En febrero de 2026 se identificó una cadena de actividades maliciosas que se venía ejecutando desde, al menos, finales de 2025. El núcleo de este ataque fue una GoSerpent backdoor, una puerta trasera remota escrita en Go, con capacidades de proxy y con un enfoque claro: persistir en sistemas comprometidos, recopilar información valiosa y luego sacar esos datos fuera de la red. La campaña se dirigió a entidades gubernamentales y diplomáticas en el Sudeste Asiático, y destacó por su planificación y por la integración entre varias herramientas.
Lo más preocupante no fue solo la variedad de componentes, sino cómo encajan entre sí: primero se recolectan archivos, después se roban credenciales y, más adelante, se ejecuta la exfiltración empleando rutas y parámetros configurados previamente. Con el paso de los meses, el atacante también mejoró su infraestructura y añadió herramientas nuevas para ampliar el sigilo.
Cómo empezó el ataque: despliegue inicial y preparación para la exfiltración
La fase inicial consistió en instalar la GoSerpent backdoor y, a continuación, cargar herramientas adicionales orientadas a la recolección de datos y al robo de credenciales. El objetivo inmediato era almacenar información de forma interna para liberarla más tarde, evitando así la exposición temprana.
En esta etapa se utilizó una herramienta de recolección de archivos para reunir documentos específicos y guardarlos en el sistema. Paralelamente, se desplegaron utilidades para obtener credenciales que luego serían necesarias para acceder a unidades de red y facilitar la extracción de archivos desde el entorno comprometido.
La GoSerpent backdoor: comunicación cifrada y control remoto
La GoSerpent backdoor es el componente principal de la campaña. Está basada en Go, funciona como un troyano de acceso remoto y se observó activa desde, al menos, 2021. La variante más reciente se vio en 2026.
Su funcionamiento contempla varios elementos técnicos relevantes. La puerta trasera recibe argumentos de línea de comandos codificados y cifrados; con base en esos datos se conecta a servidores de command-and-control. Para el cifrado de la comunicación se describen mecanismos criptográficos como AES-CBC para el descifrado inicial de parámetros y ChaCha20 para las comunicaciones con el servidor, usando una clave derivada a partir del “password” de comunicación (expresada mediante un resumen SHA256).
Órdenes del C2 y uso de proxies
La GoSerpent soporta múltiples comandos al interpretar valores especiales recibidos desde el C2. Entre las capacidades destaca la posibilidad de montar servidores proxy SOCKS5. Con ello, el atacante puede enrutar el tráfico a través de hosts comprometidos, “camuflando” el origen real de las conexiones y ampliando las opciones para moverse lateralmente dentro de la red.
Además, el malware puede desplegar otros módulos maliciosos, incluyendo los que recolectan archivos, los que extraen credenciales y los que obtienen hashes de contraseñas de cuentas locales. También se observan estrategias para evadir la detección, como el uso de nombres de archivo que imitan procesos legítimos del sistema.
El componente más “visible”: recolección de documentos con ThumbcacheService
Tras el despliegue de la GoSerpent backdoor, el atacante aplicó una lógica de espera. En lugar de exfiltrar de inmediato, primero recopiló información durante un periodo, minimizando el riesgo de alertas tempranas. Para esta parte se usó ThumbcacheService, un DLL malicioso instalado como servicio de Windows.
Este componente actúa como un mecanismo de recolección sofisticado dentro del ecosistema del ataque. Para ocultar detalles, se emplea una ofuscación XOR con una clave de un solo byte (0x13) para las cadenas. Luego se crea un archivo de base de datos con un nombre específico dentro de C:\Users\Public, donde se almacenan los documentos detectados.
Qué archivos se buscan y cómo se empaquetan
ThumbcacheService se enfoca en documentos con extensiones concretas, incluyendo .doc, .docx, .pdf, .xls y .xlsx. Después de reunirlos, los archivos se archivan con 7-Zip y se protegen con una contraseña predefinida, además de imponerse un límite de tamaño para los archivos comprimidos.
