El grupo de amenaza persistente avanzada Cloud Atlas ha sido detectado utilizando una técnica peligrosa para secuestrar sistemas Windows sin alertar a la red. El grupo modifica el archivo central de Windows termsrv.dll para habilitar múltiples sesiones simultáneas del Protocolo de Escritorio Remoto (RDP), lo que permite a los atacantes operar en segundo plano en la computadora de la víctima.

Un conocido grupo de amenaza persistente avanzada llamado Cloud Atlas ha sido pillado utilizando una técnica peligrosa para secuestrar sistemas Windows sin alertar a nadie en la red.

El grupo modifica un archivo central de Windows llamado termsrv.dll para desbloquear múltiples sesiones simultáneas del Protocolo de Escritorio Remoto (RDP) en el ordenador de la víctima. Esto permite que los atacantes trabajen en segundo plano mientras un usuario legítimo permanece conectado, lo que hace que la detección sea mucho más difícil para los equipos de seguridad.

Cloud Atlas ha estado activo al menos desde 2014 y, durante el último año, el grupo ha intensificado los ataques contra agencias gubernamentales y organizaciones diplomáticas, particularmente en Rusia y Bielorrusia.

Las campañas se han vuelto más sofisticadas, mezclando trucos de phishing con nuevas herramientas diseñadas para permanecer ocultas el mayor tiempo posible. El grupo combina utilidades como Tor, SSH y RevSocks con malware personalizado para hacer que la detección sea especialmente difícil.

Investigadores de Securelist identificaron esta última ola de actividad, señalando que el conjunto de herramientas del grupo se expandió significativamente en la segunda mitad de 2025 y a principios de 2026.

Securelist dijo en un informe compartido con Cyber Security News (CSN) que los atacantes se dirigen a instituciones estatales y organismos diplomáticos, utilizando técnicas nuevas y ya establecidas para mantener un acceso persistente dentro de las redes comprometidas.

El punto de entrada inicial en la mayoría de los casos fue un correo electrónico de phishing que contenía un archivo ZIP con un acceso directo malicioso. Cuando la víctima abre el acceso directo, este ejecuta silenciosamente un script de PowerShell extraído de un servidor externo.

Ese script establece la persistencia, descarga un PDF señuelo para distraer al usuario, elimina los rastros de la infección y despliega cargas útiles que incluyen una puerta trasera llamada VBCloud y una herramienta de reconocimiento llamada PowerShower.

Una vez dentro de una red, el grupo se mueve lateralmente y ejecuta la modificación de termsrv.dll. Esto les permite mantener el acceso sin forzar la desconexión de ningún usuario existente, reduciendo la probabilidad de que alguien note que algo va mal.

Los atacantes también configuran túneles SSH inversos como canales de respaldo, por lo que incluso si se encuentra la puerta trasera principal, aún pueden llegar a la máquina comprometida.

El Grupo APT Cloud Atlas Modifica termsrv.dll

El arma clave en esta campaña es un script de PowerShell llamado rdp_new.ps1 que modifica directamente termsrv.dll en Windows 10.

Termsrv.dll controla cómo se comporta el servicio de Escritorio Remoto y, por defecto, Windows limita el sistema a una sola sesión de RDP concurrente. El script primero añade una regla de firewall para permitir el tráfico RDP y relaja los ajustes de seguridad de acceso remoto antes de tocar el archivo.

El script toma la propiedad de termsrv.dll, se concede a sí mismo todos los derechos de acceso y reemplaza una secuencia de bytes específica para eliminar la restricción de sesión única. Después de aplicar el parche, el servicio RDP se reinicia y el cambio surte efecto.

Los atacantes pueden entonces conectarse remotamente mientras el usuario legítimo sigue trabajando, sin que ninguna de las partes interrumpa a la otra. Esta técnica es peligrosa porque se dirige a un archivo del sistema de Windows confiable en lugar de a una herramienta de terceros obviamente sospechosa.

