Una nueva campaña de hacking, denominada UNK_MassTraction, está atacando servidores de correo universitarios explotando vulnerabilidades no parcheadas en el software Roundcube. Los atacantes utilizan estos fallos para robar credenciales de acceso e instalar un potente backdoor llamado VShell en los sistemas comprometidos. Esta actividad se ha detectado desde mayo de 2026.

Una campaña de hacking recién identificada está atacando servidores de correo universitarios explotando fallos conocidos pero no parcheados en el software de webmail Roundcube.

Los atacantes están utilizando estas brechas para robar silenciosamente credenciales de inicio de sesión y plantar una potente puerta trasera llamada VShell en lo más profundo de los sistemas comprometidos.

La campaña, rastreada bajo el nombre UNK_MassTraction, ha estado activa desde mayo de 2026 y está dirigida directamente a los departamentos de física e ingeniería de las principales universidades de Estados Unidos y Canadá.

En lugar de lanzar una red amplia, parece que los atacantes han seleccionado a dedo objetivos vinculados a la investigación de seguridad nacional o a programas de astrofísica y física de partículas.

Investigadores de Proofpoint detectaron primero esta actividad y han estado monitoreando de cerca cómo ha evolucionado durante las últimas semanas.

El equipo notó que los departamentos atacados ejecutaban versiones vulnerables y desactualizadas de Roundcube, lo que sugiere que los atacantes exploraron sus objetivos cuidadosamente antes de lanzar la operación.

Lo que hace que esta campaña sea notable no es solo su enfoque estrecho, sino su sofisticación técnica.

Los atacantes encadenan múltiples vulnerabilidades conocidas, comenzando con un simple correo electrónico y terminando con una puerta trasera totalmente funcional enterrada en la memoria del servidor, todo mientras trabajan para borrar sus huellas en el camino.

Proofpoint dijo en un informe que el grupo muestra una conciencia de seguridad operativa moderada y es probable que sea una operación de espionaje alineada con China, basándose en solapamientos de infraestructura y artefactos lingüísticos encontrados en los correos de phishing.

Explotan fallos N-Day de Roundcube

La intrusión comienza con un correo electrónico que explota el CVE-2024-42009, un fallo de cross-site scripting en Roundcube que no limpia adecuadamente el JavaScript incrustado en los mensajes HTML.

Simplemente abrir el correo electrónico en un cliente Roundcube vulnerable es suficiente para activar el código malicioso, sin necesidad de hacer clic.

Los correos electrónicos en sí parecen deliberadamente insulsos, asemejándose a spam o contenido de marketing. Esta elección de diseño parece intencionada.

Incluso si el destinatario echa un vistazo al mensaje y lo ignora, el exploit ya ha hecho su trabajo en el momento en que se abre el correo.

Una vez activado, el JavaScript carga un payload de segunda etapa que los investigadores llaman IceCube.

Este stealer escapa del sandbox de iframe de Roundcube, dándole acceso a la sesión completa del navegador, y comienza a recolectar nombres de usuario, contraseñas, códigos de dos factores y cookies de sesión antes de enviar todo a un servidor remoto.

IceCube luego pivota desde el navegador hacia el propio servidor, explotando un fallo distinto, el CVE-2025-49113, que es un error de deserialización en el manejo de un componente interno de Roundcube.

Esto permite a los atacantes plantar una webshell simple llamada SquareShell, disfrazada para mezclarse con archivos de plugins legítimos y accesible a través de un punto final de plugin específico para la ejecución remota de código.

La puerta trasera VShell y su alcance

Si la instalación de la webshell falla, los atacantes tienen un plan de respaldo. Un script de contingencia descarga y ejecuta un cargador para VShell, una puerta trasera disponible públicamente escrita en el lenguaje de programación Go que ha sido vinculada a múltiples grupos de amenazas alineados con China en el pasado.

VShell se ejecuta enteramente en la memoria, disfrazándose como un proceso legítimo del sistema para evitar dar la alarma.

Otorga a los atacantes una shell interactiva y capacidades de redireccionamiento de puertos, herramientas que son particularmente útiles para moverse lateralmente una vez dentro de una red objetivo, en lugar de simplemente controlar la máquina comprometida inicialmente.

El malware también incluye comprobaciones integradas para evitar infecciones duplicadas y mecanismos para limpiar registros y evidencias forenses una vez terminado su trabajo.

Los investigadores señalaron que el código incluye comentarios inusualmente detallados, lo que sugiere que partes del kit de herramientas pudieron haber sido creadas con la ayuda de un asistente de codificación de IA.

Debido a que los servidores de correo a menudo se encuentran en el borde de una red, muy parecido a una puerta de enlace VPN, comprometer uno le da a los atacantes un punto de apoyo que puede usarse para avanzar más profundamente en los sistemas de una organización.

Los analistas de Proofpoint subrayaron que tú, como defensor, deberías tratar la seguridad del servidor de correo con la misma urgencia que normalmente se reserva para la infraestructura de acceso remoto.

La respuesta recomendada es sencilla: parchea Roundcube rápidamente, monitorea cambios inusuales en los archivos de plugins y revisa las políticas DMARC, ya que los atacantes explotaron protecciones de spoofing débiles para enviar correos señuelo convincentes.

Dado lo silenciosamente que ha operado esta campaña, las organizaciones que ejecuten versiones antiguas de Roundcube deberían tratar esto como una prioridad urgente en lugar de un mantenimiento rutinario.

Aunque el objetivo específico de los departamentos de física pueda parecer inusual, Proofpoint señaló que el objetivo real es probablemente el espionaje amplio más que el robo de investigación académica.

La campaña sirve como recordatorio de que incluso infraestructuras pasadas por alto, como los servidores de webmail, pueden convertirse en un punto de entrada grave para operaciones de hacking vinculadas a estados.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Dirección de correo	jpcontreras@newfield[.]cl	Dirección de correo comprometida usada para enviar señuelos de phishing
Dirección IP	45.150.109[.]151	Entrega de puerta trasera JavaScript IceCube y C&C
Dirección IP	194.213.18[.]133	Entrega de puerta trasera JavaScript IceCube y C&C
Dirección IP	45.86.229[.]111	Servidor C&C de VShell
URL	hxxps://45.150.109[.]151.sslip.io:23088/app/js/jquery.min.js	Entrega de puerta trasera JavaScript IceCube y C&C
URL	hxxps://194.213.18[.]133.sslip.io:23088/app/js/jquery.min.js	Entrega de puerta trasera JavaScript IceCube y C&C
URL	hxxps://45.150.109[.]151.sslip.io:23088	Entrega de puerta trasera JavaScript IceCube y C&C
URL	hxxps://194.213.18[.]133.sslip.io:23088	Entrega de puerta trasera JavaScript IceCube y C&C
URL	hxxp://45.86.229[.]111/slw:8080	URL de entrega de VShell
SHA256	a02f124c5ce4180bd130a62ee03262f399c33491de3aed36e0b15155ae4926c0	Hash de archivo del stealer IceCube

Nota: Las direcciones IP y los dominios están intencionadamente desactivados (ej., [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/hackers-exploit-roundcube-n-day-flaws/