Para ampliar la cobertura, el servicio también vigila el directorio $Recycle.Bin en busca de elementos borrados que coincidan con las extensiones de interés. Así, el atacante intenta capturar material que pudo haber sido eliminado antes de que se detectara la intrusión.
Robo de credenciales: Mimikatz y QuarksDumpLocalHash
Una vez que la GoSerpent backdoor estuvo operativa, los operadores pasaron a obtener credenciales para habilitar fases posteriores de acceso y exfiltración. El enfoque se basó en combinar herramientas para maximizar la extracción de información útil.
Se identificaron dos utilidades principales desplegadas mediante la puerta trasera:
- Mimikatz: permite volcar material desde el proceso LSASS para recuperar credenciales en memoria, incluidos credenciales almacenadas en caché y tickets de Kerberos.
- QuarksDumpLocalHash: extrae hashes de contraseñas de cuentas locales a partir del registro, específicamente desde la estructura SAM, habilitando ataques de cracking fuera de línea.
Estas credenciales no se trataban como un objetivo aislado. Su propósito era habilitar la exfiltración posterior de los archivos recolectados por ThumbcacheService.
Una variante más: McMx y el uso paralelo de versiones
Además de la versión moderna y más sigilosa, se observaron implementaciones anteriores con un estilo de código más simple. En esas versiones previas, los argumentos se recibían de forma legible desde la línea de comandos.
También apareció McMx, un proxy y herramienta de acceso remoto con una versión más básica. Al igual que en los casos anteriores, McMx parece haber sido compilado a partir de una ruta de repositorio diferente. En lugar de argumentos cifrados, recibe parámetros desde archivos de texto en claro.
Antes de ejecutar McMx, el atacante manipula archivos batch para generar configuraciones que contienen dirección del host remoto, puertos y claves secretas. Luego se despliega el malware con esa configuración.
Entre sus funcionalidades destacan:
- Proxying SOCKS5
- Reenvío/forwarding de puertos
- Transferencia de archivos
- Acceso tipo shell remoto
Lo relevante aquí es el patrón: incluso con la llegada de variantes más avanzadas, el atacante continuó usando la versión más simple junto con la más nueva en ataques recientes.
La segunda fase: Stowaway y el cargador TmcLoader
Después de la fase inicial, el atacante dejó pasar varias semanas. La intención era que ThumbcacheService siguiera recopilando datos sin exfiltrarlos todavía, mientras las herramientas de robo de credenciales continuaban su actividad.
En mayo de 2026, el actor volvió con un conjunto actualizado. El componente principal de ese ciclo fue Stowaway, otro RAT y proxy en Go, con un comportamiento diseñado para ser más discreto. Además, se añadió una herramienta en dos etapas para la exfiltración: TmcLoader / TmcPayload.
Stowaway: encadenamiento de proxies y cifrado de canal
Stowaway se compiló a partir de un framework de código abierto, con funciones personalizadas para mejorar el sigilo. Incluye capacidades de administración de red y de agente, lo que permite construir rutas de proxy encadenadas a través de múltiples hosts.
Sus capacidades incluyen SOCKS5, reenvío de puertos, reverse tunneling, acceso a shell remoto, transferencia de archivos y túneles basados en SSH. En cuanto a comunicaciones, se emplean canales protegidos como TCP, HTTP o WebSocket, usando cifrado AES-256-GCM o TLS.
Como siguiente paso, el atacante entregó dos archivos en la máquina víctima mediante Stowaway: TmcLoader con un payload embebido, y un archivo de configuración cifrado con un identificador específico.
TmcLoader/TmcPayload: persistencia y lectura de configuración
TmcLoader es un cargador en C++ registrado como servicio de Windows. Integra un payload cifrado, conocido como TmcPayload, que se descifra y se carga en memoria dentro del proceso svchost para sostener la persistencia y reducir la probabilidad de detección.
