{"id":66897,"date":"2026-08-25T10:48:05","date_gmt":"2026-08-25T10:48:05","guid":{"rendered":"https:\/\/overcentral.com\/es\/?p=66897"},"modified":"2026-08-25T10:48:05","modified_gmt":"2026-08-25T10:48:05","slug":"eset-participa-en-la-operacion-endgame-para-desmantelar-amadey-y-stealc","status":"publish","type":"post","link":"https:\/\/overcentral.com\/es\/eset-participa-en-la-operacion-endgame-para-desmantelar-amadey-y-stealc\/","title":{"rendered":"ESET participa en la Operaci\u00f3n Endgame para desmantelar Amadey y Stealc"},"content":{"rendered":"
\n

Hace un a\u00f1o, los investigadores de ESET Research participaban en dos operaciones de gran envergadura que lograron desarticular algunas de las operaciones cibercriminales m\u00e1s activas del momento, Lumma Stealer y Danabot. Ahora, el equipo vuelve a colaborar con socios privados y fuerzas de seguridad, pero esta vez el objetivo es la botnet Amadey y el infostealer Stealc, ambos ofrecidos bajo el modelo de malware como servicio (MaaS). La Operaci\u00f3n Endgame, coordinada por Microsoft Digital Crimes Unit (DCU), BitSight, Lumen, Mitsui Bussan Secure Directions (MBSD) y otros socios, se dirigi\u00f3 contra toda la infraestructura de red conocida utilizada por los afiliados de Amadey y Stealc para paralizar sus operaciones. ESET contribuy\u00f3 al esfuerzo aportando an\u00e1lisis t\u00e9cnicos, informaci\u00f3n estad\u00edstica, servidores de comando y control (C&C) conocidos, claves de cifrado, identificadores de campa\u00f1as y compilaciones, y otras inteligencia de amenazas recopilada durante el seguimiento a largo plazo de ambas familias de malware.<\/p>\n

Una operaci\u00f3n global contra dos ecosistemas MaaS<\/h2>\n

La Operaci\u00f3n Endgame no es un evento aislado, sino la culminaci\u00f3n de meses de trabajo de inteligencia y coordinaci\u00f3n entre m\u00faltiples actores. El objetivo era claro: desmantelar la infraestructura que sosten\u00eda a Amadey y Stealc, dos de las amenazas m\u00e1s persistentes en el panorama del malware-as-a-service. Seg\u00fan los datos compartidos por ESET, la operaci\u00f3n afect\u00f3 aproximadamente a 50 dominios y cerca de 200 servidores C&C activos basados en IP asociados con ambas familias. Este impacto no habr\u00eda sido posible sin el trabajo previo de monitorizaci\u00f3n automatizada y an\u00e1lisis t\u00e9cnico que permiti\u00f3 identificar los puntos d\u00e9biles de estos ecosistemas.<\/p>\n

\u00bfQu\u00e9 es Amadey y por qu\u00e9 es una amenaza significativa?<\/h3>\n

Amadey es un cargador de malware modular que se anuncia en foros de la darknet desde octubre de 2018 bajo el nombre de usuario InCrease<\/em>. Su funci\u00f3n principal es distribuir malware adicional a los sistemas comprometidos, aunque tambi\u00e9n ofrece m\u00f3dulos para la exfiltraci\u00f3n de datos y acceso remoto. El servicio se vende bajo un modelo de pago por recompilaci\u00f3n: los afiliados adquieren una licencia por 600 d\u00f3lares en Bitcoin y pagan 50 d\u00f3lares adicionales cada vez que necesitan generar una nueva compilaci\u00f3n, por ejemplo, al rotar a un nuevo servidor C&C. Este modelo, estable desde las primeras versiones, indica una base de clientes consolidada y un flujo de ingresos predecible para sus operadores.<\/p>\n

ESET ha rastreado Amadey durante m\u00e1s de tres a\u00f1os. Su telemetr\u00eda muestra una distribuci\u00f3n global sin un enfoque regional espec\u00edfico, aunque las tasas de detecci\u00f3n m\u00e1s altas se observaron en India, Turqu\u00eda, Egipto, M\u00e9xico y Espa\u00f1a. La botnet ha recibido actualizaciones constantes, con dos hitos principales: en agosto de 2020 (v1.99.5) se reescribi\u00f3 por completo el c\u00f3digo base, y en octubre de 2024 (v5.03) se a\u00f1adieron capacidades como hVNC con conexi\u00f3n inversa, soporte para instaladores MSI silenciosos, activaci\u00f3n de RDP, ejecuci\u00f3n de cmd.exe con privilegios SYSTEM y soporte integrado para payloads cifrados. La mayor\u00eda de las actualizaciones menores ten\u00edan un prop\u00f3sito impl\u00edcito pero constante: evadir las detecciones de los antivirus a medida que aparec\u00edan.<\/p>\n

Stealc: el infostealer que compite en el mercado MaaS<\/h3>\n

Frente a Amadey, Stealc representa a un infostealer cl\u00e1sico. Apareci\u00f3 en un foro de la darknet en febrero de 2023, anunciado por el actor de amenazas conocido como plymouth<\/em>. Su objetivo es robar credenciales, cookies, carteras de criptomonedas, extensiones de navegador y archivos cuyos nombres coincidan con patrones definidos por el afiliado. Se vende mediante suscripci\u00f3n mensual: 300 d\u00f3lares al mes, 700 por tres meses o 1.000 por seis meses. Un detalle relevante es que, a diferencia de Amadey, Stealc ofrece generaci\u00f3n ilimitada de compilaciones como parte de la suscripci\u00f3n, lo que reduce el coste operativo de rotar infraestructura C&C y facilita a los afiliados la generaci\u00f3n de nuevas muestras cuando lo necesitan.<\/p>\n

