víctima no sospeche mientras el malware se instala en segundo plano.
Persistencia mediante systemd y Camuflaje como Conky: El malware se instala en ~/.config/systemd/user/userservice y se configura para ejecutarse automáticamente en cada reinicio, haciéndose pasar por el monitor de sistema legítimo Conky.
Canal C2 mediante Abuso de Microsoft Graph API y Outlook: GoGra utiliza credenciales robadas de Azure AD para autenticarse en Microsoft Graph, verificando un buzón de Outlook en busca de comandos cifrados en correos con asunto "Input" y enviando resultados con asunto "Output".

Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK

Táctica (MITRE ATT&CK)	Técnica / Subtécnica	Descripción / Implementación
Initial Access (TA0001)	Phishing: Spearphishing Attachment (T1566.001)	Envío de correos electrónicos con archivos adjuntos maliciosos nombrados "Zomato Pizza.pdf", "umrah.pdf", "TheExternalAffairesMinister.pdf".
Defense Evasion (TA0005)	Masquerading: Double File Extension (T1036.007)	Uso de un espacio minúsculo entre el nombre y la extensión `.pdf` para que el usuario vea un PDF pero el sistema lo ejecute como ELF.
Execution (TA0002)	User Execution: Malicious File (T1204.002)	El usuario ejecuta el archivo creyendo que es un PDF legítimo.
Execution (TA0002)	Command and Scripting Interpreter: Unix Shell (T1059.004)	El dropper Go ejecuta comandos shell para instalar GoGra.
Persistence (TA0003)	Create or Modify System Process: Systemd Service (T1543.002)	GoGra se instala en `~/.config/systemd/user/userservice` y se configura como servicio systemd para persistencia.
Persistence (TA0003)	Masquerading: Match Legitimate Name or Location (T1036.005)	El malware se hace pasar por Conky, un monitor de sistema legítimo de Linux, para evadir la detección.
Defense Evasion (TA0005)	Hidden Files and Directories (T1564.001)	GoGra se instala en un directorio oculto (`~/.config/systemd/user/userservice`).
Credential Access (TA0006)	Steal Application Access Token (T1528)	El malware contiene credenciales robadas de Azure AD (tenant ID, client ID, client secret) y las utiliza para autenticarse en Microsoft Graph API.
Command and Control (TA0011)	Application Layer Protocol: Web Protocols (T1071.001)	Comunicación con Microsoft Graph API a través de HTTPS.
Command and Control (TA0011)	Web Service (T1102) - Bidirectional Communication (T1102.002)	Abuso de Microsoft Graph API y buzones de Outlook como canal C2 bidireccional encubierto.
Command and Control (TA0011)	Encrypted Channel (T1573) - Symmetric Cryptography (T1573.001)	Los comandos se cifran con AES-CBC antes de enviarse por correo electrónico.
Defense Evasion (TA0005)	Indicator Removal (T1070) - File Deletion (T1070.004)	El malware utiliza DELETE en Microsoft Graph para eliminar correos con comandos "Input" después de la ejecución.
Collection (TA0009)	Data Staged (T1074)	Los resultados de los comandos se almacenan temporalmente antes de enviarse como "Output".
Exfiltration (TA0010)	Exfiltration Over Web Service (T1567)	Los resultados se envían por correo electrónico a través de Microsoft Graph API.

Flujo de Ataque (Cyber Kill Chain)

Reconocimiento: Harvester identifica objetivos en India y Afganistán, posiblemente en sectores gubernamentales, diplomáticos, o relacionados con la industria alimentaria (por el señuelo de Zomato).
Armamento: Los atacantes desarrollan GoGra en Go, configuran credenciales robadas de Azure AD, preparan documentos PDF falsos, y crean correos electrónicos de spearphishing.
Entrega: Envío de correos electrónicos con archivos adjuntos maliciosos a las víctimas objetivo.
Explotación: La víctima abre el archivo adjunto, creyendo que es un PDF. El sistema operativo ejecuta el binario ELF debido a la suplantación de extensión (espacio invisible).
Instalación:
- El dropper Go muestra un PDF falso para distraer a la víctima.
- GoGra se escribe en ~/.config/systemd/user/userservice.
- Se configura un servicio systemd para la persistencia, camuflado como "Conky".
Comando y Control (C2):
- GoGra utiliza credenciales robadas de Azure AD para autenticarse en Microsoft Graph API.
- Cada 2 segundos, consulta un buzón de Outlook específico en busca de correos con asunto "Input".
- Los comandos cifrados con AES-CBC son descifrados y ejecutados.
Acción sobre Objetivos:
- Ejecución de comandos remotos en el sistema Linux comprometido.
- Envío de resultados por correo electrónico con asunto "Output".
- Eliminación de los correos originales con DELETE para borrar rastros.

