Un nuevo malware atribuido al grupo de piratas informáticos vinculado a Rusia conocido como COLDRIVER ha experimentado numerosas iteraciones de desarrollo desde mayo de 2025, lo que sugiere un mayor "ritmo de operaciones" por parte del actor de amenazas.
Los hallazgos provienen de Google Threat Intelligence Group (GTIG), que dijo que el equipo de piratas informáticos patrocinado por el estado ha refinado y rediseñado rápidamente su arsenal de malware apenas cinco días después de la publicación de su malware LOSTKEYS aproximadamente al mismo tiempo.
Si bien actualmente no se sabe cuánto tiempo han estado en desarrollo las nuevas familias de malware, el equipo de inteligencia de amenazas del gigante tecnológico dijo que no ha observado una sola instancia de LOSTKEYS desde la divulgación.
El nuevo malware, cuyo nombre en código es NOROBOT, YESROBOT y MAYBEROBOT, es "una colección de familias de malware relacionadas conectadas a través de una cadena de distribución", dijo el investigador de GTIG Wesley Shields en un análisis del lunes.
Las últimas oleadas de ataques se alejan del modus operandi habitual de COLDRIVER, que consiste en atacar a personas de alto perfil en ONG, asesores políticos y disidentes para robarles credenciales. En cambio, la nueva actividad se centra en el uso de señuelos similares a ClickFix para engañar a los usuarios y que ejecuten comandos maliciosos de PowerShell a través del cuadro de diálogo Ejecutar de Windows como parte de una solicitud falsa de verificación CAPTCHA.
Si bien los ataques detectados en enero, marzo y abril de 2025 condujeron a la implementación de un malware que roba información conocido como LOSTKEYS, las intrusiones posteriores allanaron el camino para la familia de malware "ROBOT". Cabe destacar que Zscaler ThreatLabz rastrea las familias de malware NOROBOT y MAYBEROBOT bajo los nombres BAITSWITCH y SIMPLEFIX , respectivamente.
La nueva cadena de infección comienza con un señuelo HTML ClickFix llamado COLDCOPY , diseñado para instalar una DLL llamada NOROBOT , que luego se ejecuta mediante rundll32.exe para instalar el malware de siguiente etapa. Se dice que las versiones iniciales de este ataque distribuyeron una puerta trasera de Python conocida como YESROBOT , antes de que los actores de la amenaza cambiaran a un implante de PowerShell llamado MAYBEROBOT .
YESROBOT utiliza HTTPS para recuperar comandos de un servidor de comando y control (C2) codificado. Una puerta trasera mínima permite descargar y ejecutar archivos, así como recuperar documentos de interés. Hasta la fecha, solo se han observado dos casos de implementación de YESROBOT, concretamente durante un periodo de dos semanas a finales de mayo, poco después de que se hicieran públicos los detalles de LOSTKEYS.
Por el contrario, se considera que MAYBEROBOT es más flexible y extensible, equipado con funciones para descargar y ejecutar la carga útil desde una URL específica, ejecutar comandos usando cmd.exe y ejecutar código PowerShell.
Se cree que los actores de COLDRIVER se apresuraron a implementar YESROBOT como un "mecanismo provisional", probablemente en respuesta a la divulgación pública, antes de abandonarlo en favor de MAYBEROBOT, ya que la primera versión de NOROBOT también incluía un paso para descargar una instalación completa de Python 3.8 en el host comprometido: un artefacto "ruidoso" que seguramente levantará sospechas.
Google también señaló que el uso de NOROBOT y MAYBEROBOT probablemente esté reservado para objetivos importantes, que pueden haber sido ya comprometidos a través de phishing, con el objetivo final de recopilar información adicional de sus dispositivos.
NOROBOT y su cadena de infección anterior han estado en constante evolución: inicialmente se simplificaron para aumentar las posibilidades de un despliegue exitoso, antes de reintroducir la complejidad mediante la división de claves criptográficas ?dijo Shields?. Este desarrollo constante pone de relieve los esfuerzos del grupo por evadir los sistemas de detección de su mecanismo de entrega para la recopilación continua de inteligencia contra objetivos de alto valor.
La revelación llega cuando el Servicio de Fiscalía Pública de los Países Bajos, conocido como Openbaar Ministerie (OM), anunció que tres hombres de 17 años son sospechosos de proporcionar servicios a un gobierno extranjero, y uno de ellos presuntamente está en contacto con un grupo de piratas informáticos afiliado al gobierno ruso.
"Este sospechoso también dio instrucciones a los otros dos para que mapearan redes wifi en varias fechas en La Haya", declaró OM . "La información recopilada fue compartida con el cliente por el exsospechoso a cambio de una tarifa y puede utilizarse para espionaje digital y ciberataques".
Dos de los sospechosos fueron detenidos el 22 de septiembre de 2025, mientras que el tercer sospechoso, que también fue entrevistado por las autoridades, ha permanecido bajo arresto domiciliario debido a su "papel limitado" en el caso.
"Aún no hay indicios de que se haya ejercido presión sobre el sospechoso que estaba en contacto con el grupo de hackers afiliado al gobierno ruso", añadió el organismo gubernamental holandés.
Fuente: TheHackerNews.