El grupo alineado con Rusia, Earth Sirrush, está desplegando malware de espionaje contra organizaciones ucranianas, incluyendo agencias gubernamentales, defensa, guardias fronterizos y operadores logísticos. Desde 2022, este grupo ha utilizado tácticas avanzadas como la esteganografía en imágenes PNG y plugins maliciosos de Notepad++ para comprometer redes de suministro en tiempos de guerra, iniciando sus ataques mediante campañas de phishing personalizadas.

Earth Sirrush está ocultando malware de espionaje dentro de imágenes PNG y plugins maliciosos de Notepad++ para comprometer organizaciones ucranianas.

El grupo alineado con Rusia ha tenido como objetivo agencias gubernamentales, organizaciones de defensa, guardias fronterizos y operadores logísticos desde al menos 2022, cambiando repetidamente sus herramientas para mantener el acceso a través de las redes de suministro en tiempos de guerra del país.

Los ataques comienzan con mensajes de phishing cuidadosamente diseñados, archivos maliciosos y documentos que suplantan a instituciones de confianza.

Campañas anteriores también explotaron la vulnerabilidad de WinRAR CVE-2023-38831, mientras que las operaciones más recientes combinan páginas de descarga convincentes con cargas útiles ocultas y componentes de software que parecen legítimos.

Investigadores de TrendAI identificaron vínculos entre estas campañas, rastreando la actividad desde 2022 hasta julio de 2026.

TrendAI señaló en un informe que el grupo desarrolló más de 10 familias de malware mientras mantenía patrones de desarrollo e infraestructura reconocibles.

Anteriormente rastreado como SHADOW-EARTH-065, Earth Sirrush coincide con la designación UAC-0099 de CERT-UA. Su historial de métodos de ataque UAC-0099 en evolución proporciona contexto para los últimos hallazgos, que apuntan a una recopilación de inteligencia sostenida en lugar de un robo rápido seguido de una salida inmediata.

Earth Sirrush utiliza esteganografía PNG y plugins maliciosos de Notepad++

En 2026, el grupo expandió el uso de la esteganografía, una técnica que oculta información dentro de archivos ordinarios. Una campaña, rastreada como CINDERBLOT y también conocida como BadPaw, utilizó mensajes de phishing suplantando al Servicio de Guardia Fronteriza Estatal de Ucrania para atraer a los destinatarios a la cadena de infección.

Una operación posterior suplantó a una empresa de piezas de drones y dirigió a las víctimas a un sitio web con aspecto profesional. Un mensaje fraudulento de verificación de antivirus incentivaba la descarga de archivos ZIP armados, ilustrando cómo el branding comercial familiar puede hacer que una página de entrega maliciosa parezca confiable para los posibles compradores.

Los atacantes ocultaron las cargas útiles dentro de imágenes PNG y utilizaron tareas programadas para lanzarlas. Técnicas similares de ocultamiento de malware en PNG han aparecido en otras campañas, pero Earth Sirrush utilizó múltiples enfoques, incluyendo la anexión de código después de los datos de la imagen y la extracción de contenido oculto de los píxeles con PowerShell.

En julio de 2026, CERT-UA documentó otra cadena que comenzaba con LUNCHPOKE, un plugin malicioso de Notepad++. A través del proxy de DLL, el plugin ejecuta el código del atacante cuando se inicia el editor, haciendo que el abuso de los plugins de Notepad++ sea una ruta de entrega que se basa en software familiar en lugar de una aplicación obviamente sospechosa.

LUNCHPOKE despliega BURNYBEAR, un cargador .NET, y MATCHBOIL.V2, un cargador actualizado con un cifrado más fuerte y un ocultamiento revisado.

Los componentes residen en directorios editables aleatorios, mientras que las utilidades de programación de Windows renombradas establecen ejecuciones frecuentes; una cadena paralela basada en imágenes utiliza la configuración de inicio de Windows para preservar el acceso.

Espionaje y Defensas

Entre las herramientas más nuevas del grupo se encuentra ASHVEIN, un troyano de acceso remoto y robador de información .NET previamente no documentado.

Sus capacidades incluyen el robo de credenciales de Chrome y Firefox, la captura de pantallas, la recuperación de archivos, la ejecución de comandos remotos de PowerShell y la recopilación de información identificativa sobre la computadora comprometida.

ASHVEIN cifra las comunicaciones y busca herramientas comúnmente utilizadas para investigar el malware. También oculta instrucciones dentro de elementos invisibles de páginas web, mientras que algunas variantes utilizan GitHub como fuente de respaldo para la información del servidor, proporcionando formas alternativas de reconectarse cuando la ruta principal no está disponible.

Los hallazgos extienden informes anteriores sobre las cadenas de entrega de cargadores de UAC-0099 en objetivos ucranianos. Los investigadores conectaron las familias de malware cambiantes a través de código de cifrado compartido, consultas de identificación de sistema idénticas, artefactos de firma reutilizados, rastros de desarrollo recurrentes y relaciones de infraestructura, en lugar de tratar cualquier pista individual como evidencia decisiva.

Muchos servidores de comando confirmados utilizaron el mismo registrador y el fronting de Cloudflare, con sistemas backend concentrados en una sola red de alojamiento.

En un caso observado, la persistencia mediante tareas programadas preservó un implante durante un mes sin comunicación con el servidor, subrayando la capacidad del grupo para mantener puntos de apoyo a largo plazo.

TrendAI recomienda bloquear la infraestructura maliciosa confirmada mientras se tratan los sistemas backend compartidos como evidencia de apoyo, no como prueba por sí mismos.

Tú, como defensor, deberías investigar la carga de plugins inusuales, utilidades de programación renombradas, la creación de ejecutables en directorios editables, montajes de discos virtuales sospechosos y código ejecutable anexado a archivos de imagen.

El informe también recomienda el registro y las restricciones de PowerShell, la auditoría del acceso a credenciales protegidas y el monitoreo del acceso inusual a los datos del navegador.

Tu personal debe aprender a reconocer la suplantación institucional dirigida, verificar las firmas de los documentos entrantes y estar atento a las extensiones de archivo ocultas, particularmente en organizaciones gubernamentales, de defensa, seguridad fronteriza y logística, donde la correspondencia convincente puede ocultar un compromiso persistente.