Infraestructura Utilizada

Tipo	Indicador / Característica	Propósito
Microsoft Graph API	`graph.microsoft.com`	Canal C2 encubierto; autenticación mediante credenciales Azure AD robadas.
Buzones de Outlook	Buzón específico (no especificado)	Almacenamiento de comandos ("Input") y resultados ("Output") como correos electrónicos.
Credenciales Azure AD	Tenant ID, Client ID, Client Secret (robadas)	Autenticación en Microsoft Graph API para acceder a los buzones.
Señuelos de Phishing	"Zomato Pizza.pdf", "umrah.pdf", "TheExternalAffairesMinister.pdf"	Archivos adjuntos maliciosos para entrega inicial.
PDF/Documento Falso	No especificado	Distracción de la víctima mientras el dropper instala GoGra.
Directorio Oculto	`~/.config/systemd/user/userservice`	Ubicación de instalación de GoGra.
Proceso Camuflado	Conky (monitor de sistema legítimo de Linux)	Persistencia y evasión.

Objetivos y Sectores Afectados

Objetivo Principal: Entidades gubernamentales, diplomáticas, y posiblemente tecnológicas en India y Afganistán.
Sectores Prioritarios: Gobierno, Relaciones Exteriores, Tecnología, Alimentación (por el señuelo Zomato).
Perfiles de Víctima: Funcionarios gubernamentales, ministerios, personal de embajadas, y potencialmente ciudadanos comunes en India (por el señuelo de Zomato).
Plataformas Afectadas: Sistemas Linux (principal objetivo de GoGra), además de sistemas Windows (con el backdoor Graphon histórico).
Distribución Geográfica: Sur de Asia (India y Afganistán, principalmente).

Impacto y Riesgo

Nivel de Riesgo: Alto para entidades gubernamentales y diplomáticas en India y Afganistán. El uso de Microsoft Graph como canal C2 dificulta la detección.
Impacto Potencial:
- Espionaje Continuo: GoGra permite a Harvester mantener acceso persistente a sistemas Linux comprometidos, robando documentos, correos electrónicos, y otras comunicaciones sensibles.
- Evasió de Defensas Tradicionales: El tráfico hacia Microsoft Graph API es difícil de distinguir del tráfico corporativo legítimo. Las organizaciones no pueden simplemente bloquear graph.microsoft.com sin interrumpir operaciones comerciales.
- Expansión a Nuevas Plataformas: La capacidad de Harvester para desarrollar malware para Linux amplía su superficie de ataque y aumenta el riesgo para organizaciones que utilizan entornos mixtos Windows/Linux.
- Robo de Credenciales: Aunque no se menciona explícitamente en el artículo, un backdoor con capacidad de ejecución remota de comandos puede robar credenciales almacenadas en el sistema Linux comprometido.
- Compromiso de Infraestructura Crítica: Muchos servidores y sistemas críticos ejecutan Linux; el acceso a estos sistemas puede ser utilizado para pivots y movimientos laterales.
Contexto Más Amplio: El abuso de Microsoft Graph API como canal C2 es una técnica emergente que los grupos APT están adoptando para evadir la detección, aprovechando la confianza y la inevitabilidad del tráfico hacia servicios de Microsoft en entornos corporativos.

Recomendaciones de Mitigación

Monitoreo de Microsoft Graph API (M1040, M1047):
- Monitorear el uso de Microsoft Graph API y Outlook en busca de patrones anómalos, como consultas OData frecuentes (cada 2 segundos) hacia buzones específicos.
- Utilizar herramientas de Cloud Access Security Broker (CASB) o Microsoft Defender for Cloud Apps para detectar actividades sospechosas en Graph API.
Auditoría de Aplicaciones OAuth en Azure AD (M1018, M1032):
- Revisar periódicamente las aplicaciones registradas en Azure AD que tengan acceso a Microsoft Graph API y buzones de Outlook.
- Revocar credenciales (client secrets) sospechosas o no autorizadas.
- Implementar políticas de acceso condicional para restringir qué aplicaciones pueden acceder a Graph API.
Educación del Usuario y Detección de Phishing (M1017):
- Entrenar a los usuarios sobre la técnica de suplantación de extensiones de archivo con espacios invisibles.
- Configurar sistemas operativos para mostrar extensiones de archivo completas (incluyendo las reales) en los gestores de archivos.
- Implementar soluciones de filtrado de correo electrónico que detecten archivos adjuntos con extensiones engañosas.
Detección de Malware en Linux (M1040, M1049):
- Utilizar soluciones EDR para Linux que puedan detectar comportamientos anómalos, como la creación de servicios systemd no autorizados, procesos camuflados como Conky, y comunicaciones frecuentes con Microsoft Graph API.
- Monitorear la creación de archivos en ~/.config/systemd/user/ y alertar sobre nuevos servicios.
Bloqueo de Técnicas de Persistencia (M1028, M1040):
- Configurar sistemas Linux con políticas de restricción de servicios systemd por usuario.
- Monitorear cambios en la configuración de systemd y la creación de servicios en directorios de usuario.

