Un grupo de amenazas recientemente identificado, UNC6692, ha sido descubierto ejecutando una sofisticada campaña de intrusión en múltiples etapas que utiliza la suplantación de identidad en Microsoft Teams, un conjunto de malware modular personalizado y el abuso de infraestructura en la nube para penetrar profundamente en las redes empresariales, todo ello sin explotar una sola vulnerabilidad de software. El Grupo de Inteligencia de Amenazas de Google (GTIG) y los investigadores de Mandiant revelaron la campaña el 22 de abril

Un grupo de amenazas recientemente identificado, UNC6692, ha sido descubierto ejecutando una sofisticada campaña de intrusión en múltiples etapas que utiliza la suplantación de identidad en Microsoft Teams, un conjunto de malware modular personalizado y el abuso de infraestructura en la nube para penetrar profundamente en redes empresariales, todo sin explotar ni una sola vulnerabilidad de software.

El Grupo de Inteligencia de Amenazas de Google (GTIG) y los investigadores de Mandiant revelaron la campaña el 22 de abril de 2026, mostrando cómo UNC6692 manipula sistemáticamente la confianza de los empleados en herramientas empresariales cotidianas para obtener acceso completo a nivel de dominio.

A finales de diciembre de 2025, UNC6692 lanzó una campaña masiva de bombardeo de correos electrónicos contra sus objetivos, inundando deliberadamente las bandejas de entrada para crear una sensación de urgencia y confusión.

Con las víctimas abrumadas y distraídas, el actor de amenazas asestó el golpe crítico enviando un mensaje de phishing directamente a través de Microsoft Teams, haciéndose pasar por un empleado del servicio de asistencia técnica de TI que ofrecía ayuda con el volumen de correos.

Esta técnica no es una explotación de día cero ni un fallo de software. Como señaló Microsoft en su propio aviso de abril de 2026, la campaña abusa de las funciones legítimas de colaboración externa en Teams, con los atacantes convenciendo a los usuarios de ignorar múltiples advertencias de seguridad claramente presentadas.

Las víctimas aceptaron la invitación de chat de Teams desde una cuenta fuera de su organización, una acción aparentemente menor con consecuencias catastróficas.

Cadena de infección: del chat de Teams al compromiso total

Una vez en contacto, el atacante dirigió a la víctima a hacer clic en un enlace para instalar un "parche local" que supuestamente evitaba el spam de correos. El enlace llevaba a una página de phishing convincente que se hacía pasar por una "Herramienta de Reparación y Sincronización de Buzones v2.1.5", alojada en un bucket de AWS S3 controlado por el atacante, según Google.

La página implementaba un pipeline de ataque en múltiples fases:

• Fase 1 – Control de entorno: Un script de comprobación verificaba la URL en busca de un parámetro obligatorio ?email= y forzaba a las víctimas a usar Microsoft Edge mediante el esquema URI microsoft-edge:, asegurando que los exploits fueran más efectivos.
• Fase 2 – Recolección de credenciales: Una falsa "Comprobación de Salud" activaba un aviso de autenticación que rechazaba los dos primeros intentos de contraseña por diseño — un truco psicológico de "doble entrada" para garantizar la captura de credenciales sin errores tipográficos antes de exfiltrarlas a un bucket de S3.
• Fase 3 – Secuencia de distracción: Una barra de progreso falsa mostraba mensajes como "Analizando datos de configuración" y "Verificando integridad del buzón" para enmascarar la exfiltración de datos en tiempo real en segundo plano.
• Fase 4 – Preparación del malware: Mientras la barra de progreso se ejecutaba, se descargaban un binario de AutoHotkey y un script desde AWS S3 y se ejecutaban automáticamente al aterrizar en el mismo directorio — instalando SNOWBELT, una extensión maliciosa de navegador Chromium que se hacía pasar por "MS Heartbeat" o "System Heartbeat".

