Gamaredon, el colectivo de ciberdelincuentes ruso que ha sido vinculado a ataques contra Ucrania en los últimos años, ha vuelto a aparecer en la escena con una táctica que muestra la persistencia y la evolución de sus métodos. A través de la explotación de una vulnerabilidad de “path traversal” (CVE‑2025‑8088) en WinRAR, el popular archivador de Windows, el grupo distribuye dos familias de malware diseñadas para robar datos y propagarse de manera autónoma: GammaWorm y GammaSteel.
La explotación de CVE‑2025‑8088 no es nueva. Desde su descubrimiento, la comunidad de seguridad ha advertido sobre el riesgo de que atacantes realicen accesos no autorizados a archivos dentro de una carpeta, lo que permite la ejecución de código malicioso. Gamaredon ha sabido aprovechar esta falla para crear un “payload” de aplicación HTML (HTML Application, HXA) que se llama GammaPhish. El proceso comienza con la descarga de un archivo RAR que, al descomprimirse, ejecuta el HXA. Este componente actúa como puerta de entrada, descargando e instalando GammaWorm y GammaSteel.
GammaWorm es un troyano de uso múltiple que se centra en la exfiltración de información. Una vez instalado, el malware recopila credenciales, datos de redes locales y archivos sensibles, enviándolos a servidores de comando y control (C&C) controlados por los atacantes. Además, GammaWorm incluye módulos de propagación que explotan vulnerabilidades de Windows y de aplicaciones de terceros, multiplicándose rápidamente dentro de la red.
GammaSteel, por otro lado, se presenta como un ransomware ligero, pero su objetivo principal es la creación de un “túnel” de datos. En lugar de cifrar archivos, GammaSteel se infiltra en la infraestructura del objetivo para extraer información crítica y establecer una presencia persistente. Este enfoque permite a Gamaredon recopilar inteligencia de alto valor sin alertar inmediatamente a los sistemas de defensa.
El ataque dirigido a Ucrania no es sorprendente. Gamaredon ha mantenido una presencia activa en la región desde la invasión rusa de 2022, utilizando herramientas de phishing, ransomware y espionaje para apoyar operaciones militares. La elección de WinRAR como vector de entrega es estratégica: la herramienta es ampliamente utilizada en entornos corporativos y su vulnerabilidad es conocida, pero a menudo se subestima su riesgo.
¿Qué implica esto para las organizaciones?
Actualizaciones críticas: La primera línea de defensa es mantener WinRAR actualizado. La versión que corrige CVE‑2025‑8088 debe instalarse de inmediato en todos los dispositivos que lo utilizan.
Políticas de descarga y ejecución: Implementar controles estrictos sobre la descarga de archivos comprimidos y la ejecución de contenido HTML dentro de archivos RAR puede bloquear la entrega de GammaPhish.
Monitoreo de anomalías: El comportamiento de GammaWorm y GammaSteel incluye patrones de tráfico de red inusuales y conexiones a dominios de C&C externos. Un sistema de detección de intrusiones (IDS) configurado para alertar sobre estos patrones puede interrumpir la propagación.
Concienciación del usuario: Los atacantes siguen dependiendo de la ingeniería social. Educar a los empleados sobre los riesgos de abrir archivos comprimidos de fuentes no verificadas reduce la probabilidad de que el malware se inicie.
El ataque de Gamaredon también resalta la importancia de una postura de seguridad integral. La dependencia de un solo software para la compresión de archivos puede crear un punto único de falla. Diversificar herramientas y aplicar políticas de seguridad en capas —desde la capa de red hasta la de aplicación— es esencial para mitigar amenazas sofisticadas.
En conclusión, la utilización de la vulnerabilidad de WinRAR por parte de Gamaredon demuestra que la ciberseguridad no es solo una cuestión de parchear sistemas, sino también de entender cómo los atacantes combinan vulnerabilidades conocidas con técnicas de ingeniería social para crear ataques dirigidos y persistentes. Las organizaciones en Ucrania y en todo el mundo deben prestar atención a estas tácticas y fortalecer sus defensas para proteger información crítica y evitar compromisos mayores.
