UTECH de la Costa S.A.S. UTECH-ADV-2026-007 · TLP:CLEAR

Campaña de phishing que suplanta a la UNGRD distribuye AsyncRAT con módulo HVNC contra organizaciones en Colombia

Publicado: 6 de octubre de 2026
Tipo: Aviso de seguridad, inteligencia de amenazas derivada de respuesta a incidentes
Autor: Equipo DFIR, UTECH de la Costa S.A.S. (Barranquilla, Colombia)
Sectores: Empresas privadas y entidades que reciben correspondencia de entidades del Estado
Contacto: gerencia@utech.com.co

Summary (English)

During an incident response engagement for a Colombian private-sector organization (July to August 2026), UTECH's DFIR team identified a phishing campaign impersonating the UNGRD (Colombia's National Disaster Risk Management Unit) that delivered AsyncRAT. The implant established persistence through a scheduled task named PhotoStudioJS, communicated with a dynamic-DNS command-and-control host on ports 7707 and 3009 under botnet identifier MED134, and was later used to deploy a hidden VNC (HVNC) module that hijacked an authenticated browser session of a finance user to attempt unauthorized transactions. Indicators of compromise and mitigations are published below. Victim identity has been withheld.

Resumen

Entre julio y agosto de 2026, el equipo de respuesta a incidentes de UTECH atendió un caso en una organización privada colombiana cuyo origen fue un correo de phishing que suplantaba a la Unidad Nacional para la Gestión del Riesgo de Desastres (UNGRD). El adjunto desplegó AsyncRAT, un troyano de acceso remoto de código abierto ampliamente reutilizado por actores criminales. Semanas después, el operador utilizó el módulo HVNC (VNC oculto) de la herramienta para tomar control de la sesión de navegador autenticada de una usuaria del área financiera, con el objetivo de ejecutar operaciones no autorizadas.

Publicamos este aviso porque la combinación de suplantación de una entidad estatal, persistencia silenciosa durante semanas y uso de HVNC para fraude bancario es un patrón que afecta a cualquier empresa colombiana que reciba correspondencia oficial, y porque los indicadores recuperados permiten detección inmediata.

Cadena de ataque observada

Acceso inicial. Correo de phishing con remitente y contenido que imitan comunicaciones de la UNGRD. El adjunto o enlace conduce a la ejecución del cargador de AsyncRAT en la estación de trabajo de la víctima.
Persistencia (21 de julio de 2026). Creación de una tarea programada de Windows con el nombre PhotoStudioJS, que relanza el implante en cada inicio de sesión. El nombre busca pasar por software legítimo de edición de imágenes.
Comando y control. Conexión saliente a un dominio de DNS dinámico (servicio dynuddns) por los puertos TCP 7707 y 3009. El implante se identifica ante el panel del operador con el identificador de botnet MED134.
Acciones sobre el objetivo (5 de agosto de 2026). Activación del módulo HVNC, que abre un escritorio oculto para el atacante dentro de la sesión del usuario. Desde allí el operador reutilizó la sesión de navegador ya autenticada de la víctima, evadiendo contraseñas y segundo factor, para intentar operaciones financieras.

El intervalo de quince días entre persistencia y acción sobre el objetivo es consistente con operadores que acumulan víctimas y seleccionan aquellas con acceso a banca empresarial.

Indicadores de compromiso

Los indicadores están desactivados (defanged) para evitar clics accidentales.

Tipo	Valor	Contexto
Dominio C2	finalmundial202620262026mesiii[.]dynuddns[.]com	Servidor de comando y control de AsyncRAT, DNS dinámico
Puerto	TCP 7707	Canal C2 de AsyncRAT
Puerto	TCP 3009	Canal C2 secundario
Identificador de botnet	MED134	Campo de identificación de la configuración del implante
Tarea programada	PhotoStudioJS	Mecanismo de persistencia en Windows
Señuelo	Correo que suplanta a la UNGRD	Vector de acceso inicial

Mapeo MITRE ATT&CK

Táctica	Técnica
Acceso inicial	T1566.001 Phishing: adjunto malicioso
Persistencia	T1053.005 Tarea programada
Comando y control	T1071.001 Protocolo de capa de aplicación; T1568.001 Resolución dinámica: DNS dinámico
Movimiento lateral / acceso	T1021.005 VNC (variante HVNC)
Evasión de defensas	T1036.004 Enmascaramiento: tarea o servicio con nombre engañoso
Impacto	Uso de sesión autenticada para fraude financiero

Detección

Buscar en los registros de DNS y proxy resoluciones o conexiones hacia el dominio indicado y, en general, hacia subdominios de dynuddns[.]com desde estaciones de usuario final.
Alertar sobre conexiones salientes a los puertos TCP 7707 y 3009 hacia Internet, que no corresponden a servicios corporativos habituales.
Enumerar tareas programadas en todas las estaciones Windows y revisar PhotoStudioJS o cualquier tarea cuyo ejecutable resida en carpetas de usuario (AppData, Temp) en lugar de Program Files.
Revisar en la bandeja de correo mensajes recibidos con remitentes que invocan a la UNGRD u otras entidades estatales, especialmente con adjuntos comprimidos o ejecutables.

Recomendaciones

Bloquear en firewall y filtro DNS el dominio C2 y evaluar el bloqueo general de proveedores de DNS dinámico en redes corporativas.
Para usuarios con acceso a banca empresarial, exigir un segundo factor que no sea reutilizable desde la misma sesión (token físico o aprobación fuera de banda) y cerrar sesión de los portales bancarios al terminar cada operación.
Restringir la ejecución de binarios desde carpetas de perfil de usuario mediante políticas de control de aplicaciones.
Verificar la correspondencia de entidades estatales por canal independiente antes de abrir adjuntos. La UNGRD y las demás entidades del Estado colombiano no envían ejecutables ni archivos comprimidos protegidos con contraseña.
Ante sospecha de compromiso, aislar el equipo sin apagarlo y preservar memoria y disco antes de cualquier limpieza, para no destruir evidencia útil en la investigación y en eventuales acciones legales.

Alcance y limitaciones

Los indicadores provienen del análisis forense de los equipos afectados en un único incidente. El dominio de comando y control es de DNS dinámico y puede haber rotado desde la fecha del incidente; el identificador de botnet y el nombre de la tarea programada son los indicadores de mayor duración. La identidad de la organización afectada se mantiene reservada por acuerdo de confidencialidad.