Una nueva campaña de amenazas está dirigida a usuarios de Windows en la India, disfrazando archivos maliciosos como documentos oficiales de impuestos sobre la renta.

Los investigadores han rastreado la operación bajo el nombre TAX#TRIDENT, y ha demostrado la capacidad de pivotar a través de múltiples métodos de entrega manteniendo intacto el mismo y convincente señuelo fiscal.

El ataque no se basa en ninguna vulnerabilidad técnica. Solo necesita que tú creas que el archivo es real.

La campaña utiliza páginas falsas de evaluación del impuesto sobre la renta de la India creadas para empujar a los usuarios a descargar lo que parece ser una notificación oficial.

Una vez que alguien llega a la página, ve un botón de descarga de lo que parece ser un documento gubernamental importante. Detrás de ese botón hay un archivo malicioso capaz de comprometer totalmente un sistema Windows.

Los avisos fiscales crean urgencia y pueden llegar plausiblemente a personas en roles financieros, legales, de recursos humanos o ejecutivos.

Securonix Threat Research, en un informe compartido con Cyber Security News (CSN), afirmó que TAX#TRIDENT ejecuta tres cadenas de infección distintas.

Las tres comienzan con la misma temática fiscal falsa, pero divergen después de eso, otorgando al atacante la flexibilidad de cambiar de ruta si una es bloqueada. Los investigadores Shikha Sangwan, Akshay Gaikwad y Aaron Beardslee lideraron el análisis.

Lo que hace que esta campaña sea difícil de detener es que abusa de software firmado y de aspecto legítimo, en lugar de archivos maliciosos obvios.

Dos de las tres ramas terminan con un cliente de gestión remota firmado llamado ClientSetup, otorgando a los atacantes acceso persistente a la máquina infectada.

La tercera rama inscribe silenciosamente el dispositivo de la víctima en un agente real de ManageEngine UEMS apuntando a un servidor controlado por el atacante. Las herramientas que dependen únicamente de firmas de archivos pueden pasar por alto las tres rutas.

La campaña continúa expandiéndose mientras mantiene activas las rutas de entrega anteriores. Lo que cambia con cada ola es la ruta de entrega, el señuelo y la carga útil final. Esa adaptabilidad es lo que convierte a TAX#TRIDENT en una amenaza persistente.

Cómo las páginas fiscales falsas entregan malware

La primera ruta de infección comienza en zyisykm.shop, un sitio falso del Impuesto sobre la Renta de la India. Al hacer clic en el botón de descarga, se obtiene un archivo ZIP llamado Assessment Letter.zip que contiene un ejecutable de Windows firmado que instala un cliente de gestión remota completo.

El atacante incrusta la dirección del servidor directamente dentro del nombre del archivo, por lo que el instalador lee su propio nombre y escribe ese valor en la configuración local.

Tras la ejecución, el instalador crea un directorio oculto bajo una carpeta del sistema Windows y deposita un svchost.exe falso junto con archivos de controlador llamados YtMiniFilter y ytdisk.

Una segunda ruta utiliza un archivo VBScript llamado Assessment_Order.vbs, servido a través de múltiples dominios fiscales falsos, que se relanza silenciosamente, muestra una imagen fiscal de señuelo e instala la misma carga útil de ClientSetup en segundo plano.

A pesar de los diferentes dominios y valores de servidor, ambos ejecutables comparten exactamente el mismo hash SHA256, confirmando que la carga útil central es la misma en ambas cadenas.

Quienes se encarguen de la defensa no deben confiar únicamente en las listas de bloqueo de dominios o nombres de archivos. Señales conductuales más fuertes incluyen nombres de archivos con direcciones IP, directorios ocultos bajo carpetas del sistema, svchost.exe ejecutándose desde rutas no estándar y tráfico saliente en los puertos 6671, 6681 y 6683.

Cuando las herramientas firmadas se convierten en el arma

La tercera cadena abandona ClientSetup por completo. Una URL con apariencia de PHP en xhxz.info/download.php devuelve un VBScript en lugar de una página web, preparando archivos posteriores desde buckets de Amazon S3.

Un archivo llamado uacMC.png no es una imagen, sino un script que reduce silenciosamente la configuración de UAC, eliminando las solicitudes de elevación antes de que se ejecute la carga útil final.

La cadena descarga un agente completo de ManageEngine UEMS y lo instala silenciosamente sin interfaz visible. Un archivo de configuración llamado DCAgentServerInfo.json apunta el agente legítimo a un servidor del atacante en 202.61.160.201 en el puerto 8383.

El agente está firmado y es válido, pero su destino ha sido secuestrado, convirtiendo una herramienta empresarial confiable en un canal silencioso de acceso remoto.

Securonix recomienda evitar las descargas de enlaces de impuestos o sanciones no solicitados, independientemente de lo oficiales que parezcan.

Los equipos de seguridad deben monitorear los motores de script que ejecutan archivos con extensiones de estilo web, alertar sobre svchost.exe ejecutándose desde directorios inusuales y marcar los cambios en la política de UAC donde ConsentPromptBehaviorAdmin esté configurado en cero.

La detección debe centrarse en señales conductuales más que en hashes, ya que esta campaña rota su infraestructura mientras mantiene sus tácticas centrales sin cambios.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desinfectados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.