Un actor de amenazas conocido como GrayCharlie ha estado comprometiendo sitios web de WordPress desde mediados de 2023, insertando silenciosamente JavaScript malicioso para distribuir malware a los usuarios que los visitan. El grupo tiene coincidencias con el clúster previamente rastreado como SmartApeSG, también llamado ZPHP o HANEMONEY. 

Un actor de amenazas conocido como GrayCharlie ha estado comprometiendo sitios web de WordPress desde mediados de 2023, insertando silenciosamente JavaScript malicioso para distribuir malware a los usuarios que los visitan.

El grupo tiene solapamiento con el clúster SmartApeSG, también llamado ZPHP o HANEMONEY. Su herramienta principal es NetSupport RAT, un troyano de acceso remoto que otorga a los atacantes control directo sobre las máquinas infectadas.

Además de NetSupport RAT, el grupo ha desplegado Stealc, un malware ladrón de información, y más recientemente SectopRAT, ampliando el alcance de lo que los atacantes pueden robar de los sistemas comprometidos.

La técnica central de GrayCharlie consiste en insertar una etiqueta script en el Document Object Model (DOM) de un sitio WordPress legítimo pero comprometido.

La etiqueta apunta a un archivo JavaScript externo alojado en servidores controlados por los atacantes. Cuando un visitante abre la página, el script analiza su navegador y sistema operativo antes de decidir qué mostrarle a continuación.

Las víctimas se encuentran con una falsa actualización de navegador convincente o un falso CAPTCHA al estilo ClickFix, ambos diseñados para que los usuarios instalen o ejecuten el malware sin darse cuenta.

Analistas de Recorded Future identificaron la infraestructura backend de GrayCharlie como vinculada principalmente a MivoCloud y HZ Hosting Ltd.

Los investigadores rastrearon dos clústeres principales de servidores C2 de NetSupport RAT, cada uno definido por patrones distintos de nombres de certificados TLS, claves de licencia y números de serie, desplegados de manera constante a lo largo de 2025.

El grupo administra servidores C2 a través del puerto TCP 443 y utiliza SSH para gestionar servidores de preparación, lo que ayuda a que su tráfico parezca normal. Los patrones de navegación desde infraestructuras de nivel superior sugieren que al menos algunos miembros de GrayCharlie hablan ruso.

Los ataques del grupo abarcan múltiples industrias a nivel global, aunque Estados Unidos sigue siendo su objetivo más frecuente. Se encontraron al menos quince sitios web de bufetes de abogados estadounidenses inyectados con el mismo JavaScript malicioso apuntando al mismo dominio de los atacantes.

Los investigadores creen que estos bufetes fueron comprometidos a través de un ataque a la cadena de suministro que involucra a SMB Team, una empresa de servicios de TI que atiende a numerosos bufetes en Norteamérica.

Aparecieron credenciales robadas vinculadas a una dirección de correo electrónico de SMB Team alrededor del momento en que el dominio malicioso se activó por primera vez.

Cómo infecta GrayCharlie los sistemas

Una vez que la víctima ejecuta el JavaScript de la falsa actualización, WScript inicia PowerShell, que descarga y extrae un cliente completo de NetSupport RAT en la carpeta AppData del usuario.

La cadena ClickFix funciona de manera similar: el usuario pega un comando proporcionado por los atacantes que recupera un archivo batch, instala el RAT y escribe una clave de ejecución en el Registro para mantener la persistencia en cada reinicio.

Los operadores se conectan a través del C2, realizan reconocimiento del sistema y pueden desplegar SectopRAT como carga útil secundaria.

Para reducir la exposición, los equipos de seguridad deberían bloquear las direcciones IP y dominios conocidos de GrayCharlie, implementar reglas de detección YARA, Snort y Sigma en plataformas SIEM o EDR, y monitorear los sitios WordPress en busca de inyecciones no autorizadas de scripts en el DOM.