Se ha descubierto un nuevo marco de malware llamado TencShell, una herramienta sofisticada que permite a los atacantes obtener el control remoto total de los sistemas comprometidos. Este hallazgo revela que los ciberdelincuentes están adaptando herramientas ofensivas públicas para realizar intrusiones dirigidas.

Un marco de malware recién descubierto está generando graves alarmas en toda la comunidad de ciberseguridad. Los investigadores han identificado un implante previamente desconocido llamado TencShell, una herramienta sofisticada capaz de dar a los atacantes el control remoto total sobre un sistema comprometido.

El descubrimiento resalta cómo los actores de amenazas están reutilizando silenciosamente herramientas ofensivas disponibles públicamente para llevar a cabo intrusiones dirigidas con mucho menos esfuerzo que antes.

TencShell fue encontrado desplegado activamente contra una empresa manufacturera global con operaciones regionales distribuidas en varios países.

El ataque fue interceptado en la sede de la empresa en la India y rastreado hasta un usuario tercero con una conexión legítima al entorno interno del cliente.

Los atacantes explotaron ese acceso confiable como un puente, convirtiendo efectivamente una relación comercial rutinaria en un punto de entrada peligroso y altamente capaz.

Analistas de Cato Networks identificaron el intento de intrusión en abril de 2026 y lo bloquearon antes de que el atacante pudiera establecer un control remoto duradero.

Su investigación reveló una cadena de ataque cuidadosamente construida que involucraba cargas útiles (payloads) por etapas, tipos de archivos enmascarados y comunicación de comando y control diseñada específicamente para mezclarse con el tráfico web normal.

El vector de infección inicial sigue siendo desconocido, pero probablemente implicó phishing, una descarga maliciosa u otro método de entrega basado en la web.

Control de Pantalla, Bypass de UAC y Acceso a Artefactos del Navegador

TencShell deriva de Rshell, un marco de código abierto diseñado para el uso de seguridad ofensiva multiplataforma.

El actor de la amenaza lo personalizó y lo empaquetó de nuevo, añadiendo patrones de comunicación que imitan estrechamente el tráfico de API al estilo de Tencent para que las solicitudes maliciosas parezcan una actividad normal de la aplicación.

El nombre combina “Tenc” por esas rutas de C2 similares a Tencent y “Shell” por su comportamiento central de acceso remoto.

La preocupación general va más allá de este único incidente. Los atacantes ya no necesitan tuberías de desarrollo de malware personalizados para lograr una intrusión sofisticada.

Adaptar marcos ofensivos disponibles gratuitamente suele ser suficiente para construir una herramienta capaz y difícil de detectar, y esa realidad reduce la barrera para una gama mucho más amplia de actores de amenazas.

TencShell funciona como un marco completo de operador, y sus capacidades se extienden mucho más allá de la ejecución básica de comandos.

Los módulos de código recuperados confirman que el implante admite la captura de pantalla, la transmisión de pantalla en vivo a través de WebSocket y la simulación de teclado y ratón en tiempo real.

Funciones como SendInput, MouseClick, KeyTap y GetScreenWebSocket estaban integradas en la herramienta, otorgando al operador un control interactivo directo del host infectado.

El implante también incluye rutinas dedicadas para acceder a artefactos del navegador tanto de Chrome como de Microsoft Edge. Los opcodes recuperados confirman operaciones para leer y borrar sesiones guardadas, datos de inicio de sesión y cookies de ambos navegadores.

Esto crea un camino directo al robo de credenciales y al secuestro de sesiones para cualquier organización donde TencShell logre instalarse.

Un módulo de bypass de UAC, documentado bajo el opcode UAC_BYPASS, permite al atacante obtener privilegios elevados sin activar el aviso de seguridad estándar de Windows.

Combinado con el proxy SOCKS5, la carga de DLL, la transferencia de archivos y la persistencia a través de una clave de ejecución del registro disfrazada de “OneDriveHealthTask”, TencShell está hecho para un acceso sigiloso a largo plazo en lugar de un robo rápido.

Cadena de Infección y Método de Entrega de TencShell

El ataque siguió un patrón de entrega multietapa claro. Se ejecutó un dropper ligero de primera etapa después del acceso inicial, diseñado para mantenerse pequeño y descargar silenciosamente la siguiente carga útil mientras utilizaba un User-Agent falso para mezclar las solicitudes salientes con el tráfico normal.

