Un actor de amenazas persistente conocido como Larva-26002 ha estado atacando de forma continua servidores Microsoft SQL (MS-SQL) mal gestionados, desplegando esta vez un nuevo malware escáner llamado ICE Cloud Client.

La campaña ha estado activa desde al menos enero de 2024 y continúa hasta 2026, con el atacante actualizando sus herramientas en cada ciclo. Lo que comenzó como una operación de ransomware ahora se ha orientado hacia el escaneo a gran escala de infraestructuras de bases de datos vulnerables.

En enero de 2024, el grupo dejó su primera huella al desplegar los ransomware Trigona y Mimic en servidores MS-SQL expuestos a internet con credenciales débiles.

Los atacantes explotaron la utilidad Bulk Copy Program (BCP) —una herramienta legítima de MS-SQL— para extraer y soltar malware directamente en los hosts comprometidos.

Herramientas como AnyDesk también fueron instaladas para acceso remoto, junto con reenviadores de puertos para conexiones RDP. Para 2025, el grupo había añadido Teramind, una herramienta de monitoreo y gestión remota (RMM), y cambió a un escáner escrito en Rust.

Analistas de ASEC identificaron una nueva ola de ataques en 2026 en la que el mismo actor de amenazas comprometió los mismos servidores MS-SQL que habían sido blanco en años anteriores.

Esta vez, el atacante desplegó ICE Cloud —un malware escáner escrito en el lenguaje de programación Go— un claro distanciamiento del escáner basado en Rust utilizado en 2025.

Las cadenas binarias incrustadas dentro de ICE Cloud están escritas en turco, un detalle que vincula directamente esta campaña con los ataques de ransomware Mimic de 2024. Este patrón de ataques repetidos apunta a una estrategia deliberada y a largo plazo contra servidores de bases de datos sin parches.

Lo que hace que esta campaña sea particularmente preocupante es el cambio de enfoque, dejando atrás el ransomware para centrarse en el escaneo.

Al construir un grupo creciente de servidores comprometidos que sondean silenciosamente otras bases de datos en busca de credenciales débiles, el actor de amenazas parece estar sentando las bases para algo más grande.

Los datos recopilados se envían al servidor C&C del atacante, proporcionando al grupo una imagen detallada de los activos de bases de datos expuestos en internet.

ICE Cloud Scanner: El Mecanismo de Infección

El ataque comienza cuando Larva-26002 identifica un servidor MS-SQL expuesto a internet con una mala higiene de contraseñas.

Tras obtener acceso mediante ataques de fuerza bruta o diccionario, el atacante ejecuta comandos del sistema como hostname, whoami y netstat -an para perfilar el host.

El malware se crea utilizando la utilidad BCP, que exporta un binario malicioso desde la tabla de la base de datos uGnzBdZbsi a una ruta local como api.exe, guiado por un archivo de formato llamado FODsOZKgAU.txt —una configuración que no ha cambiado desde 2024.

En sistemas donde BCP falla, el malware se descarga utilizando Curl o Bitsadmin a través de PowerShell.

El archivo api.exe, etiquetado como ICE Cloud Launcher, se conecta a un servidor C&C para autenticarse antes de descargar el escáner principal: ICE Cloud Client.

Una vez descargado, ICE Cloud Client se guarda bajo un nombre de archivo aleatorio para camuflarse como un programa legítimo.

El malware se registra en el servidor C&C, que le envía una lista de direcciones MS-SQL para atacar junto con un par de credenciales como ecomm/ecomm y la cadena de tarea TASK.

El escáner intenta iniciar sesión utilizando esas credenciales y reporta cualquier acceso exitoso al servidor.

Las cadenas binarias internas están escritas en turco e incluyen caracteres de emoji, lo que sugiere que el desarrollador pudo haber utilizado IA generativa para escribir partes del código.

Los administradores de bases de datos deben establecer contraseñas fuertes y difíciles de adivinar para todas las cuentas de MS-SQL y actualizarlas regularmente para evitar accesos por fuerza bruta.

Cualquier servidor MS-SQL expuesto a internet debe estar protegido detrás de un firewall que solo permita conexiones autorizadas.

También es importante mantener actualizado el software de seguridad de endpoints para que el malware conocido sea detectado antes de ejecutarse en el host.

Los administradores deben vigilar actividades inusuales de BCP, archivos inesperados como api.exe en C:\ProgramData\, o conexiones salientes no reconocidas, y tratar cualquier señal de este tipo como un posible compromiso que requiere investigación inmediata.