Un alto ejecutivo de una importante bolsa de valores global tuvo su cuenta de Microsoft Outlook comprometida silenciosamente durante cinco meses seguidos, mientras los atacantes extraían correos electrónicos cuidadosamente en pequeños lotes para evitar ser detectados.

La intrusión se prolongó desde octubre de 2025 hasta al menos marzo de 2026, diseñada enteramente en torno a un único objetivo: robar el contenido completo del buzón de una sola persona sin dar la alarma.

Es un crudo recordatorio de cuánta inteligencia sensible reside dentro de una sola bandeja de entrada de alto rango. Los atacantes eligieron su objetivo con una intención clara. El correo electrónico de un ejecutivo de una bolsa de valores contiene mucho más que correspondencia rutinaria.

Puede contener detalles sobre próximas cotizaciones, acciones de cumplimiento, deliberaciones internas, agendas de calendario y eventos que afectan al mercado y que aún no se han hecho públicos.

Meses de acceso silencioso e ininterrumpido a este tipo de datos le otorgan a un atacante una ventana extraordinaria sobre la dirección a corto plazo de una organización sin haber tocado jamás ningún otro sistema de la red.

Analistas del Equipo Threat Hunter de Symantec, trabajando junto a Carbon Black, identificaron la campaña y señalaron que el uso de infraestructura de nube legítima y herramientas disponibles públicamente hizo que fuera imposible la atribución a cualquier grupo de amenazas conocido.

Symantec afirmó en un inforne que los comandos y objetivos observados a lo largo de la campaña son coherentes con el espionaje como motivación principal.

La disciplina operativa mostrada se consideró lo suficientemente notable como para justificar una divulgación pública, a pesar de la práctica habitual del equipo de no publicar sobre incidentes de una sola víctima.

Lo que hizo que esta campaña fuera especialmente difícil de detectar fue la forma en que los atacantes se mimetizaron a la perfección con el tráfico normal. Dependieron exclusivamente de servicios en la nube con los que cualquier usuario legítimo podría interactuar a diario, ocultando su actividad dentro del tipo de ruido de red que rara vez activa alertas de seguridad.

Durante cinco meses, reconstruyeron la persistencia en la máquina de la víctima varias veces, adaptando continuamente sus técnicas para mantener vivo el acceso.

Cuenta de Outlook de Ejecutivo de Bolsa de Valores Blancada

El método de acceso inicial nunca se confirmó, pero para octubre de 2025 los atacantes ya habían instalado dos binarios disfrazados en la máquina de la víctima, ambos ejecutándose con privilegios de nivel SYSTEM.

El primero se hacía pasar por un servicio de actualización de Adobe (armsvc.exe), mientras que el segundo suplantaba un componente de Microsoft OneDrive (oneservice.exe). Ambos se ejecutaban automáticamente mediante tareas programadas, proporcionando a los atacantes un punto de apoyo fiable antes de que comenzara la operación principal de robo.

La herramienta central se construyó basándose en Aspose, una biblioteca .NET legítima para leer archivos de datos de Outlook. Los atacantes la utilizaron para convertir el archivo de almacenamiento offline de Outlook del ejecutivo en un formato portátil y luego trasladaron silenciosamente el resultado fuera de la máquina.

La herramienta se desplegó bajo tres nombres de archivo temporales diferentes (ts_9ea0.tmp, ts_e0d5.tmp, ts_e2d5.tmp), todos compartiendo el mismo hash de archivo.

Comenzando con correos electrónicos que databan de agosto de 2025, cada ejecución de extracción retomaba exactamente donde había dejado la anterior, construyendo con el tiempo una copia casi completa de todo el buzón. (Ver Figura 1: Cadena de Ataque)

Exfiltración vía Infraestructura de Nube Legítima

Los datos robados fueron canalizados a través de Dropbox y OneDrive utilizando herramientas estándar de línea de comandos que parecerían completamente normales en la mayoría de los sistemas empresariales.

Para Dropbox, los atacantes reutilizaron las mismas credenciales de aplicación en cada sesión, rotando únicamente los tokens de autorización de corta duración.

Para OneDrive, evitaron completamente el filtrado basado en DNS realizando solicitudes directamente a direcciones IP de Microsoft codificadas, asegurando que no aparecieran búsquedas de dominios sospechosos en los registros del perímetro.

A finales de noviembre de 2025, los atacantes probaron brevemente un tercer canal subiendo archivos a un servicio público de alojamiento temporal de archivos llamado temp.sh, pero lo abandonaron tras unos pocos intentos.

La campaña continuó evolucionando hasta marzo de 2026, cuando se desplegó una nueva DLL (te.host.dll) y un nuevo binario disfrazado (armdriver.exe), confirmando que los atacantes seguían activos y refinando sus métodos hasta el final.

Las organizaciones deberían vigilar cuidadosamente la creación de tareas programadas inusuales que utilicen nombres de proveedores legítimos como cobertura, y marcar las transferencias masivas de archivos originadas en directorios de datos de correo.

Restringir las conexiones salientes a las API de almacenamiento en la nube y habilitar alertas conductuales vinculadas al acceso a archivos de almacenamiento de Outlook puede ayudar a sacar a la luz estas campañas de espionaje de larga permanencia antes de que se produzcan daños significativos.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.