En marzo de 2025, Stealc recibi\u00f3 una importante actualizaci\u00f3n arquitect\u00f3nica con la versi\u00f3n 2, que introdujo cambios significativos en el protocolo de red y la estructura de configuraci\u00f3n. Desde entonces, esta versi\u00f3n domina en la telemetr\u00eda de ESET. Para junio de 2026 ya hab\u00eda alcanzado la versi\u00f3n 2.22.1. La distribuci\u00f3n de Stealc tambi\u00e9n es global, con las tasas de detecci\u00f3n m\u00e1s altas en Estados Unidos, Polonia e Italia.<\/p>\n

La contribuci\u00f3n t\u00e9cnica de ESET a la Operaci\u00f3n Endgame<\/h2>\n

ESET Research ha seguido de cerca tanto a Amadey como a Stealc durante los \u00faltimos tres a\u00f1os. Para esta operaci\u00f3n de desmantelamiento, la compa\u00f1\u00eda comparti\u00f3 estad\u00edsticas que cubren desde el cuarto trimestre de 2025 hasta el primer semestre de 2026, junto con indicadores t\u00e9cnicos y datos de configuraci\u00f3n extra\u00eddos de muestras de malware procesadas. Los sistemas automatizados de ESET diseccionaron muestras de Amadey y Stealc, identificando los campos m\u00e1s relevantes para el seguimiento a gran escala: servidores C&C, identificadores de compilaci\u00f3n, claves de cifrado, rutas URL, identificadores de campa\u00f1a y otros valores incrustados utilizados por las familias de malware durante la comunicaci\u00f3n con la infraestructura controlada por los atacantes.<\/p>\n

Un enfoque principal del trabajo fue encontrar m\u00e9todos fiables para manejar el gran volumen de muestras procesadas y agruparlas en cl\u00fasteres. Esto result\u00f3 especialmente \u00fatil porque tanto Amadey como Stealc se venden como servicios. Las muestras de malware son distribuidas y operadas por afiliados que a menudo gestionan su propia infraestructura, generan o solicitan sus propias compilaciones y orquestan sus propias campa\u00f1as. Identificar cl\u00fasteres de actividad en estos ecosistemas permite localizar objetivos de alta prioridad para operaciones de desarticulaci\u00f3n como esta.<\/p>\n

Compartir an\u00e1lisis t\u00e9cnicos, informaci\u00f3n estad\u00edstica e inteligencia de amenazas \u2014como listas de servidores C&C, identificadores de afiliados y claves de cifrado\u2014 permite a las fuerzas de seguridad identificar, priorizar y actuar contra la infraestructura con un alto grado de confianza. Los IoCs tambi\u00e9n ayudan a distinguir entre cl\u00fasteres individuales, infraestructura compartida y botnets de alto impacto cuya desarticulaci\u00f3n tiene probablemente el mayor efecto sobre el panorama general de amenazas. En \u00faltima instancia, la operaci\u00f3n afect\u00f3 a unos 50 dominios y cerca de 200 IPs activas utilizadas como servidores C&C para Amadey o Stealc.<\/p>\n

El modelo de negocio MaaS: diferencias clave entre Amadey y Stealc<\/h3>\n

Amadey y Stealc comparten el modelo de malware como servicio, pero sus estructuras operativas difieren significativamente. En ambos casos, los afiliados reciben un panel de administraci\u00f3n autoalojado que debe desplegarse en su propia infraestructura de servidores. Esto exige un ciero nivel de habiliad t\u00e9cnica de los afiliados y les otorga control direco sobre los datos de las v\u00edctimas y la distribui\u00f3n de cargas. Este modelo difiere de otros ecosistemas MaaS. Por ejemplo, los afiliados de Danabot pueden elegir alquilar infraestructura C&C como servicio, mientas que Lumma Stealer utilizaba una red de exfiltraci\u00f3n totalmente gestioada por sus operadores. En el caso de Amadey y Stealc, los afiliados son responsable de desplegar y operar su propia infraestructura, lo que hace que los esfuerzos de desarticulaci\u00f3n sean m\u00e1s dif\u00edles, y por eso el enfoque de agrupaci\u00f3n en cl\u00fasteres fue esencia.<\/p>\n

Amadey utiliza un modelo de pago por recompilaci\u00f3n. Los afiliados compran una licencia y luego pagan un cargo adicional cada vez que necesitan generar una nueva compilaci\u00f3n, por ejemplo, al rotar a un nuevo servidor C&C. Los operadores de Amadey no proporionan a los afiliados una herramienta de compilaci\u00f3n; en su lugar, las muestras se compilan bajo pedido para cada afiliado. En contraste, Stealc adopta un enfoque m\u00e1s favorable al afiliado, ofreciendo generaci\u00f3n ilimitada de compilaciones como parte de su suscripci\u00f3n. Esto reduce el coste operativo de rotar infraestructura C&C y facilita a los afiliados la generaci\u00f3n de nuevas muestras seg\u00fan sea necesaio.<\/p>\n

C\u00f3mo se comunica Amadey con sus servidores C&C<\/h2>\n

Amadey se comunica con su servidor C&C a trav\u00e9s de HTTP mediante solicitudes POST. La comunicaci\u00f3n sigue un ciclo de vida de tres etapas:<\/p>\n

