Se ha observado una campaña de phishing coordinada dirigida a usuarios de Taiwán que utiliza variantes de malware como Winos 4.0 y el troyano de acceso remoto (RAT) HoldingHands para obtener acceso a largo plazo a los sistemas infectados.
Según un nuevo aviso de FortiGuard Labs, la campaña comenzó en enero de 2025 mediante correos electrónicos que suplantaban a la Oficina Nacional de Impuestos de Taiwán. Estos mensajes contienen enlaces a archivos o archivos ZIP, algunos protegidos con contraseña, que ejecutan una compleja cadena de carga útil al interactuar con el usuario.
El malware utiliza ejecutables legítimos para la carga lateral, evadiendo así las herramientas de detección estándar. Según FortiGuard, varios archivos, como cargadores de shellcode y cargas útiles cifradas, trabajan en conjunto para establecer la persistencia.
“Esto no es solo un ciberdelito oportunista, sino estratégico”, afirmó Chad Cragle, director de seguridad de la información de Deepwatch.
“Usar phishing con temática fiscal para hacerse pasar por una agencia gubernamental confiable es una táctica calculada diseñada para generar clics y comprometer sistemas”.
Una técnica única consiste en ocultar las llamadas esenciales a la API de Windows codificándolas en nombres de archivo. Por ejemplo, el nombre de archivo DwhsOqnbdrr.dll se decodifica al proceso de salida de la API desplazando cada letra.
“Los atacantes introdujeron un cifrado de nombre de archivo”, explicó Jason Soroko, investigador sénior de Sectigo.
“Dokan2.dll resuelve estos nombres en memoria, parchea la IAT y ejecuta el shellcode, evadiendo los escaneos de cadenas estáticas y muchas defensas de gancho de importación de EDR”.
El grupo de amenazas responsable de los ataques ha adoptado un enfoque que va más allá del phishing tradicional.
Los correos electrónicos enviados por el grupo suelen incluir archivos adjuntos o enlaces a páginas de descarga falsas, integrando malware en archivos ZIP protegidos con contraseña. Este paso adicional complica el análisis y reduce la probabilidad de detección temprana.
Con el tiempo, el grupo ha ampliado sus herramientas. Además de Winos y HoldingHands, los analistas observaron el uso de otra variante de malware, Gh0stCringe. Cada una opera en cadena, lo que lleva a la instalación de módulos secundarios como herramientas de escritorio remoto y administradores de archivos.
Las tácticas empleadas en esta campaña, aunque actualmente se centran en Taiwán, sugieren un panorama de amenazas más amplio.
Algunas herramientas antivirus pueden detectar y bloquear componentes de esta cadena de malware, pero los expertos recomiendan defensas más robustas.