Una simple búsqueda en Bing de una herramienta de TI popular derivó en un ataque de ransomware. Los atacantes utilizaron el envenenamiento de SEO para posicionar un enlace de descarga falso, engañando a los administradores de sistemas para que instalaran malware disfrazado de software legítimo. Esta campaña pone en alerta sobre los riesgos de los hábitos de búsqueda rutinarios.

Una simple búsqueda en Bing de una herramienta de TI popular se convirtió en un ataque de ransomware a gran escala. Los actores de amenazas abusaron del envenenamiento del optimizador de motores de búsqueda (SEO) para colar un enlace de descarga falso en los resultados de búsqueda de Bing, engañando a los administradores de TI para que instalaran malware disfrazado de software legítimo.

La campaña ha generado serias preocupaciones sobre cómo los hábitos de búsqueda diarios y rutinarios pueden convertirse en una puerta de entrada directa a un compromiso devastador de la red.

El ataque comenzó en julio de 2025 cuando un usuario buscó en Bing “ManageEngine OpManager”, una herramienta de monitoreo de red ampliamente utilizada.

En lugar de llegar al sitio real, el usuario fue redirigido a un dominio convincente que imitaba al original y que servía un instalador MSI troyanizado. Lo que siguió fue una intrusión de varios días cuidadosamente ejecutada que terminó con el despliegue del ransomware Akira en toda la red de la víctima.

Analistas de The DFIR Report documentaron esta intrusión en un informe técnico detallado publicado el 29 de junio de 2026, en colaboración con Swisscom B2B CSIRT.

The DFIR Report dijo en un informe que el ataque aprovechó dos herramientas principales, el malware BumbleBee y un beacon de AdaptixC2, para mantener un acceso persistente y moverse libremente por el entorno de la víctima.

Los actores de amenazas trabajaron con paciencia y precisión. Crearon cuentas de administrador falsas, instalaron software de acceso remoto como un servicio de Windows, volcaron la base de datos de Active Directory y exfiltraron más de 75 GB de datos sensibles a un servidor en Ucrania.

Toda la operación, desde el primer clic hasta el despliegue del ransomware, tomó aproximadamente 44 horas.

El daño fue grave. El ransomware Akira, camuflado como locker.exe, utilizó la Instrumentación de Administración de Windows para eliminar las copias shadow de los volúmenes antes de cifrar los sistemas.

El actor de la amenaza regresó dos días después para cifrar también un dominio secundario, asegurándose de que ninguna parte de la red quedara intacta.

‘ManageEngine OpManager’ distribuye el ransomware Akira

La cadena de infección comenzó en opmanager[.]pro, un dominio engañoso que aparecía cerca de la parte superior de los resultados de búsqueda de Bing a través del envenenamiento de SEO.

El sitio clonó la página de descarga legítima de ManageEngine y redirigió a las víctimas a download-center[.]online, donde finalmente se entregó el instalador MSI malicioso a la máquina de la víctima.

Una vez ejecutado ManageEngine-OpManager.msi, este soltó tres archivos en una carpeta temporal: el software real de OpManager como señuelo, un binario legítimo de Windows llamado consent.exe y el cargador BumbleBee disfrazado de msimg32.dll.

El cargador explotó el orden de búsqueda de DLL de Windows para ejecutarse silenciosamente dentro de un proceso confiable, dificultando la detección por parte de las herramientas de seguridad estándar.

El MSI llevaba un certificado de firma de código revocado emitido a “LLC Resource+”, un firmante con un historial documentado de malware vinculado a BumbleBee.

Apuntar a un instalador de ManageEngine fue deliberado, ya que los administradores de TI que ejecutan tales herramientas suelen tener privilegios elevados en el sistema, lo que los convierte en objetivos de alto valor para el acceso inicial.

AdaptixC2, movimiento lateral y exfiltración de datos

Aproximadamente cinco horas después de la infección, BumbleBee soltó AdgNsy.exe, una copia renombrada de la utilidad legítima de Libreta de Direcciones de Windows, la cual fue inyectada con el shellcode de AdaptixC2.

Esto estableció un canal persistente de comando y control (C2) hacia 172.96.137[.]160, desde donde el atacante comenzó a mapear la red interna e identificar activos clave, incluidos los controladores de dominio.

Se crearon dos cuentas de dominio fraudulentas llamadas backup_DA y backup_EA, siendo esta última añadida al grupo de Administradores Empresariales para tener un control total de todo el bosque.

Luego se instaló el software de acceso remoto RustDesk como un servicio de Windows en múltiples servidores para asegurar el acceso continuo en caso de que otros canales fueran interrumpidos.

En el segundo día, el atacante se movió a un controlador de dominio vía RDP y extrajo la base de datos de Active Directory NTDS.dit utilizando wbadmin.exe.

También se extrajeron credenciales de Veeam de una base de datos PostgreSQL y se volcó la memoria de LSASS en múltiples hosts. Un túnel SSH inverso enrutó entonces el tráfico RDP a través de un servidor externo, eludiendo efectivamente todas las restricciones del firewall.

Las organizaciones deben monitorear los resultados de búsqueda para detectar la suplantación de herramientas empresariales, especialmente aquellas utilizadas por los equipos de TI.

Bloquear la ejecución de MSI de fuentes no confiables, aplicar controles del orden de carga de DLL y alertar sobre la creación inesperada de cuentas de administrador de dominio son pasos defensivos esenciales.

Vigilar que herramientas de acceso remoto como RustDesk no sean registradas como servicios de Windows es igualmente importante, ya que este fue un método de persistencia fundamental utilizado en todo este ataque.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desactivados intencionalmente (ej., [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.