En 2024, investigadores de seguridad detectaron malware previamente desconocido en la red de una entidad gubernamental del sudeste asi\u00e1tico. Ese hallazgo inicial destap\u00f3 una campa\u00f1a de ciberespionaje mucho m\u00e1s amplia, ejecutada por un nuevo grupo de amenaza persistente avanzada (APT) alineado con China, al que se ha denominado LongNosedGoblin. Con un arsenal de herramientas personalizadas escritas principalmente en C# y .NET, y una t\u00e1ctica distintiva que abusa de las directivas de grupo (Group Policy) de Active Directory para propagarse lateralmente, este grupo ha logrado infiltrarse en organismos estatales de varios pa\u00edses del sudeste asi\u00e1tico y Jap\u00f3n desde al menos septiembre de 2023, con el objetivo claro de robar informaci\u00f3n clasificada.<\/p>\n
LongNosedGoblin es un grupo APT cuyas operaciones est\u00e1n alineadas con los intereses de China y cuyo blanco principal son entidades gubernamentales en el sudeste asi\u00e1tico y Jap\u00f3n. La actividad de este grupo se centra en el ciberespionaje: la recolecci\u00f3n sistem\u00e1tica de informaci\u00f3n sensible de redes oficiales. El modus operandi que lo distingue de otros actores similares es el uso de Group Policy de Microsoft<\/a> Windows como mecanismo de despliegue de malware y movimiento lateral dentro de la red comprometida. Esta t\u00e9cnica, habitual en la administraci\u00f3n de redes corporativas, permite a los atacantes distribuir sus cargas maliciosas a m\u00faltiples equipos de forma simult\u00e1nea y con apariencia leg\u00edtima.<\/p>\n LongNosedGoblin es un grupo APT que emplea un conjunto de herramientas maliciosas desarrolladas a medida, entre las que destacan un recolector de historial de navegaci\u00f3n (NosyHistorian), una puerta trasera (NosyDoor), un ladr\u00f3n de datos de navegadores (NosyStealer), un descargador (NosyDownloader) y un registrador de teclas (NosyLogger). Su cadena de ataque t\u00edpica comienza con la recolecci\u00f3n de historiales de navegaci\u00f3n mediante NosyHistorian, desplegado a trav\u00e9s de Group Policy. Con esa informaci\u00f3n, los atacantes seleccionan los equipos de mayor valor dentro de la organizaci\u00f3n y despliegan sobre ellos la puerta trasera NosyDoor, que utiliza servicios en la nube como Microsoft OneDrive como servidor de comando y control (C&C), lo que dificulta su detecci\u00f3n por los sistemas de seguridad perimetral.<\/p>\n En febrero de 2024, los investigadores encontraron un malware desconocido en el sistema de una entidad gubernamental del sudeste asi\u00e1tico. Ese malware era un dropped que instalaba una puerta trasera personalizada, bautizada como NosyDoor. El an\u00e1lisis revel\u00f3 que el compromiso no se limitaba a una sola m\u00e1quina, sino que abarcaba m\u00faltiples equipos de la misma organizaci\u00f3n, y que el malware se hab\u00eda distribuido precisamente mediante Group Policy. Investigaciones adicionales mostraron que las mismas v\u00edctimas estaban infectadas con otra herramienta maliciosa, tambi\u00e9n distribuida por Group Policy, dise\u00f1ada para recolectar el historial de navegaci\u00f3n: NosyHistorian. Entre enero y marzo de 2024 se identificaron numerosas v\u00edctimas afectadas por NosyHistorian, aunque solo un subconjunto de ellas hab\u00eda recibido tambi\u00e9n NosyDoor. Algunas muestras del dropped de NosyDoor incorporaban incluso protecciones de ejecuci\u00f3n (guardrails) que limitaban su funcionamiento a equipos con nombres de m\u00e1quina espec\u00edficos, lo que indica una selecci\u00f3n muy cuidadosa de los objetivos.<\/p>\n Conforme avanz\u00f3 la investigaci\u00f3n, aparecieron otras piezas de malware desconocido en las mismas v\u00edctimas: NosyStealer, para robar datos de navegadores; NosyDownloader, para descargar y ejecutar cargas en memoria; NosyLogger, un keylogger; un proxy SOCKS5 inverso; y un ejecutor de argumentos que se us\u00f3 para lanzar un grabador de video (probablemente FFmpeg) con el fin de capturar audio y video de los equipos infectados. El descargador se detect\u00f3 por primera vez en telemetr\u00eda de septiembre de 2023, lo que sit\u00faa el inicio de las operaciones del grupo al menos en esa fecha.