Una campaña de malware recién descubierta ha estado atacando silenciosamente a instituciones educativas y organizaciones de salud en los Estados Unidos desde al menos diciembre de 2025.

La amenaza, rastreada bajo la designación de actor “UAT-10027”, despliega una puerta trasera previamente desconocida llamada “Dohdoor”, que utiliza una combinación avanzada de técnicas de sigilo y entrega en múltiples etapas para obtener acceso persistente a los entornos de las víctimas.

La aparición de este malware señala una tendencia creciente de actores de amenazas sofisticados que cambian su enfoque hacia sectores que manejan datos personales sensibles pero que a menudo operan con recursos de seguridad limitados.

Dohdoor toma su nombre en parte de la técnica DNS-over-HTTPS (DoH) que utiliza para comunicarse con sus servidores de comando y control (C2), un método que convierte un protocolo de internet confiable en un canal de comunicaciones encubierto.

Al enrutar su tráfico C2 a través de la infraestructura DNS cifrada de Cloudflare, el malware hace que las comunicaciones salientes parezcan tráfico HTTPS normal, mezclándose con la actividad diaria de la red.

El actor de la amenaza refuerza aún más este engaño utilizando nombres de subdominio como “MswInSofTUpDloAd” y “DEEPinSPeCTioNsyStEM” para imitar solicitudes legítimas de actualización de software o verificaciones de seguridad.

La capitalización irregular en dominios de nivel superior no estándar —como “.OnLiNe”, “.DeSigN” y “.SoFTWARe”— ayuda a la campaña a eludir filtros automatizados de coincidencia de cadenas y defensas de listas de bloqueo.

Analistas de Cisco Talos identificaron esta campaña en curso y la atribuyeron a UAT-10027, señalando que el actor de la amenaza hace un mal uso de ejecutables legítimos de Windows, conocidos como living-off-the-land binaries (LOLBins), para cargar lateralmente el malware Dohdoor en sistemas comprometidos.

Los investigadores señalaron que la infraestructura de la campaña está cuidadosamente diseñada para evitar la atribución, con servidores C2 ocultos detrás de la red perimetral globalmente confiable de Cloudflare, lo que hace significativamente más difícil para los defensores interceptar y bloquear el tráfico.

La campaña fue detectada por primera vez a través de telemetría de descargas sospechosas observada por Talos, vinculándola a un patrón más amplio de intrusiones dirigidas en los sectores de educación y salud.

Se cree que el punto inicial de entrada involucra correos electrónicos de phishing que entregan un script de PowerShell a la máquina de la víctima.

Una vez ejecutado, este script utiliza curl.exe con una URL codificada para descargar un archivo por lotes malicioso de Windows —ya sea un archivo .bat o .cmd— desde un servidor de preparación remoto.

Esto desencadena un proceso de infección cuidadosamente secuenciado donde cada etapa allana el camino para la siguiente, minimizando la huella del malware en cualquier punto único en el tiempo.

Dentro del Mecanismo de Infección en Múltiples Etapas

El script por lotes —la segunda etapa de la cadena de ataque— actúa tanto como un dropper como una herramienta de limpieza.

Primero crea una carpeta de trabajo oculta en C:\ProgramData o C:\Users\Public, luego descarga una DLL maliciosa desde el servidor C2, disfrazándola bajo nombres que suenan legítimos como propsys.dll o batmeter.dll.

Ejecutables legítimos de Windows como Fondue.exe, mblctr.exe y ScreenClippingHost.exe son copiados en esta carpeta de trabajo y utilizados para cargar lateralmente y ejecutar la DLL maliciosa mediante una técnica llamada DLL sideloading.

Después de que el malware está en ejecución, el script por lotes borra sus propias huellas eliminando el historial de comandos de ejecución de la clave de registro RunMRU, limpiando los datos del portapapeles y eliminándose por completo —una táctica conocida como limpieza antiforense.

Una vez que Dohdoor está activo, resuelve la dirección IP del servidor C2 utilizando consultas DNS cifradas enviadas a través del puerto HTTPS 443, recibiendo respuestas JSON que analiza para extraer los datos de IP.

Luego descarga una carga útil cifrada, que es descifrada utilizando un algoritmo XOR-SUB personalizado con un cifrado dependiente de la posición antes de ser inyectada en procesos legítimos de Windows como OpenWith.exe y wab.exe mediante process hollowing.

Para evadir herramientas de detección y respuesta en endpoints (EDR), Dohdoor parchea los stubs de llamadas al sistema en ntdll.dll, eliminando efectivamente los hooks de monitoreo en los que confían los productos de seguridad.

La evidencia sugiere que la carga útil final es probablemente un Beacon de Cobalt Strike, basado en firmas de hash JA3S coincidentes encontradas en la infraestructura C2.

Talos evalúa con baja confianza que UAT-10027 podría tener vínculos con el grupo Lazarus de Corea del Norte, citando técnicas de descifrado superpuestas, métodos de desenganche de NTDLL y patrones de nombres de dominio.

Se recomienda encarecidamente a las organizaciones en los sectores de educación y salud que bloqueen la actividad sospechosa de LOLBins, monitoreen el tráfico HTTPS anómalo e implementen controles de seguridad DNS capaces de inspeccionar el tráfico DoH.

Aplicar las firmas de ClamAV Win.Loader.Dohdoor-10059347-0, Win.Loader.Dohdoor-10059535-0, Ps1.Loader.Dohdoor-10059533-0 y Ps1.Loader.Dohdoor-10059534-0, junto con las reglas Snort SIDs 65949–65951 (Snort 2) y 301407, 65949 (Snort 3), puede ayudar a detectar y bloquear esta amenaza.