Se ha detectado el resurgimiento de un backdoor sigiloso para Windows vinculado a Daxin, una sofisticada herramienta de espionaje relacionada con actividades de China. Este implante permite a un intruso escribir un nombre de usuario especial en la pantalla de inicio de sesión de Windows para abrir, en ciertos casos, una consola de comandos con los privilegios más altos del sistema.

Una sigilosa puerta trasera de Windows ha resurgido junto con Daxin, una sofisticada herramienta de espionaje previamente vinculada a actividades relacionadas con China.

El implante recién documentado permite que un intruso escriba un nombre de usuario especial en la pantalla de inicio de sesión de Windows y, en algunos casos, abra inmediatamente una consola de comandos con los privilegios más altos del sistema.

La actividad fue descubierta en una computadora comprometida de una subsidiaria basada en Taiwán de un fabricante multinacional de alta tecnología.

Los investigadores creen que el acceso inicial pudo haberse producido a través de un portal de inicio de sesión único (SSO) de Digiwin desactualizado que todavía utilizaba versiones del Java Development Kit lanzadas entre 2009 y 2011. Su objetivo tiene un valor estratégico para China.

Investigadores de Symantec identificaron a Daxin y la anteriormente desconocida Backdoor.Stupig en el mismo host durante una investigación en mayo de 2026.

Symantec indicó en un informe que la combinación sugiere una operación de larga duración, aunque no se ha confirmado un vínculo directo a nivel de código entre las dos herramientas.

El caso es relevante porque la puerta trasera opera antes de que comience una sesión de usuario normal, donde muchas organizaciones tienen una visibilidad limitada.

Su diseño puede otorgar a un atacante la ejecución de comandos como SYSTEM, la cuenta local más poderosa de Windows, al tiempo que crea una oportunidad para interceptar las credenciales introducidas durante el proceso de inicio de sesión.

Dado que es cargada por un componente confiable de Windows, los controles rutinarios de los endpoints podrían no distinguirla inmediatamente del soporte de teclado legítimo.

Los hackers pueden escribir un nombre de usuario secreto en la pantalla de inicio de sesión de Windows

Backdoor.Stupig se disfraza como parte del soporte de teclado de Windows en lugar de comportarse como un programa de acceso remoto convencional.

Se registra como un proveedor de diseño de teclado, haciendo que Windows cargue la DLL maliciosa en winlogon.exe durante el arranque, mientras devuelve datos de teclado normales para que el dispositivo parezca funcionar según lo esperado.

Una vez activa, la puerta trasera vigila la pantalla de inicio de sesión buscando nombres de usuario que comiencen con stupig.

Si el atacante introduce solo ese prefijo, se lanza un símbolo del sistema de SYSTEM en el escritorio seguro; si el prefijo va seguido de texto, ese texto se ejecuta como un comando con el mismo nivel de acceso.

El programa luego pasa la solicitud al proceso de inicio de sesión legítimo de Windows, lo que produce una respuesta ordinaria de inicio de sesión fallido.

Esto significa que los defensores podrían ver un nombre de usuario fallido inusual, pero ninguna anomalía obvia en la auditoría de inicio de sesión que muestre que se creó una consola con privilegios, lo que hace que una simple prueba a nivel de pantalla sea inusualmente valiosa para un intruso con acceso a la consola.

Stupig también coloca ganchos (hooks) en funciones de Windows utilizadas durante la autenticación y el manejo de credenciales, lo que le permite capturar información dentro de winlogon.exe.

Los investigadores encontraron una referencia a un archivo complementario llamado msyun.dll, pero ese payload no se encontraba entre los artefactos recuperados del entorno afectado.

Los investigadores afirmaron que Stupig no coincide con ninguna familia de malware conocida en su análisis de similitud, lo que subraya el valor de revisar los módulos de tiempo de autenticación desconocidos.

Daxin señala un espionaje duradero

Daxin es una puerta trasera de Windows a nivel de kernel expuesta por primera vez en 2022, aunque existen muestras que datan de 2013.

En lugar de establecer una conexión saliente clara a un servidor de control, monitorea el tráfico TCP entrante en busca de patrones específicos y toma el control de conexiones legítimas para transportar instrucciones cifradas.

Este enfoque puede mezclar el tráfico malicioso con la actividad normal de la red y hace que el monitoreo convencional sea menos efectivo.

Daxin también puede retransmitir comandos a través de múltiples dispositivos comprometidos, lo que potencialmente otorga a los operadores una ruta hacia áreas de red aisladas que no tienen conexión directa a Internet.

Ambas muestras llevaban marcas de tiempo de compilación de principios de 2013, mientras que el sistema afectado no comenzó a suministrar telemetría hasta el 12 de mayo de 2026.

Esa brecha, junto con el historial de persistencia silenciosa del grupo, deja abierta la posibilidad de que la intrusión permaneciera oculta durante años y quizás más de una década.

Los archivos de malware también fueron detectados bajo diferentes nombres, un cambio que pareció seguir al primer evento de detección.

Los defensores deben reemplazar urgentemente las instalaciones de Java no compatibles y revisar los sistemas de inicio de sesión único expuestos, especialmente los despliegues antiguos de Digiwin.

También deben examinar los registros de diseño de teclado y las DLL cargadas por winlogon.exe, investigar los inicios de sesión fallidos que utilicen nombres inusuales con el prefijo stupig y buscar los indicadores detallados a continuación en los sistemas Windows.

Revisar los sistemas que carecen de telemetría histórica es igualmente importante, ya que los implantes dormidos pueden emerger solo cuando mejora el monitoreo. Esto incluye validar todos los activos heredados restantes.

Indicadores de compromiso (IoCs):-

Tipo	Indicador	Descripción
SHA-256	49c827cf48efb122a9d6fd87b426482b7496ccd4a2dbca31ebbf6b2b80c98530	Backdoor.Daxin, srt64.sys
Nombre de archivo	srt64.sys	Controlador de modo kernel Backdoor.Daxin
SHA-256	5bb5cffda4647940919a185df37aab2aef71ca3010a6c1d05bdcc8bc8fb3af3f	Backdoor.Stupig
Nombre de archivo	a.dll	Nombre de despliegue de Backdoor.Stupig
Nombre de archivo	kbdus1.dll	Nombre de despliegue renombrado de Backdoor.Stupig

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/hackers-can-type-a-secret-username-at-the-windows-login-screen/