{"id":178173,"date":"2025-09-09T10:22:58","date_gmt":"2025-09-09T13:22:58","guid":{"rendered":"https:\/\/nuevoitsitio1.wpenginepowered.com\/co\/sin-categoria\/ghostredirector-eset-descubre-un-nuevo-grupo-de-amenazas-chino\/"},"modified":"2025-11-21T21:22:08","modified_gmt":"2025-11-22T00:22:08","slug":"ghostredirector-eset-descubre-un-nuevo-grupo-de-amenazas-chino","status":"publish","type":"post","link":"https:\/\/www.itsitio.com\/co\/seguridad\/ghostredirector-eset-descubre-un-nuevo-grupo-de-amenazas-chino\/","title":{"rendered":"GhostRedirector: ESET descubre un nuevo grupo de amenazas chino"},"content":{"rendered":"

El equipo de investigaci\u00f3n de ESET<\/a>, compa\u00f1\u00eda l\u00edder en detecci\u00f3n proactiva de amenazas, descubri\u00f3 un nuevo actor malicioso alineado a China, al que ha bautizado como GhostRedirector. En junio de 2025, este actor malicioso comprometi\u00f3 al menos 65 servidores Windows, principalmente en Brasil, Per\u00fa, Tailandia, Vietnam y Estados Unidos. Cada uno de estos servidores maneja miles de peticiones por lo que el alcance y magnitud de este tipo de amenazas es incalculable.<\/p>\n

Las v\u00edctimas identificadas se encuentran en diferentes regiones geogr\u00e1ficas, la mayor\u00eda de los servidores comprometidos ubicados en Estados Unidos parecen haber sido alquilados a empresas con sede en Brasil, Tailandia y Vietnam, donde se encuentran el resto de los servidores comprometidos. Debido a esto, desde ESET suponen que el inter\u00e9s era atacar a v\u00edctimas de Am\u00e9rica Latina y el sudeste asi\u00e1tico. A su vez, GhostRedirector no parece apuntar a un \u00e1mbito concreto, ya que ESET identific\u00f3 v\u00edctimas en m\u00faltiples sectores, entre ellos educaci\u00f3n, salud, seguros, transporte, tecnolog\u00eda y comercio minorista.<\/p>\n

\"Pa\u00edses
Pa\u00edses en los que se detectaron v\u00edctimas de GhostRedirector. El actor malicioso comprometi\u00f3 servidores Windows, principalmente en Brasil, Tailandia, Vietnam y Estados Unidos, mientras otras v\u00edctimas se encontraban en Per\u00fa, Canad\u00e1, Finlandia, India, Pa\u00edses Bajos, Filipinas y Singapur.<\/figcaption><\/figure>\n

Herramientas maliciosas: Rungan y Gamshen<\/span><\/h2>\n

GhostRedirector utiliz\u00f3 dos herramientas personalizadas y hasta ahora desconocidas: un backdoor pasivo en C++ al que ESET bautiz\u00f3 como Rungan<\/em>, que tiene la capacidad de ejecutar comandos en un servidor comprometido. Por otro lado, un m\u00f3dulo malicioso de Internet Information Services (IIS) al que denominaron Gamshen<\/em>, cuyo prop\u00f3sito es proporcionar fraude SEO (Search Engine Optimization) como servicio\u201d para manipular los resultados del motor de b\u00fasqueda de Google<\/strong>, aumentando el ranking de sitios webs objetivos configurados. El objetivo es promocionar artificialmente varios sitios web de apuestas.<\/p>\n

“Aunque Gamshen solo modifica la respuesta cuando la solicitud proviene de Googlebot, es decir, no sirve contenido malicioso ni afecta de otro modo a los visitantes habituales de los sitios web, la participaci\u00f3n en el esquema de fraude SEO puede da\u00f1ar la reputaci\u00f3n del sitio web anfitri\u00f3n comprometido al asociarlo con t\u00e9cnicas SEO fraudulentas, as\u00ed como con los sitios web impulsados”, explica el investigador de ESET, Fernando Tavella, quien hizo el descubrimiento.<\/p>\n

\"Imagen
Imagen de sitio web de juegos de azar potencialmente utilizada por GhostRedirector en su esquema de fraude SEO.<\/figcaption><\/figure>\n

GhostRedirector, seg\u00fan ESET, es probablemente un agente malicioso, desconocido al momento, alineado con China. Esto se basa en que varias muestras de herramientas tienen cadenas chinas codificadas, asimismo en el ataque se utiliz\u00f3 un certificado de firma de c\u00f3digo emitido por una empresa china, y en que una de las contrase\u00f1as de los usuarios creados por GhostRedirector en el servidor comprometido contiene la palabra huang, que en chino significa amarillo.<\/p>\n

A su vez, seg\u00fan la telemetr\u00eda de ESET, GhostRedirector probablemente obtiene el acceso inicial a sus v\u00edctimas aprovechando una vulnerabilidad, de una inyecci\u00f3n SQL. Los atacantes comprometen un servidor Windows y, a continuaci\u00f3n, descargan y ejecutan varias herramientas maliciosas: una herramienta de escalada de privilegios, malware que descarga m\u00faltiples webshells o backdoor, y el troyano IIS. Adem\u00e1s del prop\u00f3sito obvio de las herramientas de escalada de privilegios, tambi\u00e9n pueden utilizarse como respaldo en caso de que el grupo pierda el acceso al servidor comprometido. Las capacidades de backdoor incluyen la comunicaci\u00f3n en red, la ejecuci\u00f3n de archivos, el listado de directorios y la manipulaci\u00f3n tanto de los servicios como de las claves del registro de Windows.<\/p>\n

“GhostRedirector tambi\u00e9n demuestra persistencia y resiliencia operativa al implementar m\u00faltiples herramientas de acceso remoto en el servidor comprometido, adem\u00e1s de crear cuentas de usuario fraudulentas, todo ello con el fin de mantener el acceso a largo plazo en la infraestructura comprometida”<\/em>, afirma Tavella.<\/p>\n

La telemetr\u00eda de ESET detect\u00f3 ataques de GhostRedirector entre diciembre de 2024 y abril de 2025, y un an\u00e1lisis de todo Internet realizado en junio de 2025 identific\u00f3 m\u00e1s v\u00edctimas. ESET notific\u00f3 el compromiso a todas las v\u00edctimas identificadas en el an\u00e1lisis. Las recomendaciones para mitigar el problema se pueden encontrar en el informe t\u00e9cnico completo<\/a> publicado anteriormente.<\/p>\n

Para obtener un an\u00e1lisis m\u00e1s detallado y un desglose t\u00e9cnico de GhostRedirector, consulte la \u00faltima entrada del blog de ESET Research, \u00abGhostRedirector manipula resultados SEO en Google e infecta servidores Windows<\/strong><\/a>\u00bb, en WeLiveSecurity.com.<\/p>\n

Leer mas<\/span><\/h3>\n