Las empresas rusas se han convertido en el campo de batalla de una guerra cibernética que combina motivaciones geopolíticas, económicas y hacktivistas. Kaspersky ha documentado tres clústeres de actividad maliciosa —NightEagle, Hacking Cat y Toy Ghouls— que con tácticas y objetivos distintos, están desplegando backdoors, ransomware y malware destructivo contra infraestructuras corporativas rusas.
Lo que emerge de los informes no es solo una lista de amenazas, sino un ecosistema criminal en el que los atacantes comparten herramientas, perfeccionan técnicas y, en algunos casos, colaboran entre sí para maximizar el daño.
NightEagle: el espía silencioso que vive dentro de Exchange
NightEagle, también conocido como APT-Q-95, es un actor de amenaza activo desde al menos 2023 que ha perfeccionado el arte de la persistencia y el movimiento lateral. Su arma principal es GhostContainer, un backdoor modular que otorga a los operadores acceso completo a los servidores Microsoft Exchange de las víctimas, permitiéndoles ejecutar código arbitrario, realizar operaciones con archivos y cargar módulos adicionales.
El modus operandi de NightEagle es meticuloso. En la mayoría de los incidentes, los atacantes utilizaron credenciales válidas comprometidas para acceder a las VPN corporativas. Las conexiones VPN se originaron desde direcciones IP en el segmento ruso vinculadas a túneles de Cloudflare WARP, así como desde direcciones IP asociadas con proveedores de infraestructura virtual europeos. Esta técnica de camuflaje dificulta la atribución y permite a los atacantes mezclarse con el tráfico legítimo.
Para evitar la detección, GhostContainer se disfraza como un componente de servidor común, mimetizándose con las operaciones regulares. El malware incorpora componentes de varios proyectos de código abierto, incluyendo el túnel Neo-reGeorg, un exploit para la vulnerabilidad CVE-2020-0688 y la clase GhostWebShell de la utilidad ysoserial. Todos estos componentes están públicamente disponibles en GitHub, lo que subraya cómo los atacantes sofisticados aprovechan las herramientas legítimas para fines maliciosos.
Una vez dentro, NightEagle despliega un arsenal de técnicas para moverse lateralmente. Descarga herramientas de túnel para redirigir el tráfico de red a través de RDP utilizando Microsoft dev tunnels y un programa de código abierto llamado rdp2tcp. Explota vulnerabilidades en Active Directory, incluyendo CVE-2019-0708 (BlueKeep), para crear cuentas locales y añadirlas a los grupos de Administradores y Usuarios de Escritorio Remoto. También intenta suplantar al controlador de dominio mediante un ataque DCSync.
El objetivo final es claro: establecer persistencia en la infraestructura de la víctima, obtener hashes de contraseñas de cuentas de dominio, usar tickets Kerberos de larga duración para acceder legítimamente a los recursos objetivo y, en última instancia, irrumpir en los controladores de dominio y en toda la infraestructura de Active Directory de la víctima. Es una estrategia de toma de control total, diseñada para garantizar el acceso permanente incluso si algunas puertas se cierran.
Hacking Cat: del hacktivismo al ransomware destructivo
El segundo grupo, Hacking Cat, representa una evolución inquietante: un actor hacktivista prorruso que ha pasado de las simples desfiguraciones de sitios web y filtraciones de datos a ataques de cifrado y destrucción. Activo desde febrero de 2024, el grupo ha colaborado con otros hacktivistas como Cyber Anarchy Squad y Ukrainian Cyber Alliance, lo que complica la atribución de herramientas a atacantes específicos.
Hacking Cat ha weaponizado vulnerabilidades en servidores Exchange (CVE-2021-26855 y CVE-2026-42897) para desplegar Gorilla RAT, un troyano de acceso remoto basado en Go que puede tunelizar tráfico y permitir al operador acceder a la red interna de la víctima.
Una vez lanzado, el malware establece una conexión con un servidor remoto, registra a la víctima y espera instrucciones que le permiten ejecutar comandos arbitrarios, enumerar procesos, recopilar información del sistema, subir y descargar archivos, y abrir o cerrar un túnel TCP.
Pero Gorilla RAT es solo el principio. Hacking Cat también despliega múltiples variantes de una familia de ransomware llamada Monkey, escrita en Rust, .NET, C++ y Golang para atacar sistemas Windows, Linux y VMware ESXi. El artefacto más antiguo de Monkey ransomware data de finales del verano de 2025, y desde entonces ha evolucionado hasta convertirse en una herramienta versátil y peligrosa.
La variante en Rust de Monkey genera una clave de 32 bytes y cifra los archivos de la víctima usando ChaCha20-Poly1305. Algunas variantes no almacenan la clave en ningún lugar, lo que las convierte efectivamente en malware destructivo (wiper) que deja una nota de rescate como fachada. Otras almacenan la clave pero no incluyen información de contacto en la nota, lo que sugiere una falta de interés en la negociación.
Las otras variantes del ransomware despliegan un abanico de funcionalidades: la .NET genera una clave de 32 bytes, la envía al servidor de comando y control, y cifra los archivos usando AES-256-CBC; además, puede escalar privilegios, deshabilitar los mecanismos de recuperación de Windows, extraer credenciales de Microsoft Outlook y enviarlas al servidor C2, eliminar archivos con extensiones .bak, .backup, .bkf, .bck, y autoeliminarse tras la ejecución.
La variante en C++ ofrece funcionalidades similares, pero puede establecer persistencia mediante una tarea programada o una clave de registro RunOnce, borrar registros del sistema, deshabilitar el registro, limpiar el historial de PowerShell y el símbolo del sistema, eludir AMSI, desactivar Event Tracing for Windows (ETW), configurar exclusiones de Microsoft Defender para el cifrador, y deshabilitar una serie de mecanismos de respaldo, base de datos y recuperación, incluyendo el Servicio de Copia de Volumen Shadow (VSS).
