El grupo de amenazas vinculado a Rusia, Turla, ha desarrollado un nuevo backdoor llamado STOCKSTAY para expandir su capacidad de espionaje. Desde diciembre de 2022, este malware, creado en .NET, ha estado atacando activamente a organizaciones gubernamentales y militares en Ucrania. El software utiliza conexiones WebSocket seguras para comunicarse con sus operadores, lo que permite que el tráfico pase desapercibido y sea difícil de detectar en la red.

El grupo de amenazas vinculado a Rusia, Turla, ha estado expandiendo silenciosamente su arsenal de espionaje con una nueva puerta trasera llamada STOCKSTAY, dirigida activamente a organizaciones gubernamentales y militares en Ucrania desde al menos diciembre de 2022.

El malware está desarrollado en .NET y se comunica con los operadores a través de una conexión WebSocket segura, lo que hace que sea difícil de detectar dentro del tráfico normal de la red. Las pruebas apuntan a una campaña bien organizada y respaldada por el estado, vinculada directamente a la inteligencia rusa.

STOCKSTAY estaba originalmente disfrazado como una herramienta de visualización de datos del mercado de valores, con nombres de archivo y datos de configuración falsos diseñados para mezclarse con el software cotidiano.

Para 2025, se encontraron variantes actualizadas que se hacían pasar por visores de PDF y utilidades de calculadora, demostrando cómo el grupo se adapta continuamente.

Turla se ha centrado sistemáticamente en los Ministerios de Asuntos Exteriores occidentales, organizaciones de defensa y entidades militares ucranianas, reflejando la alineación con los intereses del estado ruso.

Analistas del Grupo de Inteligencia de Amenazas de Google (GTIG) identificaron y documentaron el malware en un informe que detalla sus componentes, cronología y coincidencias con otro kit de herramientas de Turla conocido como KAZUAR.

Turla, también rastreado como SUMMIT, Secret Blizzard y VENOMOUS BEAR, está atribuido al Centro 16 del Servicio Federal de Seguridad de Rusia y ha estado activo desde al menos 2004.

El malware se ha desplegado en varios países, incluidos Ucrania, Italia, Países Bajos, Polonia y Alemania.

En Ucrania, Turla utilizó infraestructura comprometida, incluidos servicios gubernamentales y el servidor de una empresa de TI, para preparar y entregar la carga útil. Esto permite al grupo mezclarse con el tráfico de la red local, haciendo que la detección sea considerablemente más difícil.

Tras una ola de phishing en noviembre de 2025 dirigida a unas 20 personas residentes en Ucrania, el GTIG confirmó que los titulares de cuentas de Google afectados fueron notificados mediante avisos de "Ataque respaldado por el gobierno".

Esa campaña utilizó archivos RAR maliciosos que explotaban un fallo de salto de ruta en WinRAR rastreado como CVE-2025-8088. Se insta a los equipos de seguridad a revisar sus entornos basándose en los indicadores de compromiso enumerados a continuación.

Turla, vinculado a Rusia, utiliza infraestructura comprometida

El uso que hace Turla de la infraestructura ucraniana comprometida es uno de los aspectos más calculados de estas operaciones.

El grupo alojó cargas útiles en un sitio web perteneciente al Servicio Regulador Estatal de Ucrania y en un servidor WordPress alojado dentro del país. El uso de fuentes locales confiables para entregar malware elude los controles que marcarían la infraestructura extranjera.

El acceso inicial se basó en phishing con archivos maliciosos del Protocolo de Escritorio Remoto (RDP). A principios de 2025, las víctimas recibieron correos electrónicos haciéndose pasar por una academia de formación en defensa; al abrir el archivo adjunto de RDP, quedaban conectadas a la infraestructura controlada por el atacante.

Turla desplegó entonces el descargador STOCKSTAY.MARKETMAKER, que recuperaba la suite completa de STOCKSTAY desde el servidor comprometido.

Una ola posterior a mediados de 2025 utilizó una plataforma de educación diplomática comprometida para atraer a las víctimas bajo la apariencia de acceder a un portal de formación en línea.

STOCKSTAY funciona a través de tres componentes coordinados. STOCKMARKET orquestra las operaciones, STOCKBROKER gestiona la comunicación de red a través de WebSocket y STOCKTRADER ejecuta comandos en las máquinas infectadas, incluyendo la recolección de archivos, modificaciones del registro y capturas de pantalla.

El malware se ejecuta solo los días laborables entre las 9 AM y las 6 PM, coincidiendo deliberadamente con el horario comercial para evitar la detección.

La evolución de la ofuscación de STOCKSTAY y su conexión con KAZUAR

Un tema recurrente en esta investigación es cuánto se parece STOCKSTAY a KAZUAR, el kit de herramientas de espionaje de Turla de mayor duración.

Ambos utilizan arquitecturas de múltiples componentes, claves ambientales para proteger configuraciones y sitios de WordPress comprometidos durante las operaciones.

El GTIG evalúa con confianza moderada que ambas herramientas probablemente fueron desarrolladas por un equipo compartido trabajando en paralelo.

En abril de 2025, STOCKSTAY adoptó un nuevo método de ofuscación de cadenas basado en un algoritmo pseudoaleatorio llamado Squirrel3, presentado originalmente en una conferencia de desarrollo de juegos en 2017.

El GTIG rastrea esto como K1MORPHER. Para junio de 2025, el mismo código había aparecido en muestras de KAZUAR, reforzando la idea de que ambas familias comparten un entorno de desarrollo común.

El grupo utilizó una cuenta de GitHub para alojar el código del controlador del lado del servidor para el comando y control de STOCKSTAY, vinculándolo a una plataforma llamada Render para el alojamiento de WebSocket.

Esta configuración dificulta que los operadores inspeccionen el tráfico cifrado mientras oculta la infraestructura dedicada del grupo. El refinamiento continuo de STOCKSTAY por parte de Turla confirma su estatus como uno de los actores de espionaje técnicamente más avanzados de la actualidad.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desactivados intencionalmente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.