Se ha identificado una nueva puerta trasera para Windows llamada Mistic, la cual ha estado infiltrándose en redes empresariales desde abril de 2026. Este malware permite a los atacantes mantener un acceso persistente y discreto, siendo extremadamente difícil de detectar. Se ha observado que afecta a organizaciones de los sectores de seguros, educación, tecnologías de la información y servicios profesionales, operando de manera oportunista.

Una puerta trasera de Windows recientemente identificada llamada Mistic se ha estado abriendo camino silenciosamente a través de redes empresariales desde abril de 2026, otorgando a los atacantes un acceso persistente y de bajo perfil que es extremadamente difícil de detectar.

Se ha detectado que el malware tiene como objetivo organizaciones de los sectores de seguros, educación, tecnología de la información y servicios profesionales, y los atacantes muestran un comportamiento oportunista en lugar de centrarse en una sola industria.

Mistic destaca frente a muchas otras puertas traseras por la eficacia con la que borra sus huellas. Ejecuta las cargas útiles completamente dentro de la memoria, lo que significa que nunca se escribe ningún archivo malicioso en el disco duro.

Este enfoque evita una gran cantidad de herramientas de detección tradicionales que dependen del escaneo de archivos almacenados en el disco.

Analistas de PolySwarm señalaron esta amenaza y observaron que puede representar una evolución en las herramientas utilizadas por los brókeres de acceso, específicamente aquellos que irrumpen en redes corporativas y luego venden ese acceso a grupos de ransomware.

Se ha observado que el malware opera junto a ModeloRAT, un troyano de acceso remoto basado en Python previamente vinculado al grupo con motivaciones financieras rastreado como Woodgnat, también conocido públicamente como KongTuke.

Según el informe de PolySwarm y el equipo de Threat Hunter de Symantec, Mistic fue desplegado en intrusiones donde los atacantes utilizaron señuelos de ingeniería social, incluyendo falsos fallos del navegador y falsas pruebas de CAPTCHA, para engañar a las víctimas y lograr que ejecutaran comandos de PowerShell proporcionados por el atacante.

Estas técnicas son coherentes con los métodos de entrega conocidos de Woodgnat. La combinación de la ejecución en memoria, un interruptor de apagado (kill switch) integrado y un parecido deliberado con componentes de seguridad legítimos de Microsoft convierte a Mistic en una de las puertas traseras más sofisticadas vistas en campañas recientes de cibercrimen.

Los investigadores de seguridad han señalado que Woodgnat parece capaz de desarrollar herramientas cada vez más avanzadas a medida que expande su red de socios de ransomware.

Nueva puerta trasera de Windows Mistic

La puerta trasera Mistic llega a su objetivo a través de un método llamado DLL sideloading, donde un ejecutable legítimo de Microsoft llamado MpExtMs.exe es manipulado para cargar un archivo malicioso en lugar del esperado.

La DLL maliciosa se llama EndpointDlp.dll, tomando prestado el nombre de un componente de seguridad de endpoints real de Microsoft, lo que le ayuda a mezclarse perfectamente en entornos de software confiables.

Una vez activa, Mistic se conecta a un servidor de comando y control controlado por el atacante y espera instrucciones.

Puede subir y descargar archivos, crear y eliminar carpetas, mover o renombrar datos y, lo más importante, ejecutar código proporcionado por el operador directamente en la memoria sin tocar el disco.

También se observó junto a Mistic un componente separado de robo de credenciales, entregado como una DLL de .NET, que presenta a las víctimas una pantalla de inicio de sesión falsa para recolectar sus nombres de usuario y contraseñas.

El malware también incluye un interruptor de apagado que permite al operador eliminarlo completamente de un sistema comprometido bajo comando, reduciendo significativamente la evidencia forense y complicando las investigaciones posteriores al incidente.

Otras herramientas vistas en las mismas cadenas de ataque incluyeron PowerShell, certutil, WMIC y curl.exe, todas ellas utilidades legítimas de Windows reutilizadas para actividades maliciosas.

Operaciones de bróker de acceso de Woodgnat

Se cree que Mistic está conectado a Woodgnat, un grupo de cibercrimen con motivaciones financieras activo al menos desde mayo de 2024.

El grupo opera principalmente como un bróker de acceso inicial, lo que significa que su objetivo no es desplegar ransomware por sí mismo, sino establecer acceso a largo plazo dentro de entornos empresariales y vender ese acceso a afiliados de ransomware.

Woodgnat ha sido vinculado públicamente a grupos como Qilin, Akira, Rhysida, Black Basta, Interlock y 8Base.

El grupo normalmente consigue acceso comprometiendo sitios web de WordPress a través de plugins vulnerables o credenciales robadas, inyectando luego JavaScript que sirve señuelos de ingeniería social a los visitantes.

Con el tiempo, Woodgnat ha perfeccionado estos señuelos, pasando de páginas de error falsas de ClickFix a técnicas de FileFix y luego CrashFix, todas diseñadas para empujar a las víctimas a pegar y ejecutar comandos proporcionados por el atacante.

Desde abril de 2026, también se ha observado al grupo utilizando chats falsos de soporte técnico de Microsoft Teams para guiar a los empleados a través de estas secuencias.

Los investigadores de seguridad recomiendan que las organizaciones monitoreen estrechamente cualquier actividad inusual de DLL sideloading, especialmente cuando ejecutables legítimos de Microsoft carguen archivos inesperados.

Tú, como defensor, también deberías vigilar el uso anormal de herramientas integradas como curl.exe, certutil y PowerShell, y priorizar la detección conductual y el análisis centrado en la memoria sobre los controles tradicionales basados en firmas para contrarrestar eficazmente amenazas como Mistic.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Solo actívalos dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.