A lo largo de 2025, el grupo de ciberespionaje Gamaredon, atribuido por el Servicio de Seguridad de Ucrania (SSU) al 18º Centro de Seguridad Informática del FSB ruso, ha mantenido un ritmo operativo implacable contra instituciones gubernamentales y militares ucranianas. La investigación de ESET Research revela una evolución significativa en sus tácticas, que ahora integran túneles de red, plataformas de workers serverless, servicios de dead drops y alianzas con otros actores de amenazas alineados con Rusia, como Turla. Este artículo analiza en profundidad las nuevas herramientas, la sofisticación creciente de su infraestructura de red y las implicaciones estratégicas de sus operaciones durante el año.
Operaciones incesantes: campañas de spearphishing masivas y nuevas alianzas
Gamaredon centró sus esfuerzos exclusivamente en Ucrania, con el objetivo de exfiltrar información sensible que pudiera ser explotada para apoyar los intereses rusos en la guerra en curso. A lo largo del año, ESET identificó 35 campañas de spearphishing distintas dirigidas a nuevos objetivos. La mayoría de estas campañas se ejecutaron en la segunda mitad del año, y fueron significativamente más grandes que las observadas a principios de 2025. El grupo no solo incrementó la frecuencia de los ataques, sino también su escala. A partir del 26 de septiembre de 2025, Gamaredon comenzó a explotar activamente la vulnerabilidad CVE-2025-8088 en WinRAR para colocar descargadores maliciosos en la carpeta de inicio del sistema, garantizando la persistencia incluso sin intervención directa del usuario.
Colaboración estratégica con Turla a principios de 2025
Un hallazgo relevante fue la cooperación documentada entre Gamaredon y Turla, otro actor de amenazas vinculado al FSB. Esta colaboración, detectada a principios de 2025, demuestra la capacidad de los grupos alineados con Rusia para coordinar campañas de ciberespionaje, amplificando su impacto operativo. Además, el grupo UAC-0099, también alineado con Rusia, fue observado realizando operaciones de acceso inicial para luego transferir objetivos validados a Sandworm, lo que indica una creciente división de tareas entre estos actores.
Seis nuevas herramientas PowerShell y el regreso de un viejo weaponizer VBScript
En 2025, Gamaredon desarrolló y desplegó seis nuevas herramientas maliciosas escritas en PowerShell, la mayoría durante el primer trimestre del año. Estas herramientas, en general simples, se centran en la entrega de cargas útiles y la persistencia, siguiendo el patrón histórico del grupo de preferir una gran cantidad de herramientas simples y actualizables sobre malware altamente sofisticado.
- PteroDee y PteroCache: Descargadores directos de PowerShell que ejecutan cargas útiles directamente en memoria.
- PteroDum: Descargador para cargas útiles VBScript, que las escribe temporalmente en disco, las ejecuta y las elimina.
- PteroOdd: Un minúsculo descargador utilizado casi exclusivamente en el contexto de la colaboración con Turla, que recupera cargas útiles a través de la API de Telegra.ph.
- PteroEffigy: Descargador ligero que utiliza el servicio de almacenamiento en la nube GoFile para obtener la siguiente dirección del servidor de comando y control (C&C).
- PteroPaste: La herramienta más compleja del lote, que combina un descargador, un weaponizer para unidades USB y un componente de ejecución para persistencia y orquestación. Las versiones tempranas utilizaban Rentry como punto de estacionamiento intermedio para cargas útiles cifradas. Versiones posteriores cambian a Dropbox para recuperar un nombre de host C&C cifrado, descifrarlo localmente y conectarse a la infraestructura oculta tras servicios de túneles.
Además, Gamaredon resucitó una vieja herramienta VBScript llamada PteroSetup, que había sido descontinuada años atrás. Esta versión escanea unidades fijas, extraíbles y de red en busca de archivos ejecutables con apariencia de instaladores, y los reemplaza con archivos autoextraíbles maliciosos que contienen tanto el instalador original como un descargador VBScript. La víctima ejecuta un archivo que parece legítimo, pero que en realidad lanza tanto el instalador esperado como el código malicioso.
Infraestructura de red avanzada: túneles, workers y DDNS como capa de ocultación
La evolución más significativa en 2025 reside en la forma en que Gamaredon protege su infraestructura de red. El grupo ha aumentado drásticamente su dependencia de servicios de terceros para ocultar sus servidores C&C, haciendo que la interrupción de sus operaciones sea mucho más compleja para los defensores.
¿Cómo protege Gamaredon sus servidores C&C?
