{"id":66883,"date":"2026-08-25T05:18:20","date_gmt":"2026-08-25T05:18:20","guid":{"rendered":"https:\/\/overcentral.com\/es\/?p=66883"},"modified":"2026-08-25T05:18:20","modified_gmt":"2026-08-25T05:18:20","slug":"gamaredon-tuneles-workers-ucrania-2025-2-maybe-better-without-2025-2-actually-slug-should-be-3-6-words-no-stop-words-lets-remove-2025-because-its-a-date-revised-slug-66883","status":"publish","type":"post","link":"https:\/\/overcentral.com\/es\/gamaredon-tuneles-workers-ucrania-2025-2-maybe-better-without-2025-2-actually-slug-should-be-3-6-words-no-stop-words-lets-remove-2025-because-its-a-date-revised-slug-66883\/","title":{"rendered":"Gamaredon integra t\u00faneles, workers, dead drops y alianzas contra Ucrania"},"content":{"rendered":"<p>A lo largo de 2025, el grupo de ciberespionaje Gamaredon, atribuido por el Servicio de Seguridad de Ucrania (SSU) al 18\u00ba Centro de Seguridad Inform\u00e1tica del FSB ruso, ha mantenido un ritmo operativo implacable contra instituciones gubernamentales y militares ucranianas. La investigaci\u00f3n de <a href=\"https:\/\/overcentral.com\/es\/eset-descubre-11-uefi-shims-olvidados-que-eluden-secure-boot\/\" title=\"ESET descubre 11 UEFI shims olvidados que eluden Secure Boot\" data-iacss-internal=\"1\">ESET<\/a> Research revela una evoluci\u00f3n significativa en sus t\u00e1cticas, que ahora integran t\u00faneles de red, plataformas de workers serverless, servicios de dead drops y alianzas con otros actores de amenazas alineados con Rusia, como Turla. Este art\u00edculo analiza en profundidad las nuevas herramientas, la sofisticaci\u00f3n creciente de su infraestructura de red y las implicaciones estrat\u00e9gicas de sus operaciones durante el a\u00f1o.<\/p>\n<h2>Operaciones incesantes: campa\u00f1as de spearphishing masivas y nuevas alianzas<\/h2>\n<p>Gamaredon centr\u00f3 sus esfuerzos exclusivamente en Ucrania, con el objetivo de exfiltrar informaci\u00f3n sensible que pudiera ser explotada para apoyar los intereses rusos en la guerra en curso. A lo largo del a\u00f1o, ESET identific\u00f3 35 campa\u00f1as de spearphishing distintas dirigidas a nuevos objetivos. La mayor\u00eda de estas campa\u00f1as se ejecutaron en la segunda mitad del a\u00f1o, y fueron significativamente m\u00e1s grandes que las observadas a principios de 2025. El grupo no solo increment\u00f3 la frecuencia de los ataques, sino tambi\u00e9n su escala. A partir del 26 de septiembre de 2025, Gamaredon comenz\u00f3 a explotar activamente la vulnerabilidad CVE-2025-8088 en WinRAR para colocar descargadores maliciosos en la carpeta de inicio del sistema, garantizando la persistencia incluso sin intervenci\u00f3n directa del usuario.<\/p>\n<h3>Colaboraci\u00f3n estrat\u00e9gica con Turla a principios de 2025<\/h3>\n<p>Un hallazgo relevante fue la cooperaci\u00f3n documentada entre Gamaredon y Turla, otro actor de amenazas vinculado al FSB. Esta colaboraci\u00f3n, detectada a principios de 2025, demuestra la capacidad de los grupos alineados con Rusia para coordinar campa\u00f1as de ciberespionaje, amplificando su impacto operativo. Adem\u00e1s, el grupo UAC-0099, tambi\u00e9n alineado con Rusia, fue observado realizando operaciones de acceso inicial para luego transferir objetivos validados a Sandworm, lo que indica una creciente divisi\u00f3n de tareas entre estos actores.<\/p>\n<h2>Seis nuevas herramientas PowerShell y el regreso de un viejo weaponizer VBScript<\/h2>\n<p>En 2025, Gamaredon desarroll\u00f3 y despleg\u00f3 seis nuevas herramientas maliciosas escritas en PowerShell, la mayor\u00eda durante el primer trimestre del a\u00f1o. Estas herramientas, en general simples, se centran en la entrega de cargas \u00fatiles y la persistencia, siguiendo el patr\u00f3n hist\u00f3rico del grupo de preferir una gran cantidad de herramientas simples y actualizables sobre malware altamente sofisticado.<\/p>\n<ul>\n<li><strong>PteroDee y PteroCache<\/strong>: Descargadores directos de PowerShell que ejecutan cargas \u00fatiles directamente en memoria.<\/li>\n<li><strong>PteroDum<\/strong>: Descargador para cargas \u00fatiles VBScript, que las escribe temporalmente en disco, las ejecuta y las elimina.<\/li>\n<li><strong>PteroOdd<\/strong>: Un min\u00fasculo descargador utilizado casi exclusivamente en el contexto de la colaboraci\u00f3n con Turla, que recupera cargas \u00fatiles a trav\u00e9s de la API de Telegra.ph.