Están utilizando de nuevo versiones modificadas de PuTTY, un programa de acceso remoto, como caballo de Troya para infiltrarse en redes corporativas y robar datos, evadiendo la detección de los sistemas de seguridad, la aplicación legítima sirve de camuflaje.

Si gestionas servidores o redes, es casi seguro que el icono de los dos ordenadores conectados te resulte familiar. Y es que PuTTY es el cliente SSH por excelencia, puesto que es gratuito, ligero y omnipresente.

Sirve para conectar ordenadores Windows con servidores remotos, generalmente Linux, y ejecutar comandos de forma segura, por lo que es una de las herramientas más populares y completas del mercado. Sin embargo, su virtud es ahora su condena.

Los ciberdelincuentes han convertido este software esencial en el camuflaje perfecto para infiltrarse en la infraestructura de las empresas, incluso de los ordenadores personales, sin que salten las alarmas de los antivirus.

El problema no reside necesariamente en el software, sino en cómo se utiliza. Al ser una herramienta firmada digitalmente, los atacantes la emplean para moverse por los sistemas, una técnica conocida como Living off the Land.

Uftilizan ejecutables legítimos de PuTTY.

Cabe mencionar que los ciberdelincuentes saben que introducir malware personalizado es arriesgado; es fácil de detectar. En su lugar, prefieren usar lo que ya se tiene instalado.

Por ello, utilizan ejecutables legítimos de la suite PuTTY, como plink.exe (la interfaz de línea de comandos) o pscp.exe (para transferencia de archivos). Con estos binarios, establecen túneles SSH inversos.

Esto les permite exfiltrar datos sensibles o acceder a segmentos protegidos de la red, haciendo pasar el tráfico por una conexión administrativa aparentemente normal, pero para las empresas, es una fuga de datos activa.

La intrusión suele ser silenciosa, y los atacantes se esfuerzan por borrar sus huellas eliminando los registros de eventos (logs) del sistema antes de salir. Creen que así desaparecen, pero se equivocan.

El experto en ciberseguridad Maurice Fielenbach ha revelado un fallo en la operación, que está en la memoria de la propia herramienta. Aunque limpien los logs de Windows, PuTTY guarda automáticamente un historial de las conexiones exitosas en el Registro de Windows para facilitar futuros accesos.

Fielenbach demostró que la ruta HKCU\Software\SimonTatham\PuTTY\SshHostKeys actúa como una caja negra. Allí se almacenan las direcciones IP de los servidores atacados, los puertos utilizados y las firmas digitales de las llaves de host.

Al cruzar estos datos del registro con los flujos de tráfico de la red, se puede identificar qué máquinas fueron comprometidas y hacia dónde se movieron los datos, incluso si los atacantes borraron los archivos de registro tradicionales.

Se han detectado nuevas versiones manipuladas de PuTTY

Es importante mencionar que la amenaza ha evolucionado rápidamente este año. Ya no se trata solo de usar el PuTTY instalado; los criminales están distribuyendo versiones "troyanizadas".

A través de webs falsas que imitan a la oficial, engañan a los técnicos para que descarguen un software que parece PuTTY, funciona como PuTTY, pero incluye códigos maliciosos.

Estas versiones modificadas despliegan malware como la puerta trasera Oyster. Un malware que permite la persistencia en la red, facilitando la exfiltración de información mediante solicitudes HTTP POST ocultas.

Además, la explotación de vulnerabilidades recientes como la CVE-2024-31497 permite a los atacantes recuperar claves privadas P-521, otorgándoles acceso indefinido si no aplicas los parches de seguridad de inmediato.

La lección es dura, pero necesaria, porque no puedes confiar ciegamente ni siquiera en tus herramientas de trabajo diarias. La seguridad como los antivirus ya no basta; necesitas auditar lo que ocurre dentro.

Para blindarte, debes limitar el uso de binarios como plink.exe exclusivamente a usuarios y rutas autorizadas. La rotación frecuente de claves SSH es innegociable para cortar el acceso a credenciales comprometidas.

Y, sobre todo, incorpora la vigilancia del Registro de Windows a tus escaneos de seguridad. Los atacantes pueden borrar los logs, pero a menudo olvidan que el propio software que utilizan está escribiendo los movimientos en el registro de tu sistema