<\/p>\n La combinaci\u00f3n \u00fanica de herramientas y el uso sistem\u00e1tico de Group Policy para el movimiento lateral llevaron a los investigadores a atribuir los ataques a un nuevo grupo APT alineado con China, al que denominaron LongNosedGoblin. Se observaron ciertas similitudes en las rutas de archivo mencionadas en informes sobre el grupo ToddyCat, otro APT con objetivos similares, pero el malware descrito en esos informes carece de similitudes de c\u00f3digo con las herramientas aqu\u00ed analizadas.<\/p>\n En junio de 2025<\/a>, la empresa rusa de ciberseguridad Solar public\u00f3 un informe sobre un grupo APT al que denomin\u00f3 Erudite Mogwai, que utilizaba una carga que se asemeja estrechamente a NosyDoor. Seg\u00fan ese informe, Erudite Mogwai atac\u00f3 infraestructuras de TI de una organizaci\u00f3n gubernamental rusa y empresas tecnol\u00f3gicas rusas, empleando la puerta trasera LuckyStrike Agent. Sin embargo, no se puede confirmar que Erudite Mogwai y LongNosedGoblin sean el mismo grupo, ya que existe una diferencia clara en sus t\u00e1cticas, t\u00e9cnicas y procedimientos (TTP). En particular, el informe sobre Erudite Mogwai no menciona el abuso de Group Policy de Active Directory para el despliegue de malware, una t\u00e9cnica caracter\u00edstica de LongNosedGoblin.<\/p>\n M\u00e1s tarde se identific\u00f3 otra variante de NosyDoor atacando a una organizaci\u00f3n en un pa\u00eds de la Uni\u00f3n Europea, esta vez con TTP diferentes y utilizando Yandex Disk como servidor C&C. El uso de esta variante sugiere que NosyDoor podr\u00eda ser compartido entre m\u00faltiples grupos APT alineados con China. Esta hip\u00f3tesis se refuerza por la observaci\u00f3n de la palabra \u00abPaid\u00bb en la ruta PDB de NosyDoor, lo que indica que el malware podr\u00eda ofrecerse comercialmente como un servicio, es decir, estar siendo vendido o licenciado a otros actores de amenaza.<\/p>\n Durante 2024, LongNosedGoblin despleg\u00f3 activamente NosyDownloader en el sudeste asi\u00e1tico. En diciembre del mismo a\u00f1o, se detect\u00f3 una versi\u00f3n actualizada de NosyHistorian en Jap\u00f3n, aunque no se observ\u00f3 actividad posterior inmediata. En septiembre de 2025, el grupo reactiv\u00f3 sus operaciones en el sudeste asi\u00e1tico, nuevamente utilizando Group Policy para distribuir NosyHistorian a las m\u00e1quinas objetivo.<\/p>\n En esta nueva ola de ataques, los investigadores notaron comportamientos consistentes con el uso de Cobalt Strike: un loader denominado oci.dll<\/strong> se descarg\u00f3 en una sola m\u00e1quina, con una carga \u00fatil llamada ocapi.edb<\/strong> cargada desde el disco. LongNosedGoblin despleg\u00f3 posteriormente ese loader en m\u00e1quinas seleccionadas mediante Group Policy. De manera similar, otro componente llamado mscorsvc.dll<\/strong> se descarg\u00f3 con su carga almacenada en conf.ini<\/strong>, y tambi\u00e9n se distribuy\u00f3 a las v\u00edctimas usando el mismo mecanismo de Group Policy.<\/p>\n El conjunto de herramientas de LongNosedGoblin es variado y est\u00e1 compuesto principalmente por aplicaciones C#\/.NET. A continuaci\u00f3n se analiza cada una de ellas en detalle.<\/p>\n NosyHistorian es una aplicaci\u00f3n C#\/.NET cuyo nombre interno, GetBrowserHistory<\/strong>, describe con exactitud su funci\u00f3n: recolecta el historial de navegaci\u00f3n de los usuarios. En las campa\u00f1as observadas, los atacantes utilizaron esta herramienta para obtener visibilidad sobre las m\u00e1quinas dentro de la infraestructura comprometida. Con esa informaci\u00f3n, seleccionaban un peque\u00f1o subconjunto de v\u00edctimas espec\u00edficas para comprometerlas m\u00e1s a fondo con la puerta trasera NosyDoor.<\/p>\n La herramienta se desplegaba mediante Group Policy bajo el nombre de archivo History.ini<\/strong>, simulando ser un archivo de configuraci\u00f3n INI. En realidad, es un ejecutable port\u00e1til (PE) cuyo objetivo era camuflarse entre otros archivos INI que se almacenan com\u00fanmente en el directorio de cach\u00e9 de Group Policy.