El ecosistema de malware SNOW

El conjunto de herramientas de UNC6692, denominado ecosistema SNOW, es un marco modular coordinado de tres componentes:

SNOWBELT mantenía la persistencia a través de un acceso directo en la carpeta de Inicio de Windows, dos tareas programadas y un proceso de Microsoft Edge sin cabeza que cargaba silenciosamente la extensión.

SNOWGLAZE enmascaraba el tráfico malicioso envolviendo los datos en objetos JSON codificados en Base64 sobre WebSockets, haciendo que pareciera tráfico web cifrado estándar.

Tras establecer el acceso inicial, UNC6692 ejecutó un script de Python a través de SNOWBASIN para escanear la red local en busca de los puertos abiertos 135, 445 y 3389. Utilizando sesiones de PsExec enrutadas a través del túnel SNOWGLAZE, los atacantes enumeraron cuentas de administrador local e iniciaron una sesión de RDP a un servidor de respaldo.

En el servidor de respaldo, el actor de amenazas utilizó el Administrador de Tareas de Windows para volcar la memoria del proceso LSASS, capturando hashes de contraseñas, y exfiltró el volcado mediante LimeWire.

Con los hashes en su poder y fuera de la red de forma segura, el atacante realizó una extracción de credenciales sin conexión, luego utilizó Pass-the-Hash para autenticarse directamente en los controladores de dominio sin necesidad de contraseñas en texto claro.

En el controlador de dominio, el atacante descargó FTK Imager, montó la unidad local y extrajo la base de datos de Active Directory (NTDS.dit), SAM, SYSTEM y las colmenas del registro SECURITY, las joyas de la corona de cualquier entorno empresarial Windows.

Estos también fueron exfiltrados mediante LimeWire. La telemetría de EDR capturó al atacante tomando capturas de pantalla específicas de las ventanas activas de FTK Imager y Edge, confirmando la finalización de la misión.

Una característica definitoria de la campaña de UNC6692 es su abuso sistemático de servicios legítimos en la nube para cada etapa del ataque: entrega de payloads, exfiltración de credenciales, infraestructura C2 y preparación de datos, todo lo cual dependió de plataformas confiables como AWS S3 y Heroku.

Esta estrategia de "vivir de la nube" permite que el tráfico malicioso se mezcle con altos volúmenes de tráfico web cifrado y de fuentes reputadas, haciendo que los filtros de reputación de dominio y las listas de bloqueo basadas en IP sean en gran medida ineficaces.

Los defensores deben ampliar la visibilidad más allá del monitoreo tradicional de procesos para incluir la actividad de extensiones de navegador, el tráfico de salida no autorizado a la nube y los procesos de navegador sin cabeza.

De manera crítica, las organizaciones deberían restringir o monitorear de cerca la configuración de acceso externo de Microsoft Teams para evitar que inquilinos desconocidos inicien sesiones de chat con los empleados.

Como demuestra UNC6692, el eslabón más débil en la seguridad empresarial no siempre es un servidor mal configurado, sino un empleado que confía en un mensaje de Teams de alguien que afirma ser del departamento de TI.

Indicadores de Compromiso (IOCs)

• Patrón de URL de phishing: https://service-page-[ID]-outlook.s3.us-west-2.amazonaws.com/update.html?email=
• Servidor C2: wss://sad4w7h913-b4a57f9c36eb[.]herokuapp[.]com:443/ws
• Patrón de URL C2 de SNOWBELT: https://[a-f0-9]{24}-[0-9]{6,7}-[0-9]{1}.s3.us-east-2.amazonaws[.]com
• Clave VAPID de SNOWBELT: BJkWCT45mL0uvV3AssRaq9Gn7iE2N7Lx38ZmWDFCjwhz0zv0QSVhKuZBLTTgAijB12cgzMzqyiJZr5tokRzSJu0
• Archivos de suplantación: RegSrvc.exe (binario de AutoHotKey), Protected.ahk, SysEvents (directorio de extensión SNOWBELT).