ColCERT documenta phishing administrativo que encadena JavaScript y PowerShell para capturar credenciales
ColCERT documenta phishing administrativo que encadena JavaScript y PowerShell para capturar credenciales
La alerta colombiana del 2 de octubre analiza un señuelo de acreditación de cumplimiento con inyección de procesos y registro de pulsaciones. La asociación con XWorm se presenta con el alcance descrito por el CERT.
Una alerta regional con análisis técnico
ColCERT publicó el 2 de octubre la alerta AL–20261002–122 sobre archivos comprimidos que incluyen un JavaScript presentado como un requerimiento de acreditación de cumplimiento. Al abrirse, el script utiliza Windows Script Host y PowerShell para desplegar código en memoria.
El análisis describe inyección en choice.exe y registro de pulsaciones mediante jsc.exe. Un dominio de mando y control presenta, según ColCERT, una asociación de alta confianza con XWorm; esto no identifica por sí solo al operador de la campaña.
Defensas para áreas administrativas
El señuelo apunta a quienes tramitan solicitudes administrativas, jurídicas o financieras. La alerta es del 2 de octubre y recoge actividad previa: no se presenta como un incidente ocurrido hoy ni como una afectación confirmada en Ecuador.
Se recomienda validar requerimientos por canales oficiales, restringir scripts donde no sean necesarios y centralizar los registros de PowerShell. Ante ejecución sospechosa, aislar el equipo y gestionar las credenciales potencialmente capturadas desde un dispositivo confiable.
Fuentes y referencias
Esta publicación es una síntesis original. Consulte las fuentes primarias para información técnica completa y actualizaciones.
- 1
- 2
¿Esta amenaza puede afectar a su empresa?
ENERIT puede ayudarle a evaluar exposición, priorizar remediaciones y fortalecer su operación de ciberseguridad.
Hablar con un especialista