<\/p>\n NosyHistorian itera sobre todos los usuarios de la m\u00e1quina y recupera el historial de navegaci\u00f3n de Google<\/a> Chrome, Microsoft Edge y Mozilla Firefox. Cada archivo de base de datos del historial se copia a un directorio temporal y luego se sube a un recurso compartido SMB espec\u00edfico dentro de la red local de la organizaci\u00f3n comprometida. La nomenclatura de los archivos subidos incluye el nombre de usuario, el nombre de la m\u00e1quina y el perfil del navegador.<\/p>\n Tanto NosyHistorian como NosyDoor comparten rutas PDB similares, compilados desde el directorio E:\\Csharp<\/strong>, lo que refuerza la autor\u00eda com\u00fan.<\/p>\n NosyDoor es una puerta trasera que utiliza servicios en la nube, como Microsoft OneDrive, como servidor de comando y control. Su cadena de ejecuci\u00f3n consta de tres etapas bien definidas.<\/p>\n La primera etapa es un dropped C#\/.NET con nombre interno OneClickOperation<\/strong>. Se despliega mediante Group Policy, a menudo disfrazado como un archivo de directiva de registro con nombres como Registry.pol<\/strong> o Registry.plo<\/strong>. El dropped descodifica en base64 y descifra mediante DES (con clave e IV fijados en \u00abUevAppMo\u00bb) varios archivos incrustados, que deposita en C:\\Windows\\Microsoft.NET\\Framework<\/strong> con nombres que imitan archivos leg\u00edtimos del sistema: SharedReg.dll<\/strong>, log.cached<\/strong>, netfxsbs9.hkf<\/strong> y UevAppMonitor.exe.config<\/strong>. Finalmente, crea una tarea programada de Windows que ejecuta el archivo leg\u00edtimo UevAppMonitor.exe<\/strong> (copiado desde System32) al inicio del sistema, el cual cargar\u00e1 la segunda etapa.<\/p>\n El archivo UevAppMonitor.exe<\/strong> es una aplicaci\u00f3n leg\u00edtima que se utiliza como LOLBin (Living-Off-the-Land Binary). Al ejecutarse, carga el archivo de configuraci\u00f3n UevAppMonitor.exe.config<\/strong>, que especifica un AppDomainManager personalizado. Esta t\u00e9cnica, conocida como AppDomainManager injection, permite que la aplicaci\u00f3n .NET cargue c\u00f3digo malicioso en lugar del c\u00f3digo leg\u00edtimo. La DLL SharedReg.dll<\/strong> contiene c\u00f3digo para evadir AMSI (Antimalware Scan Interface) y descifra el archivo netfxsbs9.hkf<\/strong> mediante AES para obtener el payload final de NosyDoor, que se ejecuta en memoria.<\/p>\n La tercera etapa es una puerta trasera C#\/.NET con nombre interno OneDrive<\/strong>. Recolecta metadatos del equipo v\u00edctima (direcci\u00f3n IP externa e interna, nombre de usuario, nombre de m\u00e1quina, versi\u00f3n del sistema operativo, nombre del proceso actual, etc.), los cifra con RSA y los sube a OneDrive en un archivo con extensi\u00f3n .max. Luego, la puerta trasera entra en un bucle de espera en el que consulta peri\u00f3dicamente el directorio de OneDrive en busca de archivos de tareas con extensi\u00f3n .max. Cada tarea contiene un comando cifrado con AES. Los comandos soportados incluyen ejecuci\u00f3n de comandos shell, carga y descarga de archivos, listado de directorios, eliminaci\u00f3n de archivos, establecimiento del intervalo de baliza, y carga de ensamblados .NET. Los resultados de los comandos se cifran y se suben de vuelta a OneDrive. La configuraci\u00f3n de NosyDoor se almacena en el archivo log.cached<\/strong>, cifrado con XOR y AES, e incluye par\u00e1metros como el ID del listener, la carpeta de trabajo, los tokens de autenticaci\u00f3n de OneDrive, el intervalo de sue\u00f1o y la ventana de tiempo de actividad (en el caso analizado, entre las 8:51 y las 18:51 hora local).