Contexto: detecciones en LATAM
Durante el mes de marzo de 2025, nuestro equipo de Threat Intelligence monitoreó una campaña activa de Cobalt Strike dirigida específicamente a organizaciones financieras y del sector energético en Venezuela y Colombia.
La campaña se distingue por el uso de watermarks de licencias robadas y técnicas de bypassing de EDR basadas en syscalls directas (direct syscalls), una tendencia creciente entre grupos de amenaza con capacidades medias-altas.
Los dominios identificados siguen activos al momento de publicación. Se recomienda bloquear los IOCs de forma inmediata.
Análisis de infraestructura C2
La infraestructura identificada utiliza un patrón de fast-flux DNS con rotación de IPs cada 6-8 horas. Los servidores C2 se alojan mayoritariamente en AS conocidos por tolerar abuse reports (AS-CHOOPA, AS-FRANTECH).
# Configuración extraída del beacon
{
"BeaconType": "HTTPS",
"Port": 443,
"SleepTime": 45000,
"Jitter": 37,
"C2Server": "cobalt-cdn.xyz,/updates/check",
"HttpPostUri": "/submit.php",
"Watermark": "0x1234ABCD"
}
Patrones de staging
El dropper inicial llega como PDF adjunto en correos de phishing dirigido (spearphishing).
Al abrirse, ejecuta una macro Excel 4.0 incrustada que descarga el stager desde el dominio
de staging update-ms[.]com.
TTPs observadas (MITRE ATT&CK)
Las técnicas identificadas siguen la cadena de ataque clásica de Cobalt Strike, con modificaciones orientadas a evadir soluciones EDR modernas:
- T1566.001 — Adjunto de phishing con PDF malicioso como vector de entrada inicial
- T1059.003 — Ejecución de comandos vía
cmd.exepara persistencia - T1071.001 — Comunicación C2 sobre HTTPS para mezclar con tráfico legítimo
- T1027 — Payload ofuscado con técnica de sleep masking
- T1055 — Inyección de proceso en
svchost.exepara persistencia
La técnica de sleep masking utilizada encripta el beacon en memoria durante los períodos de inactividad, dificultando la detección por herramientas de escaneo de memoria como PE-sieve.
Mitigaciones recomendadas
- Bloquear los IOCs listados en perimeter firewall y proxy
- Habilitar reglas de detección de Cobalt Strike en Sigma/Suricata (disponibles en nuestro GitHub)
- Revisar Event ID 4688 (creación de procesos) para detectar
cmd.exelanzado por Acrobat/Office - Implementar reglas YARA para detección de sleep masking en memoria
- Actualizar las firmas de tu EDR: los watermarks listados son indicativos de campañas activas
Puedes identificar servidores Cobalt Strike expuestos en tu ASN usando Shodan con la query:
ssl.jarm:07d14d16d21d21d07c42d41d00041d24a458a375eef0c576d23a7bab9a9fb1