    \n
  • Baliza inicial<\/strong>: el bot env\u00eda una solicitud HTTP POST m\u00ednima con el par\u00e1metro st=s al servidor C&C. El servidor resoponde con un interalo de sue\u00f1o, por ejemplo 10, instruyendo al bot que espera 10 mintos entre conseutivas revisiones.<\/li>\n
  • Registro<\/strong>: el bot transmite informaci\u00f3n del sistema cifrada con RC4 codificada como una cadena plana clave-valor. Estos datos incluyen la versi\u00f3n del sistema operativo, nombre de usuario, nombre del PC, producto antivirus instalado, privilegios administrativos, el valor sd y otra informaci\u00f3n del host. La clave RC4 nunca se transmite a trav\u00e9s de la red. Seg\u00fan la telemetr\u00eda de ESET, no se observ\u00f3 ning\u00fan servidor que sirviera tareas para m\u00e1s de una clave RC4 a la vez, lo que sugiere que cada muest\u00e1 de comunicarse con un servidor C&C que ya conoce y espera esa clave RC4 exacta. El servidor resoponde con una lista de tareas.<\/li>\n
  • Asignaci\u00f3n de tareas<\/strong>: las tareas se entegan como cadenas de comando estructuradas delimitadas por etiquetas <task> y <\/task> con comandos individales separados por caracteres #. Cada tarea codifica un tipo de comando, como descargar y ejecutar un EXE, iniciar VNC o ejecutar un plugin de robo. Las tareas tambi\u00e9n incluyen par\u00e1metros como un indicador de escalada de privilegios, directorio destino y URL del payload.<\/li>\n<\/ul>\n

    Cada tarea tiene su propia l\u00f3gica de procesamiento, que va desde comandos simples de descarga y ejecuci\u00f3n hasta la ejecuci\u00f3n m\u00e1s compleja de componentes hVNC o proxy. El funcionamiento interno ha sido documentado en informes t\u00e9cnicos previos.<\/p>\n

    El valor sd y las claves RC4: identificadores cr\u00edticos para el agrupamento<\/h3>\n

    Cada muestra de Amadey contiene al menos una URL de servidor C&C hardcodeada, con la configuraci\u00f3n que soporta hasta tres entradas. Las muestras tambi\u00e9n incrustan una clave RC4 utilizada para cifrar las comunicaciones con el servidor C&C. El an\u00e1lisis de ESET mostr\u00f3 que la clave RC4 extra\u00edda de cada muestra sirve como un identificador de cl\u00faster fiable, permitiendo agrupar muestras en botnets individuales.<\/p>\n

    Un segundo valor hardcodeado, denominado internamente sd<\/em>, es una cadena hexadecimal aleatoria de seis caracteres que coincide con el patr\u00f3n [0-9a-f]{6}. Se transmite durante el handshake inicial del C&C y probablemente identifica una compilaci\u00f3n espec\u00edfica dentro del despliegue de un afiliado. Aunque a veces se le llama ID de campa\u00f1a o ID de Amadey, el modelo de negocio de pago por recompilaci\u00f3n sugiere que representa m\u00e1s precisamente un identificador de compilaci\u00f3n.<\/p>\n

    Cada muestra tambi\u00e9n lleva un n\u00famero de versi\u00f3n. El an\u00e1lisis se centra en la versi\u00f3n v5.x, que ha sido la variante dominante observada en la telemetr\u00eda de ESET desde principios de 2025.<\/p>\n

    El agrupamiento de Amadey: 53 cl\u00fasteres identificados<\/h3>\n

    Cuando se rastrea malware MaaS, un desaf\u00edo clave es encontrar una forma fiable de agrupar muestras pertenecientes al mismo actor de amenazas. Comprender el modelo de negocio y la distribuci\u00f3n de la infraestructura de red es esencial para una desarticulaci\u00f3n exitosa, porque permite a los defensores y a las fuerzas de seguridad identificar los puntos cr\u00edticos donde la acci\u00f3n tendr\u00e1 el mayor impacto.<\/p>\n

    Las muestras de Amadey contienen tres valores de configuraci\u00f3n hardcodeados clave: URLs C&C, claves RC4 utilizadas para las comunicaciones C&C, y el valor sd transmitido durante el handshake inicial. Durante el seguimiento, se observ\u00f3 que las URLs C&C de Amadey siguen un patr\u00f3n consistente: http(s)?:\/\/<server>\/<path>\/index.php<\/code>. Adem\u00e1s, la misma parte <path> de la URL se utilizaba con diferentes servidores C&C. Como este valor parece ser una cadena aleatoria, verlo vinculado a m\u00faltiples servidores C&C a lo largo del tiempo parec\u00eda un indicador s\u00f3lido de que los servidores C&C son operados como parte del mismo cl\u00faster.<\/p>\n

    Utilizando los valores de la configuraci\u00f3n de las muestras, combinados con la comprensi\u00f3n de su prop\u00f3sito, ESET emple\u00f3 modelos de grafos para obtener informaci\u00f3n sobre la estructura del ecosistema de Amadey. Los resultados mostraron claramente que no hay infraestructura compartida, sino varias sub-botnets m\u00e1s peque\u00f1as con una claramente dominante. Las conclusiones principales fueron:<\/p>\n

      \n
    • Se identificaron un total de 53 cl\u00fasteres \u00fanicos dentro del ecosistema de Amadey.<\/li>\n
    • Cada valor sd est\u00e1 vinculado a exactamente una clave RC4.<\/li>\n
    • Las claves RC4 son probablemente un identificador \u00fatil de afiliado, ya que las recompilaciones preservan la clave mientas cambian el valor sd.<\/li>\n
    • La parte <path> de la URL C&C se reutiliza ocasionalmente al rotar servidores C&C, sirviendo como evidencia fiable de que dichos servidores C&C pertenecen al mismo cl\u00faster.<\/li>\n<\/ul>\n

