Han aprovechado un fallo conocido de WinRAR para instalar malware en sistemas Windows, centrando sus ataques en organizaciones gubernamentales de la Comunidad de Estados Independientes (CEI). Esta campaña demuestra cómo una herramienta de archivos sin actualizar puede transformar un adjunto rutinario en un acceso remoto permanente que se activa cuando la víctima inicia sesión.

UAT-6275 ha utilizado un fallo conocido de WinRAR para plantar malware en sistemas Windows, teniendo como objetivo organizaciones gubernamentales de la Comunidad de Estados Independientes (CEI).

Esta actividad demuestra cómo una herramienta de archivado sin parches puede convertir un archivo adjunto rutinario en un acceso remoto permanente, activándose el programa malicioso la próxima vez que la víctima inicie sesión.

La campaña involucra el CVE-2025-8088, un fallo de salto de ruta (path traversal) que permite que archivos diseñados específicamente escriban archivos fuera de la carpeta seleccionada para la extracción.

Los investigadores observaron que el grupo añadió este método en abril de 2026, junto con ataques más antiguos que utilizaban macros de Word, descargadores ejecutables y accesos directos maliciosos. La actividad general revisada abarcó desde junio de 2025 hasta agosto de 2026.

Investigadores de Cisco Talos, trabajando con el Insikt Group de Recorded Future, identificaron el malware y vincularon la actividad a UAT-6275, rastreado por Recorded Future como TAG-193.

Su informe de investigación del 14 de octubre describe shells inversas personalizadas llamadas PickleShell, Chvost y Laplas. Estas herramientas permiten a los atacantes enviar comandos a ordenadores infectados y recibir los resultados a través de conexiones remotas.

Los hackers de UAT-6275 explotan el fallo de WinRAR

El ataque de WinRAR, clasificado como Cadena D, utilizó un archivo RAR que contenía dos señuelos PDF visibles. Ocultos en su interior había registros de carga útil que abusaban de los flujos de datos alternativos de NTFS, una característica de archivos de Windows.

El fallo de salto de ruta de WinRAR permitió que esos registros colocaran PickleShell en la carpeta de Inicio (Startup) del usuario actual en lugar de la ubicación de extracción esperada.

El archivo incluía diez nombres de flujo ocultos que apuntaban a la misma carga útil, con diferentes números de pasos de carpeta superior. Este enfoque ayudó a cubrir diferentes ubicaciones de extracción.

Una escritura exitosa colocó el ejecutable en Inicio sin requerir derechos de administrador. El malware se ejecutó entonces en el siguiente inicio de sesión, dándole al atacante un punto de apoyo sin necesidad de otra solicitud.

PickleShell es una shell inversa C#/.NET que se hace pasar por un componente de servicio de Windows. La carga útil analizada inicia una shell de comandos oculta y transfiere la entrada y salida de comandos a su servidor de control. Versiones posteriores utilizaron conexiones cifradas.

Los investigadores también encontraron un identificador estable en nueve muestras, ofreciendo a los defensores otra forma de buscar archivos relacionados a pesar de los cambios de nombre.

La actividad anterior comenzó con documentos de Word habilitados para macros en junio de 2025. Cuando la víctima habilitaba las macros, el documento descargaba y ejecutaba otro programa.

Desde julio, los descargadores PS2EXE empaquetaron scripts de PowerShell como ejecutables de Windows, obtuvieron cargas útiles de shell inversa y crearon tareas programadas para mantenerse en ejecución. Estas etapas muestran que el exploit de WinRAR expandió un conjunto de herramientas ya existente en lugar de reemplazarlo.

Cuatro rutas de entrega soportan el acceso

Desde octubre de 2025, accesos directos maliciosos lanzaron PowerShell para recuperar scripts de GitHub. Versiones posteriores también descargaron PickleShell en la carpeta de Inicio.

Campañas anteriores de phishing de Silent Lynx utilizaron archivos adjuntos y accesos directos similares con temática gubernamental. Talos informó de un solapamiento con Silent Lynx, pero continúa rastreando a UAT-6275 separadamente de YoroTrooper porque no se observó un solapamiento directo de indicadores o herramientas entre esos dos grupos.

Tres directorios de preparación expuestos y un repositorio de GitHub no reportado previamente dieron a los investigadores acceso a cargas útiles, listas de herramientas y cambios en la infraestructura.

El historial del repositorio ayudó a rastrear las actualizaciones del malware y los cambios en el servidor de control. Métodos similares de entrega de malware a través de GitHub aparecen en campañas no relacionadas, subrayando por qué debes examinar el comportamiento de los scripts en lugar de asumir que las descargas desde una plataforma confiable son seguras.

Las víctimas observadas y los temas de los señuelos abarcaron Kazajistán, Kirguistán, Tayikistán, Turkmenistán, Uzbekistán, Armenia, Azerbaiyán, Rusia y Bielorrusia.

El trabajo objetivo incluyó diplomacia, planificación económica, agricultura, gestión ambiental y energía. Los señuelos incluyeron una carta diplomática armenia y una propuesta que involucraba a Turkmennebit de Turkmenistán y la Refinería de Petróleo de Orsk de Rusia, sugiriendo interés en conversaciones regionales y suministros de recursos.

Talos evaluó una conexión con Kazajistán con confianza media, citando pistas idiomáticas, envíos de prueba, acceso a la infraestructura y horarios de trabajo consistentes con UTC+5.

Esa evaluación no establece un patrocinio gubernamental. Los investigadores también recuperaron herramientas compatibles con Linux y un exploit público de FortiWeb, pero el documento conjunto no confirmó que este actor hubiera explotado sistemas FortiWeb en el mundo real.

Las organizaciones deben actualizar las instalaciones afectadas de WinRAR a una versión soportada que contenga la corrección introducida en la versión 7.13. Otras campañas de explotación de WinRAR muestran por qué el software de archivado merece revisiones regulares de parches.

Los equipos de seguridad deben revisar archivos inesperados en la carpeta de Inicio, nuevas tareas programadas, sesiones ocultas de PowerShell y scripts descargados de repositorios públicos, especialmente cuando estos eventos siguen a la extracción de un archivo o a adjuntos de correo electrónico sospechosos.

El hallazgo también requiere una revisión cuidadosa de incidentes: eliminar el archivo adjunto RAR original no elimina una carga útil que ya haya sido escrita en Inicio. Como defensor, debes conectar la creación de archivos, la ejecución de procesos y el tráfico saliente al verificar sospechas de infección.

Talos publicó firmas de ClamAV y reglas de Snort para su cobertura, mientras que el documento técnico conjunto proporciona hashes e indicadores de red que pueden apoyar las búsquedas en registros de endpoints y logs conservados durante la respuesta a incidentes y la búsqueda de amenazas.

Fuentes:
https://cybersecuritynews.com/uat-6275-hackers/