Puerta trasera de MarsSnake: una herramienta cibernética sigilosa para el espionaje global

Surge otra amenaza digital

En lo que respecta al ciberespionaje global, una puerta trasera recientemente identificada, conocida como MarsSnake , está atrayendo la atención de los analistas de seguridad. MarsSnake ha sido vinculada a un grupo de amenazas escurridizo llamado UnsolicitedBooker , que se cree que opera con vínculos con China. Esta puerta trasera surgió durante una serie de ciberataques dirigidos contra una organización internacional con sede en Arabia Saudita.

UnsolicitedBooker, aunque relativamente discreto, ha utilizado campañas de phishing altamente dirigidas para obtener acceso inicial. Estos correos electrónicos están diseñados para parecer legítimos, a menudo con reservas de vuelos como cebo, y se han enviado a organizaciones de toda Asia, África y Oriente Medio. La naturaleza continua de estos ataques, con incidentes documentados en 2023, 2024 y de nuevo a principios de 2025, sugiere un interés persistente en objetivos geopolíticos específicos.

La anatomía del ataque

El método de infiltración empleado en la campaña MarsSnake refleja una operación bien planificada. Los atacantes enviaron correos electrónicos camuflados como comunicaciones de Saudia Airlines, con un archivo adjunto de Microsoft Word que contenía lo que parecía ser un itinerario de vuelo. Aunque aparentemente inofensivo, el documento se activó con una macro que, una vez activada, desplegaba un archivo ejecutable llamado smssdrvhost.exe en el ordenador de la víctima.

Este archivo funciona como un cargador, instalando finalmente la puerta trasera MarsSnake. Una vez activo, MarsSnake establece contacto con un servidor de comando y control (C&C) externo, lo que permite a los atacantes interactuar con el sistema comprometido. El nivel de acceso que proporciona MarsSnake incluye la ejecución de comandos, la manipulación de archivos y la posible instalación de malware adicional, todo ello controlado remotamente a través de la infraestructura del atacante.

¿Qué es MarsSnake y por qué es importante?

MarsSnake destaca no solo como una puerta trasera, sino también como una herramienta altamente capaz y flexible para el ciberespionaje. Su capacidad para realizar una amplia gama de operaciones lo convierte en un recurso valioso para cualquier grupo de amenazas persistentes avanzadas (APT). MarsSnake es actualmente exclusivo de UnsolicitedBooker, lo que indica un alto grado de especialización en su desarrollo e implementación.

Esta exclusividad también plantea interrogantes sobre los objetivos estratégicos de su uso. Los expertos en ciberseguridad creen que MarsSnake no es una herramienta para ataques masivos, sino una herramienta diseñada para ataques de precisión dirigidos a infiltrarse en instituciones específicas de alto valor. Los repetidos ataques contra una sola organización en Arabia Saudita sugieren que el objetivo es la recopilación de inteligencia a largo plazo, más que la obtención de beneficios económicos o la interrupción inmediata de la actividad.

Conexiones con otros actores de amenazas

Aunque UnsolicitedBooker es un nombre relativamente nuevo en el ecosistema de APT, sus tácticas y herramientas son similares a las de otros grupos vinculados a China. El uso de puertas traseras conocidas como Chinoxy, DeedRAT , Poison Ivy y BeRAT coincide con los comportamientos observados en operaciones atribuidas a grupos de amenazas como Space Pirates y APT15 .

Además, se han observado campañas similares de grupos como DigitalRecyclers , otra entidad que opera bajo el paraguas de APT15. DigitalRecyclers ha atacado a organismos gubernamentales europeos utilizando su propio paquete de malware, incluyendo una puerta trasera llamada HydroRShell . Al igual que MarsSnake, HydroRShell está diseñado para la ejecución remota de comandos y utiliza métodos sofisticados para comunicarse con su servidor de control, incluyendo los búferes de protocolo de Google (Protobuf).

El panorama más amplio: ¿Cuáles son las implicaciones?

El descubrimiento de MarsSnake y sus campañas relacionadas pone de relieve un entorno de ciberamenazas en constante evolución, donde las puertas traseras son cada vez más avanzadas y se adaptan a sus objetivos. Para las organizaciones internacionales, especialmente las gubernamentales, diplomáticas o de infraestructura crítica, la existencia de herramientas como MarsSnake subraya la importancia de contar con prácticas sólidas de ciberseguridad.

Estos ataques también reflejan tensiones geopolíticas más amplias que se desarrollan en el ámbito digital. A medida que las naciones compiten por ventajas estratégicas, el ciberespionaje se ha convertido en una táctica predilecta. Herramientas como MarsSnake forman parte de una tendencia más amplia en la que grupos alineados con los Estados realizan operaciones de vigilancia prolongadas para recopilar información confidencial.

Avanzando

Aunque MarsSnake no afecte al usuario promedio, su presencia indica una creciente necesidad de cooperación internacional en ciberseguridad. Las organizaciones deben estar alertas ante las campañas de phishing selectivo e invertir en herramientas de detección de amenazas capaces de identificar intrusiones sutiles a largo plazo.

Para investigadores y defensores, el seguimiento de familias de malware como MarsSnake proporciona información valiosa sobre las capacidades e intenciones de los actores de amenazas. El análisis continuo y el intercambio de información sobre amenazas son esenciales para anticiparse a estas sofisticadas campañas.

MarsSnake puede ser solo una pieza de un rompecabezas cibernético más grande, pero su aparición es un claro recordatorio de que la batalla por el dominio digital está muy viva y en constante evolución.