Gamaredon utiliza una combinación de túneles, workers serverless y DNS dinámico (DDNS) para ocultar la verdadera ubicación de sus servidores de comando y control. Los túneles, como Cloudflare (trycloudflare.com) o Microsoft Dev Tunnels (devtunnels.ms), exponen una aplicación a internet a través de un dominio controlado por el proveedor, sin revelar el servidor real. Los workers, como los de Cloudflare (workers.dev), van un paso más allá: ejecutan código en una plataforma serverless que procesa las peticiones antes de reenviarlas, añadiendo una capa adicional de anonimato. A partir de mayo de 2025, el grupo comenzó a utilizar workers de Cloudflare, y en junio incorporó los devtunnels de Microsoft y Loophole (loophole.site). También se observaron experimentos aislados con loca.lt y bore.pub. Paralelamente, Gamaredon retomó el uso de DNS dinámico (DDNS) con servicios como No-IP, una técnica que había sido un sello distintivo de sus operaciones en el pasado, y comenzó a abusar de plataformas como servicio (PaaS) de Clever Cloud y Supabase para alojar infraestructura desechable que se mezcla con el tráfico legítimo.
Dead drops: el concepto clásico de espionaje aplicado al ciberespacio
Uno de los pilares de la estrategia de Gamaredon en 2025 fue el uso intensivo de puntos muertos o «dead drops». Este concepto, heredado del espionaje tradicional, consiste en que los operadores dejan información en un lugar público o en un servicio legítimo, y el malware la recupera posteriormente. En lugar de incrustar la dirección del servidor C&C directamente en el código malicioso, el malware contacta primero con una página pública en un servicio legítimo, lee un valor oculto y solo entonces se conecta al verdadero servidor.
Esta técnica ofrece ventajas tácticas inmensas: permite cambiar de servidor rápidamente y complica el bloqueo, ya que los defensores se muestran reacios a bloquear servicios ampliamente utilizados. En 2025, Gamaredon abusó de una amplia gama de servicios como dead drops: canales de Telegram (t.me), Telegra.ph, Teletype.in, Rentry.co, Write.as, Dropbox, GoFile, la red social DEV Community (dev.to), Mastodon (mastodon.social), Lesma.eu, Nopaste.net y Paste.ee. En muchos casos, estos servicios ya no apuntaban directamente a direcciones IP de C&C, sino a otra capa intermedia, como un túnel o un worker, añadiendo una profundidad defensiva adicional.
Almacenamiento en la nube como canal preferido de exfiltración
Otro cambio fundamental se produjo en el lado de la exfiltración de datos. Gamaredon actualizó sus dos principales robadores de archivos, PteroPSDoor y PteroVDoor, para que pudieran cargar los datos robados en servicios de almacenamiento en la nube compatibles con la API de Amazon S3. A lo largo del año, las configuraciones migraron de Wasabi (wasabisys.com) a Tebi (tebi.io) y finalmente a Intercolo (de-fra.i3storage.com), que para diciembre de 2025 se había convertido en el destino principal de exfiltración. PteroBox continuó utilizando Dropbox, y una variante más nueva empleaba la utilidad rclone para la transferencia. Subir archivos robados a servicios legítimos de almacenamiento en la nube reduce la necesidad de mantener infraestructura propia para recibir grandes volúmenes de datos y ayuda a que el tráfico malicioso se mezcle con el acceso legítimo a estos proveedores. Esencialmente, Gamaredon utiliza cada vez más servicios de terceros no solo para ocultar de dónde provienen las instrucciones, sino también hacia dónde se dirigen los datos robados.
Implicaciones estratégicas y perspectivas futuras
El análisis de la actividad de Gamaredon en 2025 revela una amenaza que, aunque basada en herramientas relativamente simples desde el punto de vista técnico, compensa su falta de sofisticación con una capacidad de adaptación y una creatividad inusitadas en el abuso de servicios legítimos. La integración de túneles, workers, dead drops y almacenamiento en la nube no solo hace que sus operaciones sean más flexibles, sino que también eleva significativamente la dificultad para los equipos de defensa. La colaboración con Turla y la observación de una división de tareas con actores como UAC-0099 y Sandworm sugieren un ecosistema de ciberespionaje ruso cada vez más coordinado y eficiente. Mientras el conflicto en Ucrania continúe, Gamaredon permanecerá como una amenaza persistente y relevante para las instituciones ucranianas, evolucionando sus métodos para eludir las defensas y mantener su flujo de inteligencia hacia los intereses del Kremlin.