<\/li>\n<li><strong>PteroEffigy<\/strong>: Descargador ligero que utiliza el servicio de almacenamiento en la nube GoFile para obtener la siguiente direcci\u00f3n del servidor de comando y control (C&amp;C).<\/li>\n<li><strong>PteroPaste<\/strong>: La herramienta m\u00e1s compleja del lote, que combina un descargador, un weaponizer para unidades USB y un componente de ejecuci\u00f3n para persistencia y orquestaci\u00f3n. Las versiones tempranas utilizaban Rentry como punto de estacionamiento intermedio para cargas \u00fatiles cifradas. Versiones posteriores cambian a Dropbox para recuperar un nombre de host C&amp;C cifrado, descifrarlo localmente y conectarse a la infraestructura oculta tras servicios de t\u00faneles.<\/li>\n<\/ul>\n<p>Adem\u00e1s, Gamaredon resucit\u00f3 una vieja herramienta VBScript llamada <strong>PteroSetup<\/strong>, que hab\u00eda sido descontinuada a\u00f1os atr\u00e1s. Esta versi\u00f3n escanea unidades fijas, extra\u00edbles y de red en busca de archivos ejecutables con apariencia de instaladores, y los reemplaza con archivos autoextra\u00edbles maliciosos que contienen tanto el instalador original como un descargador VBScript. La v\u00edctima ejecuta un archivo que parece leg\u00edtimo, pero que en realidad lanza tanto el instalador esperado como el c\u00f3digo malicioso.<\/p>\n<h2>Infraestructura de red avanzada: t\u00faneles, workers y DDNS como capa de ocultaci\u00f3n<\/h2>\n<p>La evoluci\u00f3n m\u00e1s significativa en 2025 reside en la forma en que Gamaredon protege su infraestructura de red. El grupo ha aumentado dr\u00e1sticamente su dependencia de servicios de terceros para ocultar sus servidores C&amp;C, haciendo que la interrupci\u00f3n de sus operaciones sea mucho m\u00e1s compleja para los defensores.<\/p>\n<h3>\u00bfC\u00f3mo protege Gamaredon sus servidores C&amp;C?<\/h3>\n<p>Gamaredon utiliza una combinaci\u00f3n de t\u00faneles, workers serverless y DNS din\u00e1mico (DDNS) para ocultar la verdadera ubicaci\u00f3n de sus servidores de comando y control. Los t\u00faneles, como Cloudflare (trycloudflare.com) o <a href=\"https:\/\/www.microsoft.com\/\" target=\"_blank\" rel=\"noopener noreferrer\" data-iacss-external=\"1\">Microsoft<\/a> Dev Tunnels (devtunnels.ms), exponen una aplicaci\u00f3n a internet a trav\u00e9s de un dominio controlado por el proveedor, sin revelar el servidor real. Los workers, como los de Cloudflare (workers.dev), van un paso m\u00e1s all\u00e1: ejecutan c\u00f3digo en una plataforma serverless que procesa las peticiones antes de reenviarlas, a\u00f1adiendo una capa adicional de anonimato. A partir de mayo de 2025, el grupo comenz\u00f3 a utilizar workers de Cloudflare, y en junio incorpor\u00f3 los devtunnels de Microsoft y Loophole (loophole.site). Tambi\u00e9n se observaron experimentos aislados con loca.lt y bore.pub. Paralelamente, Gamaredon retom\u00f3 el uso de DNS din\u00e1mico (DDNS) con servicios como No-IP, una t\u00e9cnica que hab\u00eda sido un sello distintivo de sus operaciones en el pasado, y comenz\u00f3 a abusar de plataformas como servicio (PaaS) de Clever Cloud y Supabase para alojar infraestructura desechable que se mezcla con el tr\u00e1fico leg\u00edtimo.<\/p>\n<h2>Dead drops: el concepto cl\u00e1sico de espionaje aplicado al ciberespacio<\/h2>\n<p>Uno de los pilares de la estrategia de Gamaredon en 2025 fue el uso intensivo de puntos muertos o \u00abdead drops\u00bb. Este concepto, heredado del espionaje tradicional, consiste en que los operadores dejan informaci\u00f3n en un lugar p\u00fablico o en un servicio leg\u00edtimo, y el malware la recupera posteriormente. En lugar de incrustar la direcci\u00f3n del servidor C&amp;C directamente en el c\u00f3digo malicioso, el malware contacta primero con una p\u00e1gina p\u00fablica en un servicio leg\u00edtimo, lee un valor oculto y solo entonces se conecta al verdadero servidor.<\/p>\n<p>Esta t\u00e9cnica ofrece ventajas t\u00e1cticas inmensas: permite cambiar de servidor r\u00e1pidamente y complica el bloqueo, ya que los defensores se muestran reacios a bloquear servicios ampliamente utilizados. En 2025, Gamaredon abus\u00f3 de una amplia gama de servicios como dead drops: canales de Telegram (t.me), Telegra.ph, Teletype.in, Rentry.co, Write.as, Dropbox, GoFile, la red social DEV Community (dev.to), Mastodon (mastodon.social), Lesma.eu, Nopaste.net y Paste.ee. En muchos casos, estos servicios ya no apuntaban directamente a direcciones IP de C&amp;C, sino a otra capa intermedia, como un t\u00fanel o un worker, a\u00f1adiendo una profundidad defensiva adicional.