      El cl\u00faster m\u00e1s grande de Amadey: el 34% de todas las muestras<\/h3>\n

      Un cl\u00faster destaca como el m\u00e1s grande, contribuyendo con casi el 34% de todas las muestras de Amadey procesadas. Este cl\u00faster fue tambi\u00e9n el \u00fanico que permaneci\u00f3 activo durante todo el per\u00edodo de tiempo analizado, seg\u00fan la l\u00ednea temporal de ESET. Adem\u00e1s, domin\u00f3 en el n\u00famero medio de payloads distribuidos a las v\u00edctimas por ejecui\u00f3n: las muestras de Amadey pertenecientes a este cl\u00faster entragaron, de media, alrededor de 14 payloads a cada v\u00edctima simult\u00e1neamente.<\/p>\n

      El rango y la diversidad de familias de malware distribuidas fue amplio, desde infostealers y RATs hasta malware empaquetado con complejos protectores de c\u00f3dig. ESET obtuvo evidencia de que, en muchas ocasionis, m\u00faltiples muestras de Lumma Stealer se entregaron a una sola v\u00edctima, cada una atribuida a un afiliado difernte. Esto reslta en que m\u00faltiples afiliados de Lumma Stealer terminan con los mismos datos robados. Esta observaci\u00f3n lleva a concluir que los actores de amenazas que controlan este cl\u00faster m\u00e1s grande probablemente ejecutan su propio modelo de pago por instalci\u00f3n (PPI), monetizando a\u00fan m\u00e1s sus bots.<\/p>\n

      C\u00f3mo funciona Stealc: comunicaciones C&C y estructura de cl\u00faster<\/h2>\n

      Stealc se comunica con su servidor C&C a trav\u00e9s de HTTP usando objetos JSON cifrados con RC4. La solicitud inicial enviada al C&C contiene tres valores: un identifcador de compilaci\u00f3n (build<\/em>), una huella digital de la m\u00e1quina comprometida (hwid<\/em>) y el tipo de solicitid (create<\/em>). La huella digital se deriva del n\u00famero de serie del volumen del sistema y se formatea como una cadena UUIDv4.<\/p>\n

      El servidor C&C responde con un objeto JSON complejo que define qu\u00e9 caracter\u00edsticas debe ejecutar Stealc. Junto con eso, la respuesta contene un valor access_token<\/em> generado aleatoriamente que act\u00faa como clave de sesi\u00f3n y debe ser utilizado en todas las solicitudes posteriores; de lo contrario, son rechazadas por el servidor. Adem\u00e1s de las definiciones complejas de objetivos, el objeto JSON tambi\u00e9n define si se debe tomar una captura de pantalla, autodestruirse cuando termne, o descargar y ejecutar un payload adicional despu\u00e9s.<\/p>\n

      Cada respuesta del servidor tambi\u00e9n contene un par clave-valor generado aleatoriamente al principio. Seg\u00fan la investigaci\u00f3n de Zscaler, esto evita las firmas de detecci\u00f3n est\u00e1ticas sobre el tr\u00e1fico cifrado con RC4, incluso cuando se usa la misma clave de cifrado repetidamente. Despu\u00e9s del registro inicial, Stealc utiliza tres tipos de operaci\u00f3n adicionales: upload_file<\/em> para exfiltrar datos recopilados, loader<\/em> para obtener y ejecutar un payload de seguimiento, y done<\/em> para se\u00f1alizar la finalizaci\u00f3n.<\/p>\n

      El agrupamiento de Stealc: 73 cl\u00fasteres desde marzo de 2025<\/h3>\n

      Al igual que con Amadey, ESET aplic\u00f3 modelos de grafos a los valores extra\u00eddos de las configuraciones de Stealc. El resultado fue un gr\u00e1fico que muestra que Stealc est\u00e1 efectivamente fragmentado en muchos cl\u00fasteres peque\u00f1os. Cada cl\u00faster se centra en un n\u00famero reducido de servidores C&C (a menudo solo uno) y t\u00edpicamente est\u00e1 vinculado a solo unos pocos IDs de compilaci\u00f3n o rutas URL del C&C. Desarticular dicha infraestructura es por tanto una tarea desafiante debido a la falta de un punto d\u00e9bil. En total, se identificaron 73 cl\u00fasteres distintos operando Stealc desde marzo de 2025.<\/p>\n

      Las versiones actuales de Stealc incrustan dos claves RC4 distintas por muestra: una para descifrar cadenas ofuscadas en tiempo de ejecuci\u00f3n, y otra para cifrar las comunicaciones de red con el C&C. Ademas delas dos claves RC4, se ha extraido el identifcador de compilaci\u00f3n de las muestras de Stealc. Este valor respresenta una campa\u00f1a individal de Stealc y, a diferencia de otras cadenas, no est\u00e1 protegido en el binario. El valor es importante porque se transmite como parte del handshake del C&C. La direcci\u00f3n del servidor C&C y la ruta URL utilizada para las comunicaciones se almacenan entre las cadenas cifradas con RC4 y se han extra\u00eddo como parte del oleoducto de desempaquetado de configuraci\u00f3n automatizado de ESET.<\/p>\n

      \u00bfQu\u00e9 hace diferente a Stealc en el ecosistema MaaS?<\/h3>\n

      A diferencia de Lumma Stealer, los operadores de Stealc no ofrecen a sus afiliados infraestructura compartida. Cada afiliado es resposable de desplegar y operar su propio panel de administraci\u00f3n en su propia infraestructura de servidor. Esto exige que los afiliados tengan un cierto nivel de habilidad t\u00e9cnica, pero tambi\u00e9n les otorga control directo sobre los datos de las v\u00edctimas y la distribuci\u00f3n de cargas. Stealc no depende de un m\u00e9todo de distribuci\u00f3n \u00fanico y estandarizado; cada afiliado es responsable de sus propios mecanismos de entrega. Sin embargo, similar a Amadey, la telemetr\u00eda de ESET indica que ciertos vectores destacan consistentemente, particularmente los instaladores de software trojanizados y los cargadores de malware establecidos, como el propio Amadey.<\/p>\n