El monitoreo estándar podría no señalar cambios en una DLL del sistema existente, lo que otorga a los atacantes una amplia ventana para operar dentro de un host infectado sin activar las alarmas.

Túneles SSH Inversos y Persistencia en Capas

Cloud Atlas organiza su acceso desplegando túneles SSH inversos junto con la manipulación de RDP. Una máquina comprometida inicia una conexión SSH saliente hacia un servidor controlado por el atacante, evadiendo la mayoría de las reglas de firewall que bloquean las conexiones entrantes.

Dado que la conexión comienza desde el interior de la red, aparece como tráfico saliente normal para muchos sistemas de monitoreo de seguridad.

Para mantener los túneles activos, el grupo utiliza scripts VBS ejecutados a través de PAExec o PsExec y los programa como tareas de Windows para el reinicio automático.

En algunos casos, el grupo también desplegó RevSocks, una herramienta de proxy basada en Go, y utilizó Tor para enrutar el acceso RDP a través de direcciones .onion ocultas. Estos canales en capas significan que eliminar un método de acceso no garantiza que los atacantes hayan sido completamente expulsados.

Los equipos de seguridad deberían monitorizar cambios inesperados en termsrv.dll, revisar las modificaciones del Firewall de Windows y auditar las tareas programadas en busca de entradas de VBS o PowerShell desconocidas.

