Alerta de ciberespionaje: OctLurk y SilkLurk atacan instituciones públicas en Asia Central y Siria mediante cargas útiles en memoria

Un nuevo frente en la ciberespionaje dirigidos a instituciones públicas en Asia Central y Siria ha quedado al descubierto y merece atención inmediata: investigadores de Kaspersky han descrito una campaña desde enero de 2025 que emplea dos familias de backdoors inéditas, bautizadas como OctLurk y SilkLurk, junto a un proxy malicioso denominado LurkProxy. Aunque los autores se comunican en chino y ciertas piezas encajan con tácticas observadas en operaciones previas asociadas a actores de habla china, Kaspersky no asocia de forma concluyente estas intrusiones con un grupo conocido; lo importante para defensores y responsables de TI es el conjunto de capacidades técnicas y el impacto potencial sobre ministerios, fuerzas del orden, salud, educación y otros servicios públicos.

La sofisticación de la campaña radica en su diseño para operar mayoritariamente en memoria, dejando apenas un cargador mínimo en disco y recurriendo a codificaciones dependientes del equipo (por ejemplo, número de serie del disco o nombre del equipo) para ocultar rutas y cargas útiles; esa estrategia dificulta la ingeniería inversa y la detección automatizada por firmas tradicionales. OctLurk se inyecta en memoria desde un loader, junta información del sistema cifrada y contacta a servidores C2 como "dns.multitoconference[.]com", mientras que SilkLurk llega mediante una secuencia de DLL side‑loading y también recibe e inyecta plugins en memoria que permiten ejecución de comandos, exfiltración, y uso de herramientas legítimas para empaquetar datos robados. LurkProxy, por su parte, actúa como proxy reverso en modos SOCKS5 o transparente para encubrir tráfico saliente hacia direcciones remotas (por ejemplo, la IP reportada 154.196.162[.]76) y así facilitar movimientos laterales y exfiltración.

El repertorio técnico desplegado tras la intrusión es amplio y revela objetivos de espionaje y persistencia: huella del host, volcado de hashes de controladores de dominio con herramientas como Impacket (ya mencionada en los hallazgos), despliegue de keyloggers disfrazados (simulando AnyDesk), robo de credenciales desde navegadores, uso de un agente de control remoto llamado Pandora RC, escaneo de redes internas con Fscan y explotación de credenciales para SSH o MySQL, así como el uso de PlugX mediante cadenas de DLL side‑loading para introducir otro backdoor conocido en el entorno. Estas prácticas encajan con campañas orientadas a recogida de inteligencia y acceso sostenido más que con operaciones destructivas inmediatas.

Para los responsables de ciberdefensa en organizaciones públicas y proveedores de servicios en la región, las implicaciones son claras: la amenaza prioriza evasión y persistencia, y aprovecha infraestructuras compartidas con campañas anteriores (p. ej. SilentRaid/MystRodX/TrustFall), lo que sugiere infraestructuras de comando y control reutilizadas y un potencial operador con experiencia en campañas multinivel. Además, el desconocimiento del vector de acceso inicial impone la necesidad de revisar toda la cadena de protección, desde la higiene básica de cuentas hasta la telemetría de red y memoria.

Las acciones recomendadas combinan medidas inmediatas y adopción de controles estratégicos. A corto plazo conviene bloquear y monitorizar indicadores observados (dominios como dns.ssentialserv[.]xyz y dns.multitoconference[.]com, y la IP 154.196.162[.]76), auditar registros de DNS y egress, y poner en cuarentena sistemas con actividad sospechosa. Es imprescindible reforzar la protección de controladores de dominio, aplicar segmentación de red para limitar el movimiento lateral, habilitar autenticación multifactor para accesos administrativos, rotar credenciales y emplear mecanismos como LAPS para credenciales locales. En endpoints, las tecnologías EDR con visibilidad de memoria y detección de inyección de procesos son críticas porque estos backdoors operan in‑memory y evaden las firmas tradicionales.

Medidas operativas adicionales incluyen restringir el uso de herramientas de administración remota no justificadas, deshabilitar o restringir el uso de cuentas con privilegios en recursos compartidos, registrar y conservar eventos de seguridad (auth, PowerShell, Sysmon, DNS) para investigar post‑compromiso, y revisar transferencias de archivos y uso de utilidades legítimas (WinRAR, 7‑Zip) que se utilizan para empaquetar exfiltración. Preparar playbooks de respuesta, ensayar contención y recuperación, y compartir hallazgos con entidades nacionales y socios internacionales aumentará la resiliencia regional ante campañas transnacionales.

También corresponde una recomendación a los proveedores de ciberseguridad y equipos de detección: generar reglas de detección centradas en patrones de comportamiento (por ejemplo, cadenas de DLL side‑loading, creación de sockets TCP inusuales por procesos legítimos, uso de proxies reversos y actividades de dumping de credenciales), y desarrollar firmas de memoria/YARA adaptadas al empaquetado y a la codificación dependiente del host que usan OctLurk y SilkLurk. Para comprender técnicas y mapeos de comportamiento concretos pueden consultarse recursos de referencia como MITRE ATT&CK en su sección sobre DLL side‑loading https://attack.mitre.org/techniques/T1574/001/ y seguir los análisis técnicos que publiquen centros de investigación como Kaspersky en su portal https://securelist.com/.

Finalmente, y quizá lo más importante, enfrentar este tipo de campañas exige asumir que la detección perimetral sola no basta: la defensa efectiva combina control del perímetro, visibilidad continua en endpoints y redes, control riguroso de privilegios y una capacidad de respuesta coordinada. Las organizaciones afectadas o en riesgo deben ponerse en contacto con sus CERT nacionales o socios de respuesta y considerar el intercambio de indicadores y tácticas para contener y mitigar estas operaciones antes de que se consolide un acceso persistente y se produzca exfiltración masiva de información sensible.