La variante en Golang, dirigida principalmente a Linux y ESXi, establece persistencia mediante una entrada en crontab, deshabilita SELinux y AppArmor, e intenta eliminar copias de volumen shadow. Kaspersky señala que esta versión incluye funcionalidad para eliminar copias de volumen shadow que no tiene propósito en entornos Linux y ESXi, lo que sugiere que los atacantes fueron descuidados y probablemente utilizaron IA en el desarrollo del toolkit.
Hacking Cat también ha colaborado con Cyber Anarchy Squad para desplegar una cepa de ransomware conocida como ClearWater mediante un script por lotes, y con Ukrainian Cyber Alliance para desplegar un wiper llamado Nemo Wiper que sobrescribe archivos con bytes aleatorios y llena el espacio libre en disco con archivos de nombres alfanuméricos aleatorios y extensión .lock.
Tras la publicación del informe, Hacking Cat publicó en su canal de Telegram que “un par de las herramientas son nuestras, pero los lockers definitivamente no”, y acusó a Kaspersky de atribuirles herramientas de actores completamente no relacionados. Es una negación que, si bien no invalida el análisis, añade una capa de complejidad a la atribución en un ecosistema donde los límites entre grupos son cada vez más difusos.
Toy Ghouls: el grupo financiero que construye sus propias herramientas
El tercer grupo, Toy Ghouls (también conocido como Bearlyfy, Laboo.boo y Feral Wolf), representa una amenaza diferente: un actor motivado financieramente que ha evolucionado desde el uso de constructores de ransomware filtrados de Babuk y LockBit hasta su propio ransomware GenieLocker y, ahora, un backdoor personalizado.
El backdoor, detectado por primera vez en julio de 2026, aparece en dos variantes: mqtt-bird-agent 0.1.0, que utiliza el broker HiveMQ MQTT para comando y control, y matrix-bird-agent 0.1.0, que utiliza Element, una aplicación de mensajería cifrada de extremo a extremo basada en Matrix, para C2. Ambas variantes utilizan canales de comunicación poco convencionales que dificultan la detección y el bloqueo por parte de las soluciones de seguridad tradicionales.
En esta campaña, los atacantes utilizan Windows Remote Management (WinRM) para entregar los backdoors y sus archivos de configuración a los sistemas comprometidos, apoyándose en herramientas de código abierto como Evil-WinRM y WinRM-fs. El backdoor Bird Agent puede ejecutarse dentro de una sesión interactiva de línea de comandos, así como establecer persistencia como un servicio de Windows.
Una vez lanzado, busca un archivo de configuración (config.toml) en el mismo directorio desde donde se encuentra. Alternativamente, la ruta completa al archivo puede especificarse mediante la opción -c o –config.
El malware luego lee el archivo y lo cifra parcialmente con una clave derivada del valor MachineGuid de la máquina víctima almacenado en el Registro de Windows, de modo que la configuración queda vinculada a ese sistema específico. El backdoor detiene su ejecución si no puede descifrar la configuración en ejecuciones posteriores.
La configuración, dependiendo de la variante utilizada, contiene el identificador del clúster utilizado para comunicarse con el broker HiveMQ MQTT o el identificador de sala interna de Element junto con el token de acceso necesario para acceder a esa sala.
Una vez establecida la conexión, el backdoor envía información del sistema y emite solicitudes HTTP GET al broker HiveMQ para obtener comandos del servidor C2, ejecutarlos a través de PowerShell en modo oculto y transmitir los resultados de vuelta al servidor.
Kaspersky señala que el cambio de Toy Ghouls desde proyectos de código abierto públicamente disponibles hacia herramientas personalizadas sugiere que el grupo está trabajando para hacer sus ataques más sofisticados y evadir la detección durante más tiempo.
Un ecosistema criminal en evolución
Lo que emerge de los tres informes de Kaspersky no es una imagen de actores aislados, sino de un ecosistema interconectado. NightEagle, Hacking Cat y Toy Ghouls comparten herramientas, técnicas y, en algunos casos, infraestructura. Los grupos hacktivistas colaboran entre sí, intercambian herramientas y coordinan ataques. Los desarrolladores de malware crean, mantienen y modifican herramientas que luego son utilizadas por múltiples grupos.
La teoría de Kaspersky sobre la existencia de una fuente común para las herramientas utilizadas por diferentes grupos hacktivistas —un desarrollador o un pequeño grupo de desarrolladores que crean y mantienen el malware— apunta a una profesionalización del cibercrimen que dificulta la atribución y la respuesta. Los grupos ya no necesitan ser expertos en desarrollo de malware; pueden especializarse en la explotación, el movimiento lateral o la extorsión, y confiar en otros para las herramientas.
Para las empresas rusas, el mensaje es claro: la amenaza es múltiple, persistente y sofisticada. La combinación de backdoors sigilosos, ransomware destructivo y wipers diseñados para borrar datos sin posibilidad de recuperación crea un panorama en el que la defensa requiere no solo tecnología, sino también inteligencia, colaboración y una comprensión profunda de las tácticas, técnicas y procedimientos de los atacantes.
La guerra cibernética en Rusia no es un conflicto lejano. Es una realidad que está transformando la forma en que las empresas entienden la seguridad, la resiliencia y la continuidad del negocio. Y en ese campo de batalla, la información es tan valiosa como la defensa.
Descubre más desde CIBERED
Suscríbete y recibe las últimas entradas en tu correo electrónico.