      ESET ha observado que, en muchas ocasiones, el cl\u00faster m\u00e1s grande de Amadey entregaba m\u00faltiples muestras de Lumma Stealer a una sola v\u00edctima, cada una atribuida a un afiliado diferente. Esto resulta en que m\u00faltiples afiliados de Lumma Stealer terminan con los mismos datos robados, lo que sugiere que los actores de amenazas que controlan este gran cl\u00faster probablemente ejecutan su propio modelo de pago por instalaci\u00f3n, monetizando a\u00fan m\u00e1s sus bots.<\/p>\n

      Implicaciones estrat\u00e9gicas y futuras de la Operaci\u00f3n Endgame<\/h2>\n

      La Operaci\u00f3n Endgame representa un hito en la lucha contra el malware como servicio. Al apuntar a la infraestructura misma que utilizan los afiliados, en lugar de solo a las muestras individuales, se logra un impacto m\u00e1s duradero y profundo. Sin embargo, la naturaleza fragmentada de estos ecosistemas, especialmente en el caso de Stealc, hace que la desarticulaci\u00f3n completa sea un desaf\u00edo. ESET continuar\u00e1 monitoreando ambas familias y rastrear\u00e1 cualquier intento de reconstruir la infraestructura operativa despu\u00e9s de esta desarticulaci\u00f3n.<\/p>\n

      El \u00e9xito de la operaci\u00f3n dependi\u00f3 en gran medida de la colaboraci\u00f3n entre m\u00faltiples actores: desde empresas de seguridad como la propia ESET, que aportaron inteligencia t\u00e9cnica y datos de telemetr\u00cda, hasta unidades de delitos digitales como Microsoft DCU y socios como BitSight, Lumen y MBSD. La combinaci\u00f3n de an\u00e1lsis t\u00e9cnico profund, modealdo de grafos para agrupar activides, y la compartici\u00f3n de indicadores de compromiso (IoC) permi\u00f3 a las fuersas de segurida identifcar y priorizar los objetivos con un alto grado de confianza.<\/p>\n

      Para los profisionales de segurida en hispanoam\u00e9rica y Espa\u00f1a, esta operaici\u00f3n subraya la importancia de la inteligencia de amenazas compartida y la monitorizaci\u00f3n automatizada a largo plazo. Las organizaciones deben estar preparadas para enfrentar no solo las familias de malware individuales, sino los ecosistemas que las sostienen. La capacidad de ESET para rastrear y agrupar actividad durante a\u00f1os, combinada con asociaciones p\u00fablico-privadas, demuestra que la desarticulaci\u00f3n de infraestructuras criminales es posible cuando hay cooperaci\u00f3n y persistencia.<\/p>\n

      La Operaci\u00f3n Endgame no es el final; es un recordatorio de que los operadores de MaaS se adaptan r\u00e1pidamente. La vigilancia continua y la colaboraci\u00f3n global ser\u00e1n esenciales para mantenerse un paso adelante. La comunidad de seguridad en espa\u00f1ol tiene ahora un caso de estudio valioso sobre c\u00f3mo la inteligencia de amenazas, aplicada met\u00f3dicamente, puede traducirse en acciones concretas que desmantelen las operaciones cibercriminales.<\/p>\n

      Indicadores de compromiso (IoC) y recursos adicionales<\/h2>\n

      ESET ha publicado una lista compehensiva de indicadores de compromiso (IoCs) y muestras en su repositorio de GitHUB. A contnuaci\u00f3n se incluyen algunos de los m\u00e1s relevates, organzados por categor\u00eda.<\/p>\n

      Archivos (SHA-1)<\/h3>\n\n\n\n\n\n\n\n\n\n\n\n\n
      SHA-1<\/th>\nNombre de archivo<\/th>\nDetecci\u00f3n<\/th>\nDescripci\u00f3n<\/th>\n<\/tr>\n
      11A42EF076686CB27BA2C8845301943652A5AADC<\/td>\nKB.14.804.8407.exe<\/td>\nWin64\/Stealc.A<\/td>\nStealc infostealer.<\/td>\n<\/tr>\n
      32D0C3300825B0BB991C4A8F1E6244F0AD2DA989<\/td>\nyinkaroj.exe<\/td>\nWin64\/Stealc.A<\/td>\nStealc infostealer.<\/td>\n<\/tr>\n
      5F3F99B14243404C7CF57B40BB101244CCE394BF<\/td>\nMusNotification.exe<\/td>\nWin64\/Stealc.B<\/td>\nStealc infostealer.<\/td>\n<\/tr>\n
      B4101027BF2F1261402BF6318C6EB016CE249037<\/td>\nPatch.exe<\/td>\nWin32\/Spy.Agent.QOL<\/td>\nStealc infostealer.<\/td>\n<\/tr>\n
      F61E3A643F2417E1A1AB2C83BBDBFC8A7CB96756<\/td>\nVeloTeam_x32.exe<\/td>\nWin32\/Spy.Agent.QOL<\/td>\nStealc infostealer.<\/td>\n<\/tr>\n
      09002D4668A778853E8DA5C488C6E421C0628357<\/td<\/p>\nN\/A<\/td>\nWin32\/TrojanDownloader.Amadey.A<\/td>\nAmadey.<\/td>\n<\/tr>\n
      87867AD29E621BF9EBF57E1757F75090842458BE<\/td>\nN\/A<\/td>\nWin32\/Tr\u00f3janDownloader.Amadey.A<\/td>\nAmadey.<\/td>\n<\/tr>\n
      38D744543B2051E6F749AF171B5EF8D6DF8AAC7B<\/td>\nN\/A<\/td>\nWin64\/TrojanDownloader.Amadey.A<\/td>\nAmadey.<\/td>\n<\/tr>\n
      C0E178D26E1E613985A9C67E649D71D54642E0EED<\/td>\nN\/A<\/td>\nWin64\/TrojanDownloader.Amadey.A<\/td>\nAmadey.<\/td>\n<\/tr>\n
      FF8D2AFD9D7F0A822092FEE34CA55D1A3542F7ED<\/td>\nN\/A<\/td>\nWin32\/Tr\u00f3janDownloader.Amadey.A<\/td>\nAmadey.<\/td>\n<\/tr>\n<\/table>\n