Herramientas de Detección

EDR para Linux: Soluciones como CrowdStrike Falcon, SentinelOne, o Microsoft Defender for Endpoint en Linux pueden detectar comportamientos anómalos: procesos hijos de binarios que se hacen pasar por PDF, creación de servicios systemd no autorizados, y tráfico de red hacia Microsoft Graph API.
Monitoreo de Microsoft Graph API: Microsoft Defender for Cloud Apps, Azure Monitor, y herramientas CASB pueden auditar el acceso a Graph API, identificando aplicaciones con patrones de consulta OData anómalos (alta frecuencia, acceso a buzones no autorizados).
Análisis de Tráfico de Red: Herramientas NDR pueden inspeccionar el tráfico TLS hacia graph.microsoft.com y detectar patrones de comunicación periódicos (cada 2 segundos) que no coinciden con el comportamiento legítimo de aplicaciones autorizadas.
SIEM: Correlacionar logs de endpoints (Linux), logs de Azure AD (aplicaciones OAuth, acceso a Graph API), y logs de correo electrónico (filtrado de phishing) para identificar patrones de ataque.
Hunting Manual: Buscar en sistemas Linux la presencia del directorio ~/.config/systemd/user/userservice, procesos con nombre "Conky" que no sean el legítimo, y archivos con extensiones engañosas (.pdf que son binarios ELF).

Referencias y Fuentes

Ahmed, D. (2026, 23 de abril). Harvester APT Expands Spying Operations with New GoGra Linux Malware. Hackread.com. (Artículo proporcionado por el usuario).
Symantec (Broadcom). (2026). Harvester APT: GoGra Linux Backdoor Analysis. (Investigación citada en el artículo).
Carbon Black (VMware). (2026). Graphon and GoGra: Shared Typos Reveal Common Attribution. (Investigación citada en el artículo).
MITRE ATT&CK Framework. Enterprise Matrix. (Para mapeo de TTPs).

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-04-24	1.0	Fernando Vargas	Creación inicial de la entrada basada en el análisis de Symantec y Carbon Black sobre Harvester APT y GoGra.

Indicadores de Compromiso (IOCs)

Tipo	Valor
Nombre del Grupo	Harvester APT (estado-nación, activo desde junio 2021)
Malware (Linux)	GoGra (backdoor escrito en Go)
Malware (Windows)	Graphon (backdoor asociado, predecesor)
Lenguaje de Programación	Go (Golang)
Señuelos de Phishing	"Zomato Pizza.pdf", "umrah.pdf", "TheExternalAffairesMinister.pdf"
Técnica de Suplantación	Espacio minúsculo entre nombre y extensión `.pdf` (double file extension masquerading)
Dropper	Go dropper que muestra PDF falso
Ruta de Instalación	`~/.config/systemd/user/userservice`
Persistencia	systemd service (camuflado como "Conky")
Canal C2	Microsoft Graph API (`graph.microsoft.com`) y buzones de Outlook
Credenciales Robadas	Azure AD: tenant ID, client ID, client secret
Protocolo C2	HTTPS, OData queries
Línea de Asunto (Input)	"Input" (correos con comandos cifrados AES-CBC)
Línea de Asunto (Output)	"Output" (correos con resultados)
Mecanismo de Limpieza	DELETE command (eliminar correos originales)
Frecuencia de Sondeo	Cada 2 segundos
Errores Tipográficos Compartidos	`"ExcuteCommand"` (por "ExecuteCommand"), `"error occured"` (por "error occurred")
Regiones Afectadas	India, Afganistán (previamente Windows, ahora Linux)
Comportamiento Anómalo (Procesos)	Procesos que pretenden ser "Conky" pero con comportamiento no normal
Comportamiento Anómalo (Archivos)	Archivos en `~/.config/systemd/user/userservice`
Comportamiento Anómalo (Red)	Conexiones TLS frecuentes (cada 2 segundos) a `graph.microsoft.com` desde sistemas Linux no corporativos
Comportamiento Anómalo (Correo)	Consultas OData anómalas a buzones de Outlook con alta frecuencia

Etiquetas / Categorías

harvester-apt apt state-sponsored gogra graphon linux-malware golang microsoft-graph outlook-c2 azure-ad aes-cbc odata spearphishing south-asia india afghanistan zomato umrah symantec carbon-black conky systemd ciberwiki deeba-ahmed hackread cyber-espionage backdoor