Arsenal de FishMonger actualizado: SprySOCKS para Windows

Un equipo de investigadores ha destapado dos versiones inéditas del backdoor SprySOCKS, hasta ahora exclusivo de sistemas Linux, pero adaptado para atacar equipos con Windows. Este malware, vinculado al grupo de ciberespionaje FishMonger —asociado a un contratista chino—, ha estado activo entre 2023 y 2024, afectando principalmente a organismos públicos en países como Honduras, Taiwán, Tailandia y Pakistán. Las variantes, identificadas como WIN_DRV y WIN_PLUS, amplían el arsenal de herramientas de este actor malicioso, conocido por su enfoque en objetivos gubernamentales y estratégicos.

Lo preocupante de estas nuevas versiones no es solo su capacidad para operar en Windows, sino su sofisticación. Ambas variantes incorporan más de 30 comandos para controlar el sistema infectado: desde recopilar información básica hasta manipular archivos, procesos y servicios. Sin embargo, la variante WIN_DRV va un paso más allá. Utiliza un kernel driver para ocultar su actividad, camuflando conexiones de red, procesos y archivos, e incluso redirigiendo tráfico TCP sin dejar rastro visible. Esto la convierte en una amenaza especialmente sigilosa, capaz de evadir herramientas de detección convencionales.

Un patrón de ataque con raíces conocidas

FishMonger no es un grupo nuevo. Desde 2019, ha estado detrás de campañas de ciberespionaje, incluyendo ataques a universidades durante las protestas en Hong Kong y operaciones de watering hole —técnicas que infectan sitios web legítimos para comprometer a sus visitantes—. Su modus operandi suele incluir la explotación de vulnerabilidades en servidores expuestos a internet, como aplicaciones sin parches o configuraciones inseguras. En este caso, aunque no se ha confirmado el vector inicial de infección, la presencia de sistemas operativos de servidor en algunos equipos afectados apunta a un patrón similar.

El origen de SprySOCKS también es revelador. Su código se basa en Trochilus, un remote access trojan (RAT) de código abierto para Windows, pero ha sido modificado y ampliado hasta convertirse en una herramienta independiente. La versión para Linux, documentada por primera vez en 2023, ya mostraba capacidades avanzadas, pero estas adaptaciones para Windows demuestran una evolución constante. Además, hay indicios de que algunos ataques podrían haber utilizado un UEFI bootkit, aprovechando una vulnerabilidad conocida (CVE-2023-24932) para persistir incluso tras reinicios o formateos.

Qué significa para tu negocio

Aunque esta campaña parece dirigida a gobiernos, la aparición de herramientas como SprySOCKS para Windows es una señal de alerta para cualquier pyme. Los grupos de ciberespionaje suelen probar técnicas en objetivos de alto valor antes de adaptarlas a otros sectores, y lo que hoy afecta a organismos públicos mañana puede llegar a empresas de construcción, reformas o servicios técnicos. ¿El riesgo? Que un ataque así paralice tu operación, robe datos sensibles o incluso se use como puente para acceder a clientes o proveedores.

La buena noticia es que hay medidas prácticas para reducir la exposición. Primero, parchea siempre los servidores y aplicaciones expuestas a internet, especialmente si manejan datos críticos. Segundo, limita los permisos de usuario: un empleado no necesita acceso de administrador para revisar correos. Tercero, monitoriza el tráfico de red en busca de comportamientos anómalos, como conexiones a puertos no habituales. Y cuarto, forma a tu equipo: muchos ataques empiezan con un clic en un enlace o archivo adjunto. Herramientas como la IA de LaiaDesk pueden ayudarte a detectar patrones sospechosos antes de que escalen, pero la prevención empieza con hábitos sencillos y una cultura de seguridad en el día a día.