Para ocultar nombres de APIs, el cargador usa resolución dinámica con un esquema circular XOR y también utiliza Base64 para ofuscar cadenas. Adicionalmente, crea un evento único con el fin de prevenir infecciones múltiples en el mismo sistema.
El payload genera una ruta para un archivo de configuración identificable dentro de C:\Users\Public\Libraries. Luego verifica si ese archivo existe; si no está, espera un tiempo aleatorio y vuelve a comprobar. Dicho archivo contiene credenciales cifradas de recursos compartidos de red y rutas de destino para la exfiltración.
Un detalle que muestra la coherencia de la cadena es que TmcPayload toma como referencia el archivo producido por ThumbcacheService: el archivo de base de datos asociado a thumbcache_605a.db. Así, el ataque no depende de “recolección al vuelo”, sino de una cadena preparada con anterioridad.
La integración del “kit” malicioso: una cadena de principio a fin
Lo que distingue esta operación es su enfoque deliberado en la integración. No se trata de herramientas sueltas, sino de una coreografía donde cada pieza prepara el terreno para la siguiente.
- ThumbcacheService (instalado vía GoSerpent) recopila y archiva información en un archivo de base de datos con un nombre específico.
- Las herramientas de robo de credenciales obtienen acceso mediante credenciales del sistema.
- La configuración suministrada con Stowaway aporta credenciales y rutas de destino.
- TmcLoader/TmcPayload usa esa configuración para localizar el archivo y ejecutar la extracción.
- La transferencia final se realiza empleando credenciales de red y los destinos definidos en la configuración.
Esta integración sugiere planificación operacional: primero se genera el “material” (archivos), luego se habilita el “acceso” (credenciales) y finalmente se ejecuta el “transporte” (exfiltración).
Infraestructura y metodología operativa
Los operadores utilizaron proveedores de alojamiento legítimos, incluyendo servicios en la nube como Alibaba Cloud y UCLOUD HK, para sostener su infraestructura de command-and-control. Este uso de plataformas conocidas forma parte de la estrategia para complicar la detección.
Además, la similitud entre GoSerpent y Stowaway refleja un conocimiento profundo sobre tecnologías de proxy. También se observa un patrón de claves secretas basadas en nombres de dominio legítimos, con ejemplos concretos descritos para cada componente.
Posible vínculo con otros actores
La atribución exacta del caso no es concluyente. Sin embargo, existen indicios que apuntan a una posible relación con el actor TetrisPhantom. Las similitudes en el objetivo, las capacidades técnicas y la forma de operar sugieren una conexión plausible, aunque se requiere investigación adicional para confirmarla.
Qué lecciones deja la GoSerpent backdoor
La campaña asociada a la GoSerpent backdoor representa una amenaza sofisticada y en evolución dirigida a entidades gubernamentales y diplomáticas en el Sudeste Asiático. La capacidad de recopilar documentos, extraer credenciales y luego exfiltrarlos usando una cadena de herramientas integrada muestra un alto nivel de pericia.
En un panorama donde las tácticas cambian con frecuencia, la recomendación central para las organizaciones es mantenerse vigilantes y aplicar controles robustos. Comprender estas tácticas, técnicas y procedimientos ayuda a reforzar defensas y a preparar respuestas ante intrusiones con objetivos de largo plazo.
Indicadores observados
Como referencia, se reportaron algunos hashes de archivos y direcciones IP de infraestructura asociada. Entre los hashes mencionados se encuentran los correspondientes a GoSerpent, McMx, ThumbcacheService, Stowaway y TmcLoader. También se listan varias direcciones IP que participaron en las comunicaciones descritas en el análisis.
Nota: estos elementos deben evaluarse dentro del contexto de cada organización y contrastarse con telemetría interna antes de actuar.
Fuente: https://securelist.com/goserpent-backdoor-in-southeast-asia/120687/