      Red (IP y dominios)<\/h3>\n\n\n\n\n\n\n\n\n\n\n\n\n
      IP<\/th>\nDominio<\/th>\nProveedor de alojamiento<\/th>\nPrimera vista<\/th>\nDetalles<\/th>\n<\/tr>\n
      62.60.226[.]159<\/td>\nN\/A<\/td>\nFEMO IT SOLUTIONS LIMITED<\/td>\n2026\u201104\u201113<\/td>\nServidor C&C de Amadey.<\/td>\n<\/tr>\n
      64.188.91[.]237<\/td>\nN\/A<\/td>\nHurricane Electric LLC<\/td>\n2026\u201103\u201119<\/td>\nServidor C&C de Stealc.<\/td>\n<\/tr>\n
      94.154.35[.]25<\/td>\nN\/A<\/td>\nArtem Sevastyanov<\/td>\n2026\u201103\u201126<\/td>\nServidor C&C de Amadey.<\/td>\n<\/tr>\n
      95.85.238[.]4<\/td>\nN\/A<\/td>\nDATAMAT CZ s.r.o.<\/td>\n2026\u201104\u201109<\/td>\nServidor C&C de Stealc.<\/td>\n<\/tr>\n
      176.111.174[.]140<\/td>\nN\/A<\/td>\nRU-NUBES-20220530<\/td>\n2026\u201103\u201104<\/td>\nServidor C&C de Amadey.<\/td>\n<\/tr>\n
      176.124.199[.]207<\/td>\nN\/A<\/td>\nAEZA INTERNATIONAL LTD<\/td>\n2026\u201103\u201131<\/td>\nServidor C&C de Stealc.<\/td>\n<\/tr>\n
      188.114.96[.]1<\/td>\nmi.overlapsnowbound[.]com<\/td>\nCloudflare, Inc.<\/td>\n2026\u201104\u201102<\/td>\nServidor C&C de Amadey.<\/td>\n<\/tr>\n
      193.156.1[.]16<\/td>\nN\/A<\/td>\nRU-PROTON66-20191118<\/td>\n2026\u201102\u201124<\/td>\nServidor C&C de Amadey.<\/td>\n<\/tr>\n
      194.26.192[.]191<\/td>\nN\/A<\/td>\n1337 Services GmbH<\/td>\n2026\u201102\u201120<\/td>\nServidor C&C de Stealc.<\/td>\n<\/tr>\n
      196.251.107[.]130<\/td>\nN\/A<\/td>\nNTT America, Inc.<\/td>\n2026\u201104\u201117<\/td>\nServidor C&C de Stealc.<\/td>\n<\/tr>\n<\/table>\n

