Un grupo hacktivista alineado con Bielorrusia permaneció cerca de dos años dentro de la red de una organización sanitaria rusa. La firma de ciberseguridad rusa Solar atribuye la intrusión a un clúster de amenazas bautizado como Partisan Zmiy, también conocido como Cyber Partisans.
El grupo, activo al menos desde 2020, ha atacado anteriormente empresas industriales y agencias gubernamentales de Rusia y Bielorrusia con un backdoor denominado Vasilek, que emplea Telegram tanto para el mando y control (C2) como para la exfiltración de datos. Algunas de sus campañas han utilizado señuelos de phishing para desplegar un instalador que instala a la vez el programa legítimo FortiClient VPN y una herramienta de código abierto llamada DNSCat2, que permite a los atacantes tomar el control del equipo infectado.
Una característica destacada del actor es su capacidad para ejecutar ataques destructivos con un wiper llamado Pryanik, además de borrar de forma sistemática los registros de eventos de Windows mediante una utilidad conocida como Evlx.
La filial de Rostelecom indicó que detectó la intrusión en diciembre de 2025, aunque las evidencias apuntan a que los primeros indicios de compromiso se remontan a principios de 2024. No se identificó el nombre de la organización atacada ni se conoce el vector exacto de acceso inicial.
A diferencia de otros ataques vinculados a Cyber Partisans, en esta ocasión los atacantes permanecieron largo tiempo en la red sin llevar a cabo acciones destructivas, lo que supone un cambio en su modus operandi.
«La organización atacada poseía una infraestructura extensa y relaciones de confianza bidireccionales con numerosas instituciones médicas subsidiarias», señaló Solar. «Hipotetizamos que la ausencia de perturbaciones en la infraestructura se debe precisamente al valor de este acceso para futuras actividades de espionaje y ataques a través de relaciones de confianza».
Durante la intrusión se observó un servicio programador y cargador («vmauad») que se hace pasar por un componente legítimo de VMware para mantener la persistencia y eludir una inspección superficial. Para lograrlo, los atacantes aprovecharon una ubicación del directorio de VMware Tools considerada fiable pero no monitorizada, donde colocaron ejecutables maliciosos o reemplazaron DLL legítimas de VMware por una versión maliciosa («vmtools.dll») que contenía el backdoor.
La función principal de ese servicio de Windows es lanzar el binario fraudulento «C:Program FilesVMwareVMware Toolsauthd.exe», que, además de abrir un túnel GOST cada sábado de 22:00 a 23:00, ejecuta una versión actualizada de Vasilek (1.5.8) una sola vez, ocho horas después de que arranque el servicio.
Una vez instalado, Vasilek puede recopilar información del equipo infectado, ejecutar comandos de Windows, iniciar y terminar procesos, transferir archivos, capturar pantallas, registrar pulsaciones de teclado y escalar privilegios mediante runas. También puede impedir que la máquina entre en modo de suspensión y actualizarse o eliminarse a sí mismo.
Entre las novedades destaca el comando «move_cursor», que permite al backdoor mover el cursor y simular la entrada del usuario en la pantalla de la víctima.
«El grupo invierte de forma constante en sigilo y seguridad operativa, más que en nuevas capacidades: vinculación al nombre del host en dos componentes independientes, lanzamiento nocturno programado de payloads, herencia del proxy del sistema, camuflaje como software legítimamente instalado pero sin uso, rotación de archivos en las mismas rutas, manipulación de marcas de tiempo, supresión de mensajes salientes y mensajes anónimos en nombre del grupo en los chats de los operadores», explicó Solar.
«El conjunto de funciones del backdoor apenas ha cambiado a lo largo de cuatro revisiones. Dado que los proveedores de servicios de internet bloquean Telegram en Rusia, la comunicación entre el backdoor Vasilek y su C2 se ha vuelto inestable».
La revelación coincide con la publicación por parte de Solar de los detalles de una campaña de phishing que utiliza adjuntos JavaScript que imitan documentos empresariales, como pagos y órdenes de compra, para distribuir una familia de malware no reportada hasta ahora llamada HypeAgent.
Este malware de Windows es un troyano completo diseñado para tomar el control total de los sistemas infectados: puede robar archivos, abrir una consola, cambiar el fondo de escritorio, encender la webcam, registrar pulsaciones, lanzar sesiones ocultas de VNC y RDP, controlar el ratón e incluso desplegar un minero de criptomonedas.
También es capaz de robar cookies asociadas a Discord, Steam, GitHub, Instagram, Telegram, Binance, ChatGPT, Claude y Cursor, y de manipular la aplicación de cartera Exodus instalada para inyectar JavaScript que recoja la contraseña, el PIN, la frase mnemónica y la clave privada de la víctima.
A principios de junio, Solar también observó infraestructura legítima comprometida por el malware botnet de proxyware ProxyCB realizando solicitudes automatizadas a sitios web y plataformas en línea rusas, y detectó posibles solapamientos entre la infraestructura de esa botnet y actividad histórica vinculada a TeamSpy, un clúster de amenazas conocido por abusar de TeamViewer para facilitar el reconocimiento y el robo de datos.
El mes pasado, el Departamento de Justicia de Estados Unidos (DoJ) acusó a Searzhudin Tamirlanovich Aktulaev, un ciudadano ruso de 40 años extraditado desde Chipre en mayo de 2025, de explotar el servicio de mensajería en línea de una conocida plataforma de empleo freelance para enviar adjuntos Excel cargados de malware a unos 80.000 de sus usuarios en 2016 y 2017 mediante 255 cuentas falsas.
Esos ataques provocaron el despliegue de dos tipos de malware, una variante de TVRAT (también conocido como Sheldor, SpyAgent, TeamBot, TeamSpy y TVSPY) y DarkVNC, para recopilar y enviar datos desde el equipo de la víctima a un servidor remoto bajo el control del atacante. Se estima que miles de equipos resultaron infectados como consecuencia de este esquema.
Acerca del autor
