Versiones falsas de Google y archivos PDF atacan gobiernos y empresas en Latinoamérica

Una nueva ofensiva digital está poniendo en alerta a gobiernos y compañías de Latinoamérica. El malware SharkLoader es la herramienta con la que ciberdelincuentes están atacando mediante diferentes métodos, incluyendo archivos PDF, disfrazándose de programas de Google y aprovechando vulnerabilidades de servidores de Microsoft.

Esta operación, encontrada por Kaspersky, ha logrado infiltrar de manera sigilosa a entidades gubernamentales, empresas de desarrollo de software y organismos diplomáticos de la región, demostrando un alto nivel de avance que desafía los mecanismos de defensa tradicionales.

Cómo es el ataque que afecta a gobiernos y empresas en Latinoamérica

El núcleo de la campaña StrikeShark es un malware hasta ahora no documentado públicamente, bautizado como SharkLoader. Este software malicioso ha sido diseñado para evadir sistemas de detección y mantener el acceso persistente en los equipos comprometidos.

Entre sus técnicas destaca el uso del método DLL side-loading, que permite aprovechar aplicaciones legítimas de Windows para cargar módulos maliciosos cifrados sin despertar sospechas en los sistemas de seguridad.

La infección inicial puede presentarse de diversas formas. Los atacantes explotan vulnerabilidades presentes en aplicaciones expuestas a Internet, como los servidores Microsoft Exchange, Microsoft SharePoint y Openfire. Cuando estas brechas están presentes, los cibercriminales logran ingresar en los sistemas sin ser detectados.

En otros casos, se han distribuido programas maliciosos (droppers) disfrazados de instaladores de software legítimo, como Google Update o Cisco AnyConnect, engañando a los usuarios para que instalen el malware por error.

Algunas muestras de la campaña incluso recurren a documentos PDF como señuelo. Estos archivos buscan inducir a las víctimas a ejecutar el malware bajo la apariencia de archivos inofensivos, un enfoque que aprovecha la confianza en documentos aparentemente rutinarios.

Cuando SharkLoader logra entrar, sus módulos cifrados se descifran y ejecutan componentes adicionales diseñados para eludir aún más los sistemas de defensa. Mediante la instalación de API hooks, el malware modifica el funcionamiento de determinadas funciones del sistema operativo, lo que le permite evitar los mecanismos de detección habituales.

La fase final del ataque despliega Cobalt Strike Beacon, una herramienta legítima de pruebas de penetración ampliamente utilizada por los ciberdelincuentes. Esta permite a los atacantes establecer comunicación con los sistemas comprometidos, desplazarse lateralmente dentro de las redes, realizar tareas de reconocimiento y extraer información confidencial.

Qué organizaciones y países han sido afectados por este ataque

La campaña StrikeShark no se limita a un solo país o sector. Según los investigadores, las víctimas identificadas incluyen organismos gubernamentales, entidades diplomáticas y compañías de software en Colombia, Hong Kong, Líbano, Siria, Macedonia del Norte, Nepal, Serbia, Indonesia y Taiwán.

En Latinoamérica, Colombia figura entre los países afectados, lo que representa una seria amenaza para la seguridad digital regional. Las entidades comprometidas varían desde agencias estatales hasta firmas tecnológicas, demostrando que los atacantes seleccionan objetivos con potencial de impacto estratégico o acceso a información valiosa.

El modo de operación de StrikeShark permite a los atacantes adaptarse al entorno de cada objetivo. Por ejemplo, en algunos casos aprovechan sistemas desactualizados o sin parches de seguridad aplicados, mientras que en otros emplean técnicas de ingeniería social para persuadir a empleados y usuarios a ejecutar archivos maliciosos.

Cómo protegerse ante este tipo de ataques

La campaña StrikeShark muestra una evolución en el panorama de amenazas, donde los atacantes combinan herramientas de acceso común con técnicas avanzadas para evadir la detección.

El uso de señuelos que aparentan ser software legítimo y la explotación de vulnerabilidades conocidas exponen las debilidades de los sistemas que no cuentan con una gestión rigurosa de actualizaciones y parches de seguridad. Por lo que las recomendaciones de quienes econtraron esta nueva modalidad de ataque son:

• Mantener actualizados todos los sistemas y aplicaciones para corregir vulnerabilidades que puedan ser explotadas.
• Implementar soluciones de seguridad capaces de detectar y bloquear programas maliciosos antes de que comprometan los dispositivos.
• Capacitar continuamente a los empleados para crear una cultura de ciberseguridad que minimice el riesgo de ataques basados en ingeniería social.
• Proteger los dispositivos corporativos con plataformas integrales, capaces de detectar amenazas desde las etapas iniciales del ataque.
• Anticiparse a las amenazas más complejas mediante el uso de servicios de inteligencia de amenazas, que permitan detectar campañas emergentes y tomar decisiones informadas.