Una nueva familia de ransomware llamada “Spirals” atacó a una empresa de servicios informáticos en el sur de Asia en junio de 2026. Según el equipo de Symantec, los atacantes lograron cifrar la red completa en menos de 24 horas tras la brecha inicial. Se ha detectado que el payload, basado en el lenguaje Rust, es probablemente una herramienta nueva o creada específicamente para este ataque dirigido.

Una familia de ransomware nunca antes vista, denominada “Spirals”, atacó a una empresa de servicios de TI en el sur de Asia en junio de 2026. El Equipo de Caza de Amenazas de Symantec informa que los atacantes pasaron de la brecha inicial al cifrado total de la red en menos de 24 horas.

La carga útil basada en Rust parece ser completamente nueva o haber sido creada específicamente para este único ataque dirigido, y el actor de la amenaza detrás de la operación sigue sin ser identificado.

El ransomware Spirals utiliza IIS Web Shell y PsExec

La intrusión comenzó el 16 de junio a las 22:21 hora local, cuando los atacantes comprometieron un servidor web IIS orientado a Internet y cargaron una web shell de ASP.NET.

En cuestión de minutos, desplegaron tres herramientas de tunelización independientes, incluyendo Chisel (disfrazado como chrome.exe) y un cliente de túnel de Cloudflare, estableciendo canales de comunicación encubiertos y redundantes. Poco después, utilizaron una herramienta de suplantación de tokens, que probablemente permitió la escalada de privilegios.

Durante una sesión intensiva de tres horas de操作 manual ("hands-on-keyboard"), el operador ejecutó cmd.exe y powershell.exe a través del proceso de trabajo de IIS, realizó una omisión del Control de Cuentas de Usuario (UAC), habilitó el Protocolo de Escritorio Remoto (RDP), creó una cuenta local persistente y extrajo la colmena SAM. A las 23:07, la actividad precursora inicial mostró intentos activos de desactivar las herramientas de seguridad.

Como se detalla en el informe del ransomware Spirals, los atacantes pivotaron hacia el movimiento lateral basado en WMI a las 23:33.

Lograron afectar a más de una docena de máquinas en pocos minutos utilizando credenciales comprometidas de administrador de dominio; una cadencia rápida que sugiere fuertemente un objetivo automatizado y preplanificado en lugar de una exploración manual.

El 17 de junio, los atacantes cambiaron sus tácticas y utilizaron PsExec como su principal vector de despliegue masivo. A partir de las 14:12 aproximadamente, un único host comprometido envió una carga útil de PowerShell idéntica codificada en base64 a los objetivos de la red cada pocos segundos durante aproximadamente 30 minutos.

La gestión de herramientas administrativas comprometidas dentro de una red refleja las luchas persistentes del perímetro que enfrentan los defensores al gestionar fallos de SharePoint explotados por actores oportunistas.

Esta carga útil automatizada desactivó inmediatamente la monitorización en tiempo real de Windows Defender y detuvo forzosamente más de 20 servicios críticos de copia de seguridad, bases de datos y virtualización, incluidos Veeam, VMware, SQL Server y Exchange, liberando efectivamente los manejadores de archivos abiertos antes del cifrado.

El ejecutable del ransomware fue nombrado bitsadmin.exe para disfrazarse de una utilidad legítima de Windows. Fue almacenado en múltiples ubicaciones de la red, incluido el directorio de scripts de dominio SYSVOL, asegurando la propagación automatizada incluso a máquinas que no fueron blanco directo del script de PsExec.

Esta técnica de almacenamiento subraya por qué los grupos empresariales deben auditar los recursos compartidos de scripts internos, del mismo modo que auditan los sistemas contra exploits de herramientas de archivo que depositan binarios disfrazados en árboles de directorios legítimos.

Spirals funciona como un cifrador basado en Rust con todas las funciones, construido con capacidades de evasión de defensas, movimiento lateral automatizado, terminación de procesos y escalada de privilegios.

Componente Criptográfico	Especificación de Implementación	Objetivo del Objetivo
Clave Simétrica	AES-128 por archivo	Asegura los datos de bloque bruto de los archivos objetivo
Envoltorio Asimétrico	Clave pública ECDH P-256 controlada por el atacante	Protege las claves AES locales contra la descifración
Truco de Optimización	Cifrado intermitente de fragmentos variables	Acelera el ciclo de bloqueo para archivos de más de 5 MB

El ransomware deja una huella local para forzar la negociación:

La nota de rescate se deposita en el sistema como C:\RECOVERY_SECTION.log. Amenaza con la filtración pública de datos corporativos robados en un plazo de seis días si el objetivo no paga. La nota dirige a las víctimas a un portal de negociación de Tor, donde Symantec confirmó que se nombra explícitamente a la familia de amenazas como “Spirals”.

Aunque Spirals solo se ha observado contra una única víctima hasta ahora, su disciplina operativa señala a un actor altamente cualificado capaz de escalar ataques rápidamente.

La combinación de una infraestructura de tunelización en capas, la recolección de credenciales mediante volcados de LSASS (usando rundll32.exe y comsvcs.dll) y la propagación en todo el dominio a través de SYSVOL requiere una respuesta defensiva inmediata.

La lista de indicadores de Symantec incluye una infraestructura de almacenamiento dedicada alojada en 185.141.216.194, junto con dos dominios comprometidos utilizados para alojar cargas útiles maliciosas.

Si gestionas servidores IIS orientados a Internet, deberías aplicar las siguientes prioridades:

• Detección de Web Shells: Monitoriza activamente los servidores web orientados a Internet en busca de modificaciones de archivos ASP.NET no autenticadas o creaciones repentinas de procesos originados en bucles de trabajo de IIS.
• Auditoría de Comportamiento: Configura alertas inmediatas sobre actividades anómalas de WMI y PsExec que ejecuten intentos de conexión rápidos y secuenciales a través de zonas internas.
• Protección de Credenciales: Refuerza los endpoints contra las herramientas de volcado de memoria de LSASS y restringe estrictamente el uso de cuentas de administrador de dominio en controladores que no sean de dominio.

Fuentes:
https://cybersecuritynews.com/new-spirals-ransomware/