Uno de los grupos de hackers respaldados por estados más peligrosos del mundo está atacando activamente servidores de Protocolo de Escritorio Remoto (RDP) en infraestructuras críticas, organizaciones de defensa y agencias gubernamentales. El actor de amenazas, conocido como APT-C-13 y ampliamente rastreado como Sandworm, APT44, Seashell Blizzard y Voodoo Bear, ha estado llevando a cabo operaciones cibernéticas desde al menos 2009. 

Uno de los grupos de hacking respaldados por estados más peligrosos del mundo está atacando activamente servidores de Protocolo de Escritorio Remoto (RDP) en infraestructuras críticas, organizaciones de defensa y agencias gubernamentales.

El actor de amenazas, conocido como APT-C-13 y ampliamente rastreado como Sandworm, APT44, Seashell Blizzard y Voodoo Bear, ha estado realizando operaciones cibernéticas desde al menos 2009.

Su última campaña, sin embargo, marca un cambio brusco en la estrategia: se aleja de los ataques destructivos y puntuales para adoptar una infiltración silenciosa y a largo plazo, diseñada para recolectar inteligencia durante períodos extendidos.

El punto de entrada de la campaña es una imagen ISO disfrazada llamada Microsoft.Office.2025x64.v2025.iso, distribuida a través de canales de Telegram y comunidades de cracking de software en Ucrania.

Cuando una víctima monta la imagen e intenta instalar o activar lo que parece ser Microsoft Office, ejecutables ocultos disfrazados como auto.exe o setup.exe se lanzan silenciosamente en segundo plano.

Este truco de ingeniería social funciona porque las personas confían naturalmente en nombres de software familiares. Una vez activado, el cargador inicial analiza el sistema objetivo y despliega selectivamente módulos maliciosos adicionales.

Analistas de Weixin en el Centro de Inteligencia de Amenazas 360 identificaron esta campaña y confirmaron que APT-C-13 está desplegando un marco de penetración modular conocido como la serie Tambur/Sumbur/Kalambur.

Los investigadores describen el cambio general del grupo como una transición de la "disrupción instantánea" al "parasitismo persistente impulsado por inteligencia", una evolución calculada observada entre 2024 y 2026.

Una víctima confirmada fue un técnico de una planta estatal ucraniana de construcción naval y fabricación de maquinaria, donde los atacantes ya habían establecido acceso encubierto y profundo.

El impacto de esta campaña es grave y de gran alcance. Dado que la cadena de ataque abusa principalmente de herramientas legítimas de Windows —incluyendo tareas programadas, SSH, PowerShell y RDP—, las soluciones antivirus estándar a menudo no generan alertas.

El grupo ya no tiene prisa; se instala silenciosamente y permanece durante meses, extrayendo lentamente datos sensibles desde el entorno de confianza de la organización.

Lo que hace esto especialmente preocupante es que, para cuando la mayoría de las organizaciones se dan cuenta de que algo anda mal, los atacantes probablemente ya hayan alcanzado sus objetivos.

Persistencia mediante el secuestro de RDP y túneles encubiertos

El aspecto técnico más alarmante de esta campaña es cómo los atacantes se afianzan y permanecen ocultos durante períodos prolongados.

El módulo Tambur establece persistencia mediante la creación de tareas programadas llamadas "Tambur" y "Protector" dentro de la ruta \Microsoft\Windows\WDI\Protector\, un directorio diseñado para parecerse exactamente a un componente nativo de la Infraestructura de Diagnóstico de Windows.

Estas tareas se ejecutan con privilegios de administrador completos y utilizan una contraseña codificada (1qaz@WSX) para mantener acceso constante e ininterrumpido al servicio RDP en el host infectado.

Los módulos Kalambur y Sumbur extienden este control aún más al enrutar todo el tráfico de comando y control (C2) a través de la red anónima Tor, enmascarando efectivamente la ubicación real del atacante.

Mediante túneles inversos SSH, el atacante mapea el puerto RDP de la víctima (3389) a un servidor C2 remoto, permitiendo inicios de sesión remotos silenciosos desde cualquier parte del mundo.

Sumbur, la iteración más refinada de este marco, imita el servicio de actualización de Microsoft Edge: almacena scripts VBS maliciosos en un directorio falso de actualización de Edge y los activa cada cuatro horas para mezclarse sin problemas con la actividad normal del software.

Para completar el ataque, el módulo DemiMur inyecta un certificado raíz falsificado (DemiMurCA.crt) en el almacén de certificados de confianza del sistema.

A partir de ese momento, Windows trata todas las cargas maliciosas posteriores como completamente confiables y firmadas.

Combinado con exclusiones forzadas de Microsoft Defender que cubren todo el disco C, la capa de seguridad nativa del host queda completamente neutralizada, dejando a los atacantes con un entorno operativo limpio y no detectado.

Las organizaciones deben bloquear inmediatamente herramientas de activación de terceros e imágenes ISO no autorizadas que ingresen a sus redes, ya que estas sirven como el principal canal de entrega de este ataque.

El comportamiento interno de la red —incluyendo la creación de tareas programadas, modificaciones en el registro y ejecución de PowerShell— debe ser monitoreado de cerca en busca de signos de manipulación. La seguridad de los endpoints debe mantenerse completamente actualizada con escaneos integrales regulares.

Instituciones clave y organizaciones industriales también deben fortalecer sus prácticas de auditoría interna y crear reglas de detección específicas que apunten a actividades anómalas de RDP y SSH para prevenir el robo de inteligencia a largo plazo.