<\/p>\n NosyStealer es una herramienta de cuatro etapas dise\u00f1ada para robar datos de navegaci\u00f3n de Microsoft Edge y Google Chrome. La primera etapa es un cargador C\/C++ que carga una DLL (SERV.dll<\/strong> o msi.dll<\/strong>). La segunda etapa, la DLL, descifra mediante XOR un archivo de datos (MDE.dat<\/strong>) que contiene shellcode Donut, y lo inyecta en un proceso (ya sea el propio proceso cargador o un proceso notepad.exe reci\u00e9n creado). La tercera etapa, el shellcode, contiene un PE incrustado que es cargado en memoria por el cargador reflectivo de Donut. Este PE parchea la funci\u00f3n AmsiScanBuffer<\/strong> de AMSI para evadir la detecci\u00f3n, crea una tarea programada para persistencia, y luego descifra otro archivo (mfd.dat<\/strong>) que contiene un segundo shellcode Donut. La cuarta y \u00faltima etapa es una aplicaci\u00f3n Go que descarga un archivo de configuraci\u00f3n desde Google Docs. Si ese archivo contiene el ID de la v\u00edctima, la herramienta lee los datos de perfil de Edge y Chrome, los empaqueta en un archivo tar, los cifra con un cifrado personalizado y los exfiltra a Google Drive. NosyStealer tambi\u00e9n registra mensajes de estado y errores en un documento de Google Docs.<\/p>\n NosyDownloader consiste en aplicaciones benignas originales que han sido parcheadas con c\u00f3digo malicioso. Ese c\u00f3digo ejecuta una cadena de comandos PowerShell ofuscados, pasados como un \u00fanico argumento largo en la l\u00ednea de comandos, sin escribir el script en disco. Cada etapa sucesiva est\u00e1 codificada en base64, y la \u00faltima adem\u00e1s est\u00e1 comprimida con gzip. El proceso consta de cuatro etapas: la primera ejecuta la segunda en un proceso PowerShell oculto; la segunda evade AMSI mediante la t\u00e9cnica de reflexi\u00f3n de Matt Graeber y deshabilita el registro de scripts; la tercera descodifica y descomprime la cuarta; y la cuarta descarga un payload de internet y lo ejecuta en memoria con Invoke-Expression. Se sospecha que NosyDownloader se utiliz\u00f3 para desplegar ReverseSocks5, NosyLogger y el ejecutor de argumentos, ya que aparecieron en la misma ventana de tiempo tras su ejecuci\u00f3n.<\/p>\n NosyLogger es un keylogger C#\/.NET basado en una versi\u00f3n modificada del keylogger open-source DuckSharp. A diferencia del original, no env\u00eda correos electr\u00f3nicos ni traduce las teclas al alfabeto cir\u00edlico. Verifica la presencia de un depurador mediante las APIs IsDebuggerPresent<\/strong> y CheckRemoteDebuggerPresent<\/strong>; si no lo detecta, comienza a registrar el nombre de la ventana activa, las teclas pulsadas y el contenido del portapapeles. Los datos acumulados se cifran cada 10 segundos con AES (clave fija) y se a\u00f1aden en formato hexadecimal a un archivo en C:\\Windows\\Temp\\TS_D418.tmp<\/strong>, separando cada bloque con la cadena \u00abENDBLOCK\u00bb. Este archivo no es exfiltrado por NosyLogger, lo que sugiere que otra herramienta se encarga de su recolecci\u00f3n posterior.<\/p>\n Adem\u00e1s de las herramientas principales, LongNosedGoblin despleg\u00f3 un proxy SOCKS5 inverso de c\u00f3digo abierto llamado ReverseSocks5<\/strong>, escrito en Go, que permite tunelizar el tr\u00e1fico de la red interna de la v\u00edctima a trav\u00e9s de un servidor externo. Se observaron dos conjuntos de argumentos de l\u00ednea de comandos, ambos conectando a la misma IP (118.107.234.29<\/strong>) en el puerto 8080, pero con diferentes claves precompartidas. Tambi\u00e9n se utiliz\u00f3 un ejecutor de argumentos (nombre interno Binary<\/strong>), una herramienta C#\/.NET cuya \u00fanica funci\u00f3n es ejecutar la aplicaci\u00f3n que se le pase como argumento. Se observ\u00f3 ejecutando FFmpeg para grabar la pantalla y capturar audio, guardando el resultado en C:\\Windows\\Temp\\output.avi<\/strong>.<\/p>\n El caso de LongNosedGoblin es especialmente significativo por varias razones. Primero, demuestra la sofisticaci\u00f3n y la persistencia de los grupos APT alineados con China en la regi\u00f3n de Asia-Pac\u00edfico. Segundo, el uso de Group Policy para el despliegue de malware representa una t\u00e1ctica de evasi\u00f3n muy efectiva, ya que aprovecha una herramienta leg\u00edtima de administraci\u00f3n de redes, lo que dificulta su detecci\u00f3n por parte de soluciones de seguridad tradicionales. Tercero, la utilizaci\u00f3n de servicios en la nube leg\u00edtimos (OneDrive, Google Drive, Google Docs) como infraestructura de C&C permite a los atacantes mezclar su tr\u00e1fico malicioso con el tr\u00e1fico leg\u00edtimo de la organizaci\u00f3n, eludiendo filtros de red y listas negras de dominios. Cuarto, la posible comercializaci\u00f3n de NosyDoor como servicio (\u00abMalware-as-a-Service\u00bb) ampl\u00eda el ecosistema de amenazas, permitiendo que otros grupos, incluso con menos recursos t\u00e9cnicos, accedan a capacidades de ciberespionaje avanzadas. Finalmente, el largo periodo de actividad del grupo (al menos desde septiembre de 2023 hasta septiembre de 2025) indica que sus operaciones no han sido detectadas ni interrumpidas eficazmente por las v\u00edctimas o la comunidad de seguridad durante un per\u00edodo prolongado.