En octubre de 2026, atacantes utilizaron el ransomware Anubis para infiltrarse en una organización de EE. UU. Para lograrlo, emplearon un nuevo backdoor personalizado llamado Lindnor y desplegaron al menos 13 herramientas diseñadas para desactivar el software de seguridad. Según el boletín de Symantec, la carga útil de cifrado fue bloqueada antes de que pudiera ejecutarse.

Atacantes que utilizan el ransomware Anubis irrumpieron en una organización de EE. UU. en octubre de 2026. Utilizaron una nueva puerta trasera personalizada llamada Lindnor y desplegaron al menos 13 herramientas diseñadas para desactivar el software de seguridad.

El Boletín de Protección de Symantec indica que la carga útil de cifrado fue bloqueada antes de que pudiera ejecutarse.

Ransomware Anubis y la puerta trasera Lindnor

Symantec identifica al desarrollador de Anubis como Hawkmoth. El grupo opera un servicio de ransomware (RaaS) que apareció en diciembre de 2024 como un cambio de marca del ransomware Sphinx. La carga útil parece prácticamente idéntica a la de Sphinx, y solo la marca es nueva.

Debido a que Hawkmoth permite que sus afiliados lleven a cabo los ataques, los métodos pueden variar de una intrusión a otra. Investigadores de Barracuda han descrito la mezcla de borrado de datos, filtraciones y extorsión del grupo. El grupo ha reclamado cerca de 96 víctimas en los últimos 12 meses, y el 52% de ellas se encuentran en Estados Unidos.

El grupo también es persistente. En un caso de julio de 2026, Symantec observó que los atacantes utilizaron cuatro herramientas diferentes para robar datos: Megasync, WinSCP, Filezilla y S3browser. Usar tantas herramientas del mismo tipo en un solo ataque es inusual.

Según la investigación técnica publicada por Symantec, los investigadores no pudieron determinar cómo entraron los atacantes inicialmente. La primera señal de alerta fue la puerta trasera Lindnor, que se encontraba en dos máquinas. Estas eran los únicos dos servidores Microsoft SQL entre los sistemas afectados.

Los atacantes nombraron la puerta trasera healthcontroller64.exe en una máquina y la colocaron en una carpeta diseñada para parecer un directorio de componentes de Chrome. En la otra máquina era svchelper.exe en una carpeta de VMware. Ambas copias se ejecutaban como un servicio.

Lindnor envía el ID del proceso, la versión de Windows, la ruta del archivo, el nombre del equipo, el nombre de usuario, el dominio y el servidor de inicio de sesión a su servidor de comando y control. Tiene un servidor principal y uno de respaldo, y ambos utilizan el puerto 443, lo que permite que se mezcle con el tráfico web normal.

Las puertas traseras personalizadas son raras en los casos de ransomware, ya que la mayoría de los grupos utilizan herramientas públicas o integradas. Symantec también detectó Lindnor en otras dos redes no relacionadas, pero allí no apareció ningún ransomware.

En aproximadamente una hora, los atacantes desplegaron al menos 13 ejecutables destinados a cerrar los productos de seguridad. Se apoyaron en un método llamado Bring Your Own Vulnerable Driver (BYOVD) y trajeron cinco controladores firmados pero defectuosos para obtener control a nivel de kernel.

Dos de las herramientas, gbbsym.exe y symgooq.exe, fingían ser software de Symantec. Once de las 13 herramientas no habían sido publicadas anteriormente, aunque todos los controladores ya eran conocidos.

Symantec bloqueó cada archivo desplegado excepto huntreagent.exe y s1.exe. Esos dos tienen el mismo tamaño pero diferentes hashes, por lo que podrían ser dos versiones de una misma herramienta. El patrón parece ser de prueba y error, con los atacantes probando una herramienta tras otra hasta que algo funcionó.

El BYOVD funciona porque Windows confía en los controladores firmados. El libro blanco "Lights Out" de Symantec afirma que hay cientos de controladores vulnerables circulando y que las herramientas BYOVD ahora vienen integradas en los kits de RaaS.

Nuestro informe anterior sobre tácticas eliminadoras de EDR más allá de los controladores vulnerables muestra cuán comunes se han vuelto estas herramientas.

Los atacantes instalaron la herramienta remota real AnyDesk, luego crearon un nuevo usuario local y lo agregaron a un grupo local. También ejecutaron safemode.exe, que configura AnyDesk para que siga funcionando cuando Windows inicia en Modo Seguro con Funciones de Red.

Esto es importante porque la mayoría del software de seguridad no se ejecuta completamente en Modo Seguro. Eso les da a los atacantes una ventana tranquila para cargar controladores y desactivar la protección. El truco no es nuevo, pero rara vez se ve.

El cifrador de Anubis se llamaba iservice.exe. Añade la extensión .anubis a los archivos y deja notas de rescate llamadas restore files.txt y restore files.html. Las notas dicen que los datos fueron robados y serán publicados si las negociaciones fallan.

Anubis también tiene un modo de borrado (wiper) opcional que vacía el contenido de los archivos. Nuestra cobertura anterior sobre el modo de borrado de Anubis explica por qué pagar podría no recuperar tus archivos. En este caso, Symantec bloqueó la carga útil antes de que comenzara el cifrado.

Los atacantes venían preparados para que las herramientas de seguridad se interpusieran en su camino, pero el último paso falló. Symantec afirma que pocos grupos de ransomware crean sus propias puertas traseras.

Como defensor, debes vigilar los nombres de archivos y hashes que Symantec enumeró, incluyendo los dominios msrcontrib[.]com y cfgsync-relay.eastus.cloudapp.azure[.]com. El hash clave de Lindnor es fc200686175559f4544a5de826905f09a68476d889690a3be40ac32356790cb8.

Tu equipo también debería bloquear los controladores vulnerables conocidos, limitar los derechos de administrador y generar alertas sobre nuevos servicios que imiten archivos de Chrome o VMware.

Vigila de cerca los servidores SQL, ya que ambas infecciones de Lindnor se encontraron allí. Finalmente, revisa cualquier instalación de AnyDesk y cualquier cambio extraño en el registro del Modo Seguro.

Fuentes:
https://cybersecuritynews.com/anubis-ransomware-lindnor-backdoor/