Investigadores detectaron HollowFrame y Matryoshka, un cargador y un backdoor diseñados para infiltrarse en sistemas mediante phishing. Estas herramientas permiten la ejecución remota de comandos, el robo de credenciales y el movimiento lateral, utilizando técnicas de evasión y GitHub para el control. El ataque, que afectó a una firma de abogados, empleó una cadena de etapas para dificultar su detección y atribución.





Investigadores de ciberseguridad han revelado un marco de carga basado en Go, previamente indocumentado, llamado HollowFrame y una familia de malware basada en Rust rastreada como Matryoshka.

Según Blackpoint Cyber, la secuencia de intrusión comienza con un mensaje de spear-phishing que contiene un enlace a un archivo cifrado, el cual alberga un acceso directo de Windows (LNK). Ejecutar el archivo desencadena una cadena de varias etapas que implica la escalada de privilegios, el debilitamiento de las protecciones de Microsoft Defender y la descarga de cargas útiles adicionales.

Mientras que HollowFrame se lanza a través de un par de side-loading de DLL compuesto por el binario legítimo de Python ("python.exe") y una DLL maliciosa ("python311.dll"), Matryoshka viene en dos variantes: una que soporta la comunicación basada en HTTP y la ejecución de comandos, y otra que utiliza GitHub para el comando y control (C2), incluyendo el envío de señales (beaconing), asignación de tareas, reconocimiento, transferencia de archivos y entrega de cargas útiles secundarias.

"Juntos, HollowFrame y Matryoshka dieron al actor un punto de apoyo persistente para la ejecución de comandos remotos, el reconocimiento de Active Directory, la transferencia de archivos y el despliegue de herramientas posteriores", afirmaron los investigadores de seguridad Nevan Beal y Sam Decker (fuente). "Estas capacidades podrían facilitar el robo de credenciales, el movimiento lateral y el compromiso más amplio del dominio mediante herramientas adicionales entregadas tras el acceso inicial".

La empresa de ciberseguridad señaló que la intrusión de varias etapas tuvo como objetivo dos endpoints en un bufete de abogados no especificado, donde el archivo LNK se hacía pasar por "Documentos del caso" para engañar al destinatario y que hiciera clic, activando una secuencia de comandos que emplea PowerShell para obtener componentes de la siguiente etapa desde un servidor remoto ("2.26.252[.]84").

HollowFrame funciona como un cargador modular y marco de persistencia que soporta varios métodos para cargar componentes auxiliares, al mismo tiempo que realiza comprobaciones de anti-análisis para evitar ejecutarse en entornos de sandbox. Esto se determina basándose en el tiempo de actividad del sistema, la memoria instalada, el recuento de archivos en el perfil de usuario y el movimiento del cursor. La persistencia se logra configurando una tarea programada.


El cargador de Go viene con un contenedor cifrado, que luego se desempaqueta para lanzar una segunda cadena de side-loading y desplegar Matryoshka ("version.dll"), una puerta trasera basada en Rust que se comunica con su servidor C2 ("45.158.196[.]184:8888") a través de HTTP para generar una shell y entregar herramientas adicionales.

Una segunda DLL ("wtsapi32.dll") recuperada en relación con la misma actividad ha sido marcada como una variante de Matryoshka que utiliza un repositorio privado de GitHub (adioziaete/memio) para consultar comandos específicos de la víctima, enviar resultados y obtener cargas útiles.

"El repositorio funcionaba como una colección de buzones por host, con cada víctima asignada a un directorio dedicado _", explicó Blackpoint. "Estos directorios contenían beacon.json, cmd.json, result.json y, en algunos casos, un árbol de carga para la entrega de archivos".

"Esta estructura permitió al operador gestionar las tareas y los resultados para endpoints individuales a través de GitHub sin necesidad de mantener un servidor de comandos personalizado, dejando además un historial de versiones de los cambios del repositorio, a menos que se eliminaran los commits asociados o el repositorio mismo".

Al consultar la API de GitHub con el nombre de usuario (enlace) se observa que la cuenta fue creada el 6 de enero de 2023 y que la información del perfil se actualizó tan recientemente como el 7 de junio de 2026. Actualmente no se sabe quién está detrás de esta actividad.

"A lo largo de la cadena, cada etapa redujo la cantidad de comportamiento malicioso visible en la etapa anterior", señaló Blackpoint. "Esa separación complicó la atribución y la detección porque ningún componente único contenía la lógica de infección completa ni el panorama total del C2".

Fuente:
THN