Junio de 2025 trajo consigo una serie de ciberataques sofisticados y sigilosos que se apoyaron fuertemente en scripts ofuscados, el abuso de servicios legítimos y técnicas de entrega en múltiples etapas. Entre las amenazas clave observadas se encuentran: el uso de GitHub para alojar cargas maliciosas, códigos JavaScript ofuscados mediante «control flow flattening» que entregan el troyano Remcos, y scripts BAT que distribuyen el acceso remoto NetSupport RAT.
A continuación, un repaso de los tres ataques más relevantes según ANY.RUN y cómo plataformas de análisis dinámico como sandboxes interactivos pueden ayudar a detectarlos y entenderlos.
1. Braodo Stealer: Abuso de GitHub para Alojar Cargas Maliciosas
Una campaña reciente que distribuye el «Braodo Stealer» aprovecha repositorios públicos en GitHub, incluyendo archivos en formato RAW, para almacenar y distribuir sus cargas. Este «stealer» está diseñado para la exfiltración de datos y su detección inicial fue baja. Los archivos BAT utilizados contienen comentarios que buscan confundir el análisis estático.
Herramientas de análisis dinámico permiten seguir paso a paso la cadena de ejecución, revelando comportamientos ocultos. En este caso, el primer archivo BAT ejecuta PowerShell de forma oculta, descarga un segundo archivo desde GitHub (disfrazado como imagen .PNG) y lo ejecuta desde la carpeta %temp%.
Este segundo archivo lanza un nuevo script PowerShell que elimina rastros anteriores, aplica TLS 1.2, descarga otra carga desde raw.githubusercontent[.]com y guarda un ZIP malicioso en la carpeta de inicio. Finalmente, la carga se ejecuta con python.exe, tras lo cual se eliminan archivos para dificultar el análisis posterior.
El análisis de amenazas relacionadas con Braodo puede realizarse buscando muestras recientes y observando sus indicadores de compromiso (IOCs).
2. JavaScript Ofuscado con Control Flow Flattening para Entregar Remcos
Otra amenaza detectada en junio fue el uso de JavaScript malicioso con una técnica de ofuscación conocida como control-flow flattening. Esta técnica reorganiza el flujo lógico del script con bucles y funciones autoejecutables que dificultan la comprensión del código.
El script malicioso:
- Invoca PowerShell mediante ActiveXObject.
- Crea un objeto WebClient.
- Descarga una carga binaria.
- La ejecuta usando MSBuild para instalar el troyano Remcos.
Este patrón se ha vuelto común en ataques multietapa. Consultas como commandLine:»powershell» and fileExtension:»js» permiten identificar scripts que combinan comandos de sistema y extensiones de script sospechosas.
3. Script BAT Ofuscado para Distribuir NetSupport RAT
Los atacantes continúan utilizando archivos BAT para evadir la detección. En este caso, un script BAT ofuscado descarga y ejecuta client32.exe, instalando el RAT NetSupport, una herramienta legítima de soporte remoto abusada con fines maliciosos.
La cadena de ejecución:
- cmd.exe ejecuta un BAT que lanza PowerShell.
- PowerShell descarga client32.exe.
- El malware se configura para autorun mediante reg.exe.
- Crea una carpeta «Options» en %APPDATA%, descarga un archivo ZIP, lo extrae y ejecuta.
- Elimina archivos temporales tras la ejecución.
Indicadores como commandLine:»AppData\\Roaming\\Options» permiten rastrear comportamientos similares en entornos comprometidos.
Consideraciones Finales
Los incidentes de junio de 2025 evidencian una tendencia clara: los atacantes perfeccionan el uso de técnicas de evasión como la ofuscación, el abuso de servicios legítimos y las cadenas de ejecución por etapas. Esto subraya la necesidad de herramientas de análisis dinámico, pero también de un enfoque estratégico, con equipos capaces de interpretar y actuar con rapidez.
En CronUp Ciberseguridad, ayudamos a las organizaciones a enfrentar estos desafíos mediante monitoreo activo, pruebas técnicas y entrenamiento continuo para sus equipos. Si necesitas fortalecer tu capacidad de respuesta ante amenazas emergentes, conversemos.
Contáctanos para una evaluación personalizada de tus capacidades defensivas.
Referencia:
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