<\/p>\n<h2>Almacenamiento en la nube como canal preferido de exfiltraci\u00f3n<\/h2>\n<p>Otro cambio fundamental se produjo en el lado de la exfiltraci\u00f3n de datos. Gamaredon actualiz\u00f3 sus dos principales robadores de archivos, PteroPSDoor y PteroVDoor, para que pudieran cargar los datos robados en servicios de almacenamiento en la nube compatibles con la API de Amazon S3. A lo largo del a\u00f1o, las configuraciones migraron de Wasabi (wasabisys.com) a Tebi (tebi.io) y finalmente a Intercolo (de-fra.i3storage.com), que para diciembre de 2025 se hab\u00eda convertido en el destino principal de exfiltraci\u00f3n. PteroBox continu\u00f3 utilizando Dropbox, y una variante m\u00e1s nueva empleaba la utilidad rclone para la transferencia. Subir archivos robados a servicios leg\u00edtimos de almacenamiento en la nube reduce la necesidad de mantener infraestructura propia para recibir grandes vol\u00famenes de datos y ayuda a que el tr\u00e1fico malicioso se mezcle con el acceso leg\u00edtimo a estos proveedores. Esencialmente, Gamaredon utiliza cada vez m\u00e1s servicios de terceros no solo para ocultar de d\u00f3nde provienen las instrucciones, sino tambi\u00e9n hacia d\u00f3nde se dirigen los datos robados.<\/p>\n<h2>Implicaciones estrat\u00e9gicas y perspectivas futuras<\/h2>\n<p>El an\u00e1lisis de la actividad de Gamaredon en 2025 revela una amenaza que, aunque basada en herramientas relativamente simples desde el punto de vista t\u00e9cnico, compensa su falta de sofisticaci\u00f3n con una capacidad de adaptaci\u00f3n y una creatividad inusitadas en el abuso de servicios leg\u00edtimos. La integraci\u00f3n de t\u00faneles, workers, dead drops y almacenamiento en la nube no solo hace que sus operaciones sean m\u00e1s flexibles, sino que tambi\u00e9n eleva significativamente la dificultad para los equipos de defensa. La colaboraci\u00f3n con Turla y la observaci\u00f3n de una divisi\u00f3n de tareas con actores como UAC-0099 y Sandworm sugieren un ecosistema de ciberespionaje ruso cada vez m\u00e1s coordinado y eficiente. Mientras el conflicto en Ucrania contin\u00fae, Gamaredon permanecer\u00e1 como una amenaza persistente y relevante para las instituciones ucranianas, evolucionando sus m\u00e9todos para eludir las defensas y mantener su flujo de inteligencia hacia los intereses del Kremlin.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>A lo largo de 2025, el grupo de ciberespionaje Gamaredon, atribuido por el Servicio de Seguridad de Ucrania (SSU) al 18\u00ba Centro de Seguridad Inform\u00e1tica del FSB ruso, ha mantenido un ritmo operativo implacable contra instituciones gubernamentales y militares ucranianas. La investigaci\u00f3n de ESET Research revela una evoluci\u00f3n significativa en sus t\u00e1cticas, que ahora integran [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":66886,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/pub-4d4fc17555de4152be07eaf2a416a31e.r2.dev\/es\/ocie_1787635130455.jpg","fifu_image_alt":"Gamaredon integra t\u00faneles, workers, dead drops y alianzas contra Ucrania","footnotes":""},"categories":[5],"tags":[],"class_list":["post-66883","post","type-post","status-publish","format-standard","has-post-thumbnail","category-tecnologia"],"fifu_image_url":"https:\/\/pub-4d4fc17555de4152be07eaf2a416a31e.r2.dev\/es\/ocie_1787635130455.jpg","fifu_image_alt":"Gamaredon integra t\u00faneles, workers, dead drops y alianzas contra Ucrania","_links":{"self":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/66883","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/comments?post=66883"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/66883\/revisions"}],"predecessor-version":[{"id":66884,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/66883\/revisions\/66884"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media\/66886"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media?parent=66883"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/categories?post=66883"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/tags?post=66883"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}