      Mapa de t\u00e9cnicas MITRE ATT&CK<\/h2>\n

      La siguiente tabla, construida usando la versi\u00f3n 19 del marco MITRE ATT&CK, resume las t\u00e9cnicas empleadas por Amadey y Stealc a lo largo de su ciclo de vida.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
      T\u00e1ctica<\/th>\nID<\/th>\nNombre<\/th>\nDescripci\u00f3n<\/th>\n<\/tr>\n
      Desarrollo de recursos<\/td>\nT1583.004<\/td>\nAdquirir infraestructura: Servidor<\/td>\nLos afiliados de Amadey adquieren servidores para alojar paneles C&C y respaldar las operaciones de Amadey.<\/td>\n<\/tr>\n
      <\/td>\nT1587.001<\/td>\nDesarrollar capacidades: Malware<\/td>\nLos operadores de Amadey desarrollan activamente su malware y herramientas para respaldar sus esfuerzos de monetizaci\u00f3n.<\/td>\n<\/tr>\n
      <\/td>\nT1588.001<\/td>\nObtener capacidades: Malware<\/td>\nLos afiliados de Amadey a menudo adquieren malware adicional para distribuirlo en un sistema comprometido.<\/td>\n<\/tr>\n
      <\/td>\nT1608.001<\/td>\nPreparar capacidades: Subir malware<\/td>\nLos afiliados de Amadey y Stealc pueden subir malware adquirido a su infraestructura o a servicios web de terceros para distribuirlo.<\/td>\n<\/tr>\n
      Acceso inicial<\/td>\nT1195<\/td>\nCompromiso de la cadena de suministro<\/td>\nAmadey y Stealc se distribuyen a trav\u00e9s de instaladores de software crackeados y trojanizados.<\/td>\n<\/tr>\n
      Ejecuci\u00f3n<\/td>\nT1059.003<\/td>\nInt\u00e9rprete de comandos y scripts: Windows Command Shell<\/td>\nAmadey usa cmd.exe para respaldar su operaci\u00f3n y puede ejecutar archivos de script CMD arbitrarios.<\/td>\n<\/tr>\n
      <\/td>\nT1106<\/td>\nAPI nativa<\/td>\nAmadey utiliza varias funciones de la API de Windows a lo largo de su ejecuci\u00f3n.<\/td>\n<\/tr>\n
      <\/td>\nT1129<\/td>\nM\u00f3dulos compartidos<\/td>\nAmadey puede cargar complementos adicionales de robo de credenciales y clipper para mejorar sus capacidades.<\/td>\n<\/tr>\n
      <\/td>\nT1204.002<\/td>\nEjecuci\u00f3n del usuario: Archivo malicioso<\/td>\nAmadey y Stealc se distribuyen como un archivo PE que la v\u00edctima debe ejecutar.<\/td>\n<\/tr>\n
      Persistencia<\/td>\nT1136.001<\/td>\nCrear cuenta: Cuenta local<\/td>\nAmadey puede crear una cuenta administrativa en un sistema comprometido.<\/td>\n<\/tr>\n
      <\/td>\nT1547.001<\/td>\nEjecuci\u00f3n autom\u00e1tca al inciar sesi\u00f3n: Claves de Registro Run \/ Carpta de Inicio<\/td>\nA\/madey puede estab\/lecer persistencia para malware reci\u00e9n descargado creando una clave de Registro Run.<\/td>\n<\/tr>\n
      Sigilo<\/td>\nT1027.015<\/td>\nArcivos o informaci\u00f3n ofuscada: Compresi\u00f3n<\/td>\nA\/madey puede descargar, descompirmir y ejecutar payloads entregados en arcivos ZIP.<\/td>\n
      <\/td>\nT1055.002<\/td>\nInyecci\u00f3n de procesos: Inyecci\u00f3n de PE port\u00e1til<\/td>\nA\/madey puede inyectar un payload descargado en su proceso hijo.<\/td>\n<\/tr>\n
      <\/td>\nT1480<\/td>\nGuardarrayos de ejecuci\u00f3n<\/td>\nA\/madey y Stealc comprueban la distriuci\u00f3n del teclado y abortan la ejecuci\u00f3n si coincide con un pa\u00eds de la CIS.<\/td>\n<\/tr>\n
      <\/td>\nT1140<\/td>\nDesofuscar\/Decodificar archivos o informaci\u00f3n<\/td>\nAmadey y Stealc cifran sus cadenas, tr\u00e1fico de red y payloads descargados.<\/td>\n<\/tr>\n
      <\/td>\nT1218.007<\/td>\nEjecuci\u00f3n de binario firmado a trav\u00e9s de proxy: Msiexec<\/td>\nA\/madey puede descargar y ejecutar un payload adicional distribuido en un paquete MSI.<\/td>\n<\/tr>\n
      <\/td>\nT1218.011<\/td>\nEjecuci\u00f3n de binario firmado a trav\u00e9s de proxy: Rundl32<\/td>\nA\/madey puede descargar y cargar un arcivo DLL adicional usando rundll32.exe.<\/td>\n<\/tr>\n
      <\/td>\nT1027<\/td>\nArcivos o informaci\u00f3n ofuscada<\/td>\nLa mayor\u00eda de las cadenas en Stealc (direcciones C&C, URL, par\u00e1metros de configuraci\u00f3n) est\u00e1n cifradas con RC4 dentro del binario.<\/td>\n<\/tr>\n
      <\/td>\nT1036<\/td>\nEnmascaramiento<\/td>\nStealc se hace pasar por un binario leg\u00edtimo.<\/td>\n<\/tr>\n
      Acceso a credenciales<\/td>\nT1552.001<\/td>\nCredenciales no seguras: Credenciales en arcivos<\/td>\nA\/madey y Stealc pueden recolecar credenciales de varias aplicationes, como carteras de criptomonedas y clintes FTP y de mensajer\u00eda.<\/td>\n<\/tr>\n
      <\/td>\nT1552.002<\/td>\nCredenciales no seguras: Credenciales en el Registro<\/td>\nA\/madey puede recolecar credenciales de aplicationes almacenadas en el Registro, como las de Outlook y del clinte WinSCP.<\/td>\n<\/tr>\n
      <\/td>\nT1555.003<\/td>\nCredenciales de almacenes de conrase\u00f1as: Credenciales de navegadores web<\/td>\nStealc y Amadey pueden recolecar credenciales de varios navegadores web.<\/td>\n<\/tr>\n
      <\/td>\nT1528<\/td>\nRobar token de acceso de aplicationes<\/td>\nStealc se dirige a tokens de aplicaciones (por ejemplo, carteras de criptomonedas, aplicaciones de mensajer\u00eda).<\/td>\n<\/tr>\n
      <\/td>\nT1539<\/td>\nRobar cookie de sesi\u00f3n web<\/td>\nStealc recolecta cookies del navegador junto con las credenciales.<\/td>\n<\/tr>\n
      <\/td>\nT1555<\/td>\nCredenciales de almacenes de contrase\u00f1as<\/td>\nStealc se dirige a credenciales almacenadas en el navegador (contrase\u00f1as, datos de autocompletado).<\/td>\n<\/tr>\n
      Descubrimiento<\/td>\nT1012<\/td>\nConultar el Registro<\/td>\nAmadey lee varios datos del registro, como datos para cosechar, versi\u00f3n de Windows y distribuci\u00f3n del teclado.<\/td>\n<\/tr>\n
      <\/td>\nT1016<\/td>\nDescubrimiento de configuraci\u00f3n de red del sistema<\/td>\nAmadey y Stealc env\u00edan informaci\u00f3m sobre la confguraci\u00f3n de red del sistema comprometido a sus servidores C&C.<\/td>\n<\/tr>\n
      <\/td>\nT1033<\/td>\nDescubrimiento del propietario\/usuario del sistema<\/td>\nAmadey y Stealc env\u00edan el nombre de usuario de la v\u00edctima a sus servidores C&C.<\/td>\n<\/tr>\n
      <\/td>\nT1057<\/td>\nDescubrimiento de procesos<\/td>\nEl plugin de robo de credenciales de Amadey enumera los procesos en ejecuci\u00f3n para identificar aplicaciones objetivo. Stealc tambi\u00e9n enumera procesos durante su etapa de ejecuci\u00f3n inicial.<\/td>\n<\/tr>\n
      <\/td>\nT1082<\/td>\nDescubrimiento de informaci\u00f3n del sistema<\/td>\nAmadey y Stealc env\u00edan diversa informaci\u00f3n del sistema, como la versi\u00f3n de Windows, el nombre del equipo y otros metadatos a sus servidores C&C.<\/td>\n<\/tr>\n
      <\/td>\nT1083<\/td>\nDescubrimiento de archivos y directorios<\/td>\nAmadey y Stealc buscan en el sistema de archivos para descubrir archivos interesantes para cosechar, productos de seguridad y otros artefactos de inter\u00e9s.<\/td>\n<\/tr>\n
      <\/td>\nT1518.001<\/td>\nDescubrimiento de software: Descubrimiento de software de seguridad<\/td>\nAmadey verifica el sistema en busca de un conjunto de productos de seguridad e informa los instalados a su servidor C&C.<\/td>\n<\/tr>\n
      <\/td>\nT1614.001<\/td>\nDescubrimiento de ubicaci\u00f3n del sistema: Descubrimiento del idioma del sistema<\/td>\nA\/madey y Stealc comprueban la distriuci\u00f3n\/idioma del teclado del sistema para impementar bloques de ejecuci\u00f3n en pa\u00edses de la CIS.<\/td>\n<\/tr>\n
      Recolecci\u00f3n<\/td>\nT1113<\/td>\nCaptura de pantalla<\/td>\nA\/madey y Stealc pueden tomar una captura de pantalla cuando se les indique.<\/td>\n<\/tr>\n
      <\/td>\nT1119<\/td>\nRecolecci\u00f3n automatizada<\/td>\nAmadey usa su plugin de robo de credenciales para recolectar y exfiltrar credenciales de varias aplicaciones. La recolecci\u00f3n de credenciales de Stealc es completamente automatizada y est\u00e1 dirigida por la pol\u00edtica a trav\u00e9s de la configuraci\u00f3n suministrada por el C&C.<\/td>\n<\/tr>\n
      <\/td>\nT1005<\/td>\nDatos del sistema local<\/td>\nStealc recolecta archivos que coinciden con patrones definidos por el operador desde el sistema de archivos local a trav\u00e9s del recolector de archivos configurable.<\/td>\n<\/tr>\n
      Comando y control<\/td>\nT1008<\/td>\nCanales de reserva<\/td>\nLa configuraci\u00f3n de Amadey puede contener hasta tres servidores C&C en caso de que el principal se vuelva inaccesible.<\/td>\n<\/tr>\n
      <\/td>\nT1071.001<\/td>\nProtocolo de capa de aplicaci\u00f3n: Protocolos web<\/td>\nAmadey se comunica con su servidor C&C a trav\u00e9s de HTTP. Stealc se comunica a trav\u00e9s de HTTP(S) usando un protocolo basado en JSON.<\/td>\n<\/tr>\n
      <\/td>\nT1132.001<\/td>\nCodificaci\u00f3n de datos: Codificaci\u00f3n est\u00e1ndar<\/td>\nAmadey usa codificaciones hexadecimal y base64 para los datos transferidos. Stealc usa base64 para los datos exfiltrados adem\u00e1s del cifrado RC4.<\/td>\n<\/tr>\n
      <\/td>\nT1219.002<\/td>\nSoftware de acceso remoto: Software de escritorio remoto<\/td>\nAmadey soporta el control remoto de sistemas comprometidos a trav\u00e9s de su plugin VNC o mediante una conexi\u00f3n RDP.<\/td>\n<\/tr>\n
      <\/td>\nT1573.001<\/td>\nCanal cifrado: Criptograf\u00eda sim\u00e9trica<\/td>\nAmadey y Stealc usan el cifrado RC4 para cifrar las comunicaciones C&C.<\/td>\n<\/tr>\n
      Exfiltrci\u00f3n<\/td>\nT1020<\/td>\nExfiltrci\u00f3n automatizada<\/td>\nAmadey y Stealc exfiltran los datos recopilados a sus C&C de forma totalmente autom\u00e1tica, sin intervenci\u00f3n del operador.<\/td>\n<\/tr>\n
      <\/td>\nT1041<\/td>\nExfiltraci\u00f3n a trav\u00e9s del canal C2<\/td>\nAmadey y Stealc exfiltran los datos recopilados a sus servidores C&C.<\/td>\n<\/tr>\n<\/table>\n<\/article>\n","protected":false},"excerpt":{"rendered":"