<\/p>\n Para los equipos de seguridad de entidades gubernamentales, especialmente en el sudeste asi\u00e1tico y Jap\u00f3n, pero tambi\u00e9n en cualquier regi\u00f3n que pueda ser objetivo de grupos similares, las lecciones son claras: es necesario monitorizar el uso sospechoso de Group Policy, implementar reglas de detecci\u00f3n para la creaci\u00f3n de tareas programadas con nombres que imiten servicios leg\u00edtimos de Microsoft, vigilar el tr\u00e1fico hacia servicios en la nube desde cuentas de servicio inusuales, y aplicar parches de seguridad y hardening en los controladores de dominio de Active Directory. La colaboraci\u00f3n entre equipos de respuesta a incidentes y el intercambio de indicadores de compromiso (IoCs) como los publicados por ESET<\/a> en su repositorio de GitHub son fundamentales para contener la amenaza.<\/p>\n","protected":false},"excerpt":{"rendered":" En 2024, investigadores de seguridad detectaron malware previamente desconocido en la red de una entidad gubernamental del sudeste asi\u00e1tico. Ese hallazgo inicial destap\u00f3 una campa\u00f1a de ciberespionaje mucho m\u00e1s amplia, ejecutada por un nuevo grupo de amenaza persistente avanzada (APT) alineado con China, al que se ha denominado LongNosedGoblin. Con un arsenal de herramientas personalizadas […]<\/p>\n","protected":false},"author":2,"featured_media":68374,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/pub-4d4fc17555de4152be07eaf2a416a31e.r2.dev\/es\/ocie_1789132587112.jpg","fifu_image_alt":"LongNosedGoblin ataca gobiernos del sudeste asi\u00e1tico y Jap\u00f3n","footnotes":""},"categories":[5],"tags":[],"class_list":["post-68098","post","type-post","status-publish","format-standard","has-post-thumbnail","category-tecnologia"],"fifu_image_url":"https:\/\/pub-4d4fc17555de4152be07eaf2a416a31e.r2.dev\/es\/ocie_1789132587112.jpg","fifu_image_alt":"LongNosedGoblin ataca gobiernos del sudeste asi\u00e1tico y Jap\u00f3n","_links":{"self":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/68098","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/comments?post=68098"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/68098\/revisions"}],"predecessor-version":[{"id":68100,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/68098\/revisions\/68100"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media\/68374"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media?parent=68098"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/categories?post=68098"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/tags?post=68098"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\u00bfQu\u00e9 es LongNosedGoblin y c\u00f3mo opera?<\/h3>\n
Descubrimiento y primeras evidencias<\/h3>\n
Atribuci\u00f3n y v\u00ednculos con otros grupos<\/h3>\n
Campa\u00f1as posteriores: actividad continua en 2024 y 2025<\/h3>\n
El arsenal de LongNosedGoblin: an\u00e1lisis detallado de sus herramientas<\/h2>\n
NosyHistorian: el recolector de historiales de navegaci\u00f3n<\/h3>\n
\n
NosyDoor: la puerta trasera que usa la nube como C&C<\/h3>\n
Etapa 1: el dropped<\/h4>\n
Etapa 2: inyecci\u00f3n AppDomainManager<\/h4>\n
Etapa 3: el payload principal<\/h4>\n
NosyStealer: robo de datos de navegadores<\/h3>\n
NosyDownloader: descarga y ejecuci\u00f3n en memoria<\/h3>\n
NosyLogger: registro de teclas persistente<\/h3>\n
Otras herramientas: ReverseSocks5 y ejecutor de argumentos<\/h3>\n
\u00bfPor qu\u00e9 es relevante LongNosedGoblin para gobiernos y empresas de seguridad?<\/h2>\n