Vigilar las conexiones SSH salientes inusuales y bloquear dominios maliciosos conocidos en el perímetro de la red también son pasos críticos para reducir la exposición a esta amenaza continua.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Hash MD5	1A11B26DD0261EF27A112CE8B361C247	rdp_new.ps1 — script de modificación de termsrv.dll
Hash MD5	5329F7BFF9D0D5DB28821B86C26D628F	Script de verificación de navegador compilado vía PS2EXE
Ruta de archivo	C:\Users[nombre_usuario]\Pictures\googleearth.ps1	Ruta de persistencia de PowerShower
Ruta de archivo	C:\Windows\wininet.exe	Ruta del malware PowerCloud
Ruta de archivo	C:\Windows\LiveKernelReports\update.exe	Ruta del malware PowerCloud
Ruta de archivo	C:\Windows\ime\imejp\dicts\i39884.exe	Ruta del malware PowerCloud
Ruta de archivo	C:\Windows\pla\reports.exe	Ruta del malware PowerCloud
Ruta de archivo	C:\Windows\pla\reports\winlog.exe	Ruta del malware PowerCloud
Ruta de archivo	C:\Windows\System32\timecontrolsvc\vmnetdrv64.exe	Ruta de PowerCloud / RevSocks
Ruta de archivo	C:\Windows\branding\scat.exe	Ruta del malware PowerCloud
Ruta de archivo	C:\Windows\PLA\System\bounce.exe	Ruta del malware RevSocks
Ruta de archivo	C:\ProgramData\hp\client.exe	Ruta del malware RevSocks
Ruta de archivo	C:\Windows\INF\Run.vbs	Script de túnel VBS
Ruta de archivo	C:\Windows\INF\install.vbs	Script de túnel VBS
Ruta de archivo	C:\Windows\PLA\System\Gen.vbs	Script de túnel VBS (generación de clave)
Ruta de archivo	C:\Windows\PLA\System\Kill.vbs	Script de túnel VBS (eliminar SSH)
Ruta de archivo	C:\Windows\PLA\System\Run.vbs	Script de túnel VBS (ejecutar SSH)
Ruta de archivo	C:\Windows\PLA\System\conhosts.exe	Ejecutable SSH
Ruta de archivo	C:\Windows\INF\BITS\esentprf.exe	Ejecutable SSH
Dirección IP	194.102.104[.]207	Servidor C2 / túnel SSH
Dirección IP	46.17.45[.]56	Servidor C2 / túnel SSH
Dirección IP	46.17.45[.]49	Servidor C2 / túnel SSH
Dirección IP	46.17.44[.]125	Servidor C2 cliente Tor
Dirección IP	46.17.44[.]212	Servidor C2 cliente Tor
Dirección IP	185.22.154[.]73	Servidor C2 cliente Tor
Dirección IP	194.87.196[.]163	Servidor C2 cliente Tor
Dirección IP	195.58.49[.]99	Servidor C2 cliente Tor
Dirección IP	3.125.114[.]193	Servidor C2 cliente Tor
Dirección IP	3.125.114[.]57	Servidor C2 cliente Tor
Dirección IP	45.87.219[.]116	Servidor C2 cliente Tor
Dirección IP	37.228.129[.]224	Servidor C2 cliente Tor
Dirección IP	185.53.179[.]136	Servidor C2 cliente Tor
Dirección IP	185.126.239[.]77	Servidor C2 cliente Tor
Dirección IP	5.181.21[.]75	Servidor C2 cliente Tor
Dirección IP	146.70.53[.]171	Servidor C2 cliente Tor
Dirección IP	45.15.65[.]134	Servidor C2 cliente Tor
Dirección IP	185.250.181[.]207	Servidor C2 cliente Tor
Dirección IP	81.30.105[.]71	Servidor C2 cliente Tor
Dominio	tenkoff[.]org	Dominio de túnel SSH inverso / proxy SOCKS
Dominio	cloudguide[.]in	Dominio de túnel SSH inverso / proxy SOCKS
Dominio	goverru[.]com	Dominio de túnel SSH inverso / proxy SOCKS
Dominio	kufar[.]org	Dominio de túnel SSH inverso / proxy SOCKS
Dominio	ultimatecore[.]net	Dominio de túnel SSH inverso / proxy SOCKS
Dominio	spbnews[.]net	Dominio de túnel SSH inverso / proxy SOCKS
Dominio	onedrivesupport[.]net	Dominio de túnel SSH inverso / proxy SOCKS
Dominio	amerikastaj[.]com	Dominio de túnel SSH inverso / proxy SOCKS
Dominio	bigbang[.]me	Dominio de túnel SSH inverso / proxy SOCKS
Dominio	wizzifi[.]com	Dominio malicioso / comprometido en docs de Office
Dominio	totallegacy[.]org	Dominio malicioso / comprometido en docs de Office
Dominio	mamurjor[.]com	Dominio malicioso / comprometido en docs de Office
Dominio	landscapeuganda[.]com	Dominio malicioso / comprometido en docs de Office
Dominio	lafortunaitalian.co[.]uk	Dominio malicioso / comprometido en docs de Office
Dominio	kommando[.]live	Dominio malicioso / comprometido en docs de Office
Dominio	internationalcommoditiesllc[.]com	Dominio malicioso / comprometido en docs de Office
Dominio	humanitas[.]si	Dominio malicioso / comprometido en docs de Office
Dominio	fishingflytackle[.]com	Dominio malicioso / comprometido en docs de Office
Dominio	firsai.tipshub[.]net	Dominio malicioso / comprometido en docs de Office
Dominio	alnakhlah.com[.]sa	Dominio malicioso / comprometido en docs de Office
Dominio	allgoodsdirect.com[.]au	Dominio malicioso / comprometido en docs de Office
Dominio	agenciakharis.com[.]br	Dominio malicioso / comprometido en docs de Office
Dominio	istochnik[.]org	Dominio malicioso / comprometido en docs de Office
Dominio	znews[.]net	Dominio malicioso / comprometido en docs de Office
Dominio	iinvestika-club[.]com	Dominio malicioso / comprometido en docs de Office
Dominio	paleturquoise-dragonfly-364512.hostingersite[.]com	Dominio de alojamiento de carga útil de PowerShell

Nota: Las direcciones IP y los dominios han sido desestabilizados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/cloud-atlas-apt-group-modifies-termsrv-dll/