      Hace un a\u00f1o, los investigadores de ESET Research participaban en dos operaciones de gran envergadura que lograron desarticular algunas de las operaciones cibercriminales m\u00e1s activas del momento, Lumma Stealer y Danabot. Ahora, el equipo vuelve a colaborar con socios privados y fuerzas de seguridad, pero esta vez el objetivo es la botnet Amadey y el […]<\/p>\n","protected":false},"author":2,"featured_media":66899,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/pub-4d4fc17555de4152be07eaf2a416a31e.r2.dev\/es\/ocie_1787654904217.jpg","fifu_image_alt":"ESET participa en la Operaci\u00f3n Endgame para desmantelar Amadey y Stealc","footnotes":""},"categories":[5],"tags":[],"class_list":["post-66897","post","type-post","status-publish","format-standard","has-post-thumbnail","category-tecnologia"],"fifu_image_url":"https:\/\/pub-4d4fc17555de4152be07eaf2a416a31e.r2.dev\/es\/ocie_1787654904217.jpg","fifu_image_alt":"ESET participa en la Operaci\u00f3n Endgame para desmantelar Amadey y Stealc","_links":{"self":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/66897","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/comments?post=66897"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/66897\/revisions"}],"predecessor-version":[{"id":66900,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/66897\/revisions\/66900"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media\/66899"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media?parent=66897"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/categories?post=66897"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/tags?post=66897"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}