El grupo de hackers patrocinado por el estado ruso, conocido como APT28, ha desplegado una nueva y sofisticada puerta trasera llamada NotDoor, que aprovecha Microsoft Outlook para atacar a Múltiples empresas en países miembros de la OTAN.
¿Qué es NotDoor?
NotDoor es una macro maliciosa en Visual Basic para Aplicaciones (VBA) diseñada para Outlook. Su objetivo principal es monitorear los correos entrantes en busca de palabras clave específicas, como “Informe diario”. Al detectar estos mensajes, el malware puede:
Extraer datos sensibles
Cargar archivos maliciosos
Ejecutar comandos arbitrarios en el equipo infectado
El nombre “NotDoor” proviene del uso de la palabra “Nothing” en su código fuente, según el equipo de inteligencia de amenazas LAB52 de S2 Grupo, empresa española que descubrió esta amenaza.
Vector de ataque
Aunque el vector inicial de infección aún no está confirmado, el análisis revela que NotDoor se distribuye mediante una técnica de llamada carga lateral de DLL a través del ejecutable legítimo de Microsoft OneDrive (“onedrive.exe”). Esto permite ejecutar una DLL maliciosa llamada “SSPICLI.dll”, que instala la puerta trasera y desactiva las protecciones de seguridad de macros en Outlook.
Una vez activo, NotDoor utiliza eventos de Outlook para ejecutarse automáticamente al iniciar la aplicación o al recibir nuevos correos. Además, crea una carpeta temporal en %TEMP%\Temp para almacenar archivos TXT cifrados que luego exfiltra a través de correos enviados a una dirección de Proton Mail controlada por los atacantes.
Comandos que ejecutan:
El malware soporta cuatro comandos principales:
cmd: Ejecuta comandos y envía la salida como archivo adjunto por correo
cmdno: Ejecuta comandos sin enviar salida
dwn : Exfiltra archivos desde la computadora víctima enviándolos por correo
upl : Descarga y ejecuta archivos en la máquina infectada
Los archivos exfiltrados se cifran con un método personalizado antes de ser enviados y luego se eliminan del sistema para evitar su detección.
¿Qué pasa con el ataque?
Este ataque forma parte de una campaña más amplia que incluye el uso de técnicas avanzadas para evadir detección, como:
Uso de Microsoft Dev Tunnels para ocultar la infraestructura de comando y control (C2)
Rotación rápida de dominios y nodos C2 para evitar bloqueos y rastreos
Distribución de scripts maliciosos a través de dominios falsos de Cloudflare Workers
Propagación mediante unidades USB infectadas
El Centro de Inteligencia de Amenazas 360, con sede en Beijing, destaca que esta cadena de ataque emplea cuatro capas de ofuscación para mantener la operación encubierta desde la infección inicial hasta la exfiltración de datos.
¿Qué hacer para protegerse?
Mantén actualizado Microsoft Outlook y el sistema operativo
Deshabilitar la ejecución automática de macros en Outlook
Implementa soluciones de seguridad que detecten comportamientos anómalos en correos y aplicaciones.
Educa a los usuarios para identificar correos sospechosos y evitar abrir archivos o enlaces no verificados
Referencias:
- https://s2grupo.es/es/lab52/notdoor-backdoor-apt28/
- https://www.darkreading.com/endpoint-security/apt28-outlook-notdoor-backdoor
- https://thehackernews.com/2025/09/apt28-ruso-implementa-notdoor-outlook.html
- https://www.infosecurity-magazine.com/news/russia-apt28-notdoor-outlook/
- https://rewterz.com/advisory-de-amenazas/apt28-explota-microsoft-outlook-con-notdoor-backdoor-activo-iocs-recién-descubierto
- https://cert.gov.ua/es/alertas/apt28-actividad-no-al-aire-libre-2025
- https://attack.mitre.org/groups/G0007/
NOTA: La amenaza de NotDoor demuestra una vez más la sofisticación creciente de los ataques dirigidos y la importancia de mantener una defensa proactiva y actualizada.
¡Comparte esta alerta para ayudar a proteger a más empresas y usuarios!
Comentarios
Publicar un comentario