Los Hackers Utilizan Estafas Telefónicas y Nuevas Vulnerabilidades, Han Violado la Seguridad de 618 Empresas

Los hackers de EncryptHub combinan tácticas de ingeniería social con exploits sofisticados, violando la seguridad de más de 600 organizaciones en todo el mundo.

Investigadores de Trustwave SpiderLabs han descubierto una nueva campaña de hacking llevada a cabo por el grupo EncryptHub, que combina estafas telefónicas con trucos técnicos avanzados para infiltrarse en los ordenadores de las víctimas.

Los hackers comienzan haciéndose pasar por personal de soporte técnico, realizando llamadas telefónicas directas para ganarse la confianza de sus objetivos. Luego persuaden a las víctimas para que les concedan acceso a sus computadoras a través de Microsoft Teams, o conexiones de escritorio remoto. Una vez conectados, los atacantes ejecutan comandos que descargan secretamente malware.

EncryptHub, también conocido como LARVA-208 y Water Gamayun, ya ha comprometido a 618 organizaciones a nivel mundial. “La ingeniería social sigue siendo una de las herramientas más efectivas en el arsenal de un ciberdelincuente, y el emergente grupo de amenazas EncryptHub ha saltado directamente al carro para aprovecharlo”, dijeron los investigadores.

Una de las principales fallas utilizadas en esta campaña es una vulnerabilidad de Windows llamada CVE-2025-26633, también conocida como ‘MSC EvilTwin’. Permite a los hackers engañar a Windows para que cargue archivos de sistema falsos que ejecutan código malicioso. Los atacantes utilizan este resquicio para tomar el control de las máquinas infectadas.

Los hackers también están desplegando nuevas herramientas. Una, llamada ‘SilentCrystal’, oculta su malware en carpetas de sistema falsas y descarga cargas útiles desde Brave Support, una plataforma legítima de ayuda al navegador. Otra es una puerta trasera de proxy SOCKS5 que conecta secretamente las computadoras comprometidas a los centros de comando de EncryptHub.

Además, el grupo ha establecido un servicio falso de videollamadas, rivatalk.net, para difundir instaladores maliciosos disfrazados de software de conferencias. Una vez instalado, ejecuta scripts ocultos de PowerShell para robar datos, mantener acceso y disfrazar el tráfico de los hackers como actividad de navegación normal.

Trustwave SpiderLabs advierte que EncryptHub se está volviendo más peligroso al combinar estafas, confianza robada y nuevo malware. Concluyen que el grupo es “un adversario bien dotado y adaptable”, haciendo que la concienciación del usuario, las actualizaciones y una respuesta rápida sean más críticas que nunca.