Luego, el dropper recuperó lo que parecía ser un archivo de fuente web estándar con extensión .woff, el tipo que los sitios web usan habitualmente para cargar tipografías personalizadas.

Dentro de ese archivo se encontraba el shellcode de Donut, una herramienta de código abierto capaz de cargar cargas útiles de Windows directamente en la memoria, evitando la necesidad de escribir cualquier cosa en el disco.

Este disfraz ayuda a que la solicitud parezca una obtención rutinaria de activos del navegador en lugar de una operación de entrega de malware.

Tras la recuperación, el shellcode se cargó en una región de memoria, se marcó como ejecutable y se lanzó a través de un nuevo hilo dentro del proceso originario.

Donut luego mapeó reflexivamente TencShell en la memoria, completando la cadena y preparando el implante para la comunicación activa de comando y control.

Se aconseja a los equipos de seguridad marcar solicitudes salientes inusuales a endpoints desconocidos, rutas .woff inesperadas fuera del contexto normal del navegador y entradas de autorun desconocidas en el Registro de Windows.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Dirección IP	45[.]64[.]52[.]242	Infraestructura C2 controlada por el atacante
Dirección IP	192[.]238[.]134[.]166	Infraestructura C2 controlada por el atacante
Dirección IP	45[.]115[.]38[.]27	Infraestructura C2 controlada por el atacante
Dominio	gin-tne-fahcesmukw[.]cn-hangzhou[.]fcapp[.]run	Dominio C2 controlado por el atacante
Hash SHA256	c3ecb90c9915daa23aec51f93ff8665778866f05	Muestra de malware relacionada con TencShell
Hash SHA256	92b2413578c8ba9708df6091660af53acdc505f3	Muestra de malware relacionada con TencShell
Hash SHA256	33f6d4f4269cec740a5eb05e41a4c7926742606b	Muestra de malware relacionada con TencShell
Hash SHA256	18f22d3337facbbd0047c19f4efdea75ccb9e3ec	Muestra de malware relacionada con TencShell
Hash SHA256	793cb9b1d7846afa4fb8e900d6e9ed9501dc3e7e	Muestra de malware relacionada con TencShell
Hash SHA256	673b4f2682f29b19ecabf9a6ec9c3042c9b1cfb3	Muestra de malware relacionada con TencShell
Hash SHA256	9dbdddf1dda680ab750a707084839fe970266964	Muestra de malware relacionada con TencShell
Hash SHA256	957b8eaa7e25b4d9ca1050cd7ab19e4a2add707d	Muestra de malware relacionada con TencShell
Hash SHA256	12f76f48727916d6c05f53f8cd94915db5de5ffcbfa02c4807c27e090cfa47c	Muestra de malware relacionada con TencShell
Hash SHA256	14ae8de40153c66455d972e6e98fe06fb68db7301ba126557e96599527bc5509	Muestra de malware relacionada con TencShell
Hash SHA256	c1ba73df60e12b3feb8b5574e65cfceb6910460ab7fae2cf5554769fafdad049	Muestra de malware relacionada con TencShell
Hash SHA256	e5eff99959683480d2280c931e433af836adf6a8b7a8489b1af17cddcf480cf6	Muestra de malware relacionada con TencShell
Hash SHA256	30fe91200a2bb4aed13b1a1ba4ec8fd4454566f5929ffed4f537d9a87c1bf118	Dropper o carga útil de TencShell
Hash SHA256	77f6bec5dd217151fcd03087a6e7ba1070f0fa603801fb128a4097076c9976d3	Dropper o carga útil de TencShell
Hash SHA256	6ed6058f0b0735ba56b781dea39353625fcb56bc3e77bf2d26a648511d754d21	Dropper o carga útil de TencShell
Clave de Registro	\Software\Microsoft\Windows\CurrentVersion\Run	Clave de ejecución de registro utilizada por TencShell para persistencia
Valor de Registro	OneDriveHealthTask	Nombre del valor de registro utilizado por TencShell para la persistencia de autorun

Nota: Las direcciones IP y los dominios están intencionadamente desactivados (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/new-malware-framework-enables-screen-control/