El grupo de cibercrimen chino GoldenEyeDog, vinculado a la familia de malware Golden Gh0st, ha vuelto a llamar la atención tras una intrusión en DigiCert. Los atacantes aprovecharon el acceso para interceptar códigos de activación de certificados de clientes y firmar sus propios archivos maliciosos, exponiendo así los graves riesgos asociados a los certificados de firma de código.

GoldenEyeDog, un grupo de ciberdelincuencia chino vinculado a la familia de malware Golden Gh0st, ha vuelto a centrar la atención tras una intrusión en DigiCert que dejó al descubierto los riesgos relacionados con los certificados de firma de código.

Los atacantes utilizaron el acceso para interceptar los códigos de activación de certificados de clientes y firmar sus propios archivos maliciosos.

La operación se basó en una ruta sencilla pero eficaz para entrar en un entorno sensible.

Los archivos maliciosos estaban disfrazados de capturas de pantalla, se enviaban a través de correos de phishing o mediante la presentación de tickets de soporte, y eran abiertos por el personal que creía estar revisando contenido de los clientes.

Expel señaló en un informe que la actividad fue llevada a cabo por un subgrupo de GoldenEyeDog al que llama CylindricalCanine.

Los investigadores vincularon al grupo con Golden Gh0st Loader y Golden Gh0st RAT, herramientas de malware que han evolucionado a través de varias campañas desde 2015.

El caso también pone de relieve un problema mayor para los defensores. Un certificado de firma de código válido puede hacer que un programa malicioso parezca más confiable para los controles de seguridad de Windows, lo que permite a los atacantes obtener una ventaja antes de que las herramientas de detección o los usuarios reconozcan el peligro.

Grupo de hackers GoldenEyeDog detrás de la brecha de DigiCert

La brecha de abril de 2026 comenzó cuando un empleado de soporte de DigiCert ejecutó un archivo malicioso recibido a través del sistema de tickets de la empresa.

El dispositivo comprometido dio a los atacantes acceso a los códigos de inicialización asociados a los clientes que renovaban certificados de firma de código.

Esos códigos se utilizan para activar los tokens de hardware necesarios para firmar software. Al robarlos, los atacantes pudieron interceptar certificados destinados a clientes legítimos y utilizarlos para firmar malware que pareciera más creíble ante los controles de seguridad.

Informes anteriores sobre la brecha de DigiCert mediante un protector de pantalla convertido en arma documentaron que el incidente involucraba un malware rastreado previamente como Zhong Stealer.

El análisis de Expel indica que el malware es más que un simple robador de información. Golden Gh0st RAT puede dar acceso remoto a los operadores, recopilar credenciales del navegador, capturar pantallas, listar procesos en ejecución, ejecutar comandos y borrar rastros de actividad de los sistemas infectados.

El RAT también permite la persistencia, lo que significa que puede permanecer activo después de un reinicio.

Se observó un plugin que creó una cuenta de puerta trasera con privilegios de administrador y alteró la configuración del sistema para habilitar el acceso por escritorio remoto, dando a los atacantes otra forma de volver a un dispositivo comprometido.

Tácticas del Loader y Detección

Golden Gh0st Loader utiliza comúnmente el DLL sideloading, una técnica en la que se engaña a una aplicación legítima de Windows para que cargue una librería maliciosa colocada a su lado. La librería luego descifra y carga el RAT real desde un archivo que puede estar disfrazado de archivo de registro (log).

Este enfoque hace que la cadena de infección sea más difícil de detectar porque se utilizan aplicaciones confiables como parte del proceso de ejecución.

Abusos similares han aparecido en la reciente campaña de sideloading de AsyncRAT, donde los atacantes ocultaron la actividad maliciosa detrás de componentes de software aparentemente normales.

En la campaña reciente, el loader recuperó archivos adicionales desde ubicaciones alojadas en la nube, incluyendo un ejecutable legítimo, archivos de tiempo de ejecución de soporte, una DLL maliciosa, una carga útil cifrada y documentos señuelo.

Una imagen o PDF falso que mostraba un error 503 ayudó a que la actividad pareciera menos sospechosa para las víctimas.

Golden Gh0st RAT se comunica con sus servidores de comando y control a través de conexiones WebSocket no cifradas, aunque cifra el contenido dentro de dichas conexiones.

Los analistas observaron que el malware utiliza los puertos de número bajo 5188 y 5198, lo que puede ayudarte a investigar el tráfico saliente inusual.

Los equipos de seguridad deberían validar minuciosamente los adjuntos y los enlaces de descarga enviados a través de los portales de soporte, especialmente los archivos presentados como capturas de pantalla o pruebas de clientes.

El personal que gestione los tickets debe utilizar sistemas de revisión aislados siempre que sea posible y verificar los archivos inesperados a través de un canal independiente antes de abrirlos.

Tú también deberías estar atento a DLL sospechosas cargadas por aplicaciones legítimas, tareas programadas inesperadas, nuevas cuentas de administrador local y tráfico WebSocket saliente hacia los dominios listados.

Monitorear el tráfico de comandos cifrados del RAT y aplicar detecciones de red para las comunicaciones distintivas de Golden Gh0st puede mejorar la probabilidad de detectar la actividad a tiempo.