UTECH identified a malicious email campaign impersonating Colombia's Fiscalía General de la Nación, using fake judicial notices ("Inicio de investigación preliminar") to deliver a .url Internet shortcut disguised as a PDF or Word document. The shortcut retrieved a second-stage payload (PDFViewer.exe) with anti-analysis routines, and the trojan resolved its command-and-control server through a dynamic-DNS domain (masterclaserok.ddns-ip.net) over TCP port 22021. The highest-fidelity indicator is the DDNS domain. Indicators of compromise, the observed kill chain, MITRE ATT&CK mapping and mitigations are published below.
Circuló una campaña de correos maliciosos que suplantan la identidad de la Fiscalía General de la Nación de Colombia. El email, con asuntos como "Inicio de investigación preliminar", busca engañar al destinatario para que descargue un archivo que secuestra su equipo. El archivo adjunto no es un documento PDF o Word, aunque su nombre lo intente simular: en realidad es un atajo de Internet (.url) diseñado para ejecutar código malicioso de forma inmediata.
Tras la campaña, el equipo de UTECH ejecutó una operación de threat hunting para deconstruir la cadena de ataque del adversario y mapear sus TTPs. Este aviso consolida la alerta inicial y el análisis posterior, publicados el mismo día.
El adversario usó una infraestructura distribuida y técnicas de evasión avanzadas.
.url que descargaba el payload de segunda etapa (PDFViewer.exe).El indicador de mayor fidelidad es el dominio DDNS que orquesta la operación, una táctica deliberada para mantener la resiliencia de su infraestructura.
Se publican tal como fueron observados en el análisis.
| Tipo | Valor | Contexto |
|---|---|---|
| Dominio DDNS (IOC primario) | masterclaserok.ddns-ip.net | Dominio de DNS dinámico que resuelve el servidor C2 |
| IP | 179.15.6.179 | C2 inicial |
| IP | 180.178.189.51 | Staging; IP maliciosa asociada al adjunto .url |
| IP | 51.81.84.242 | C2 final |
| Puerto | TCP 22021 | Puerto de C2 |
| Hash SHA-256 del atajo (.url) | fe0e633408a28795079a0b1e427b3d1b6a7b7389801833446b7a58a69a0ad414 | Adjunto malicioso |
| Ruta UNC | \\180.178.189.51@80\file\* | Ruta a bloquear |
| Segunda etapa | PDFViewer.exe | Payload descargado por el atajo .url |
| Señuelo | Correo que suplanta a la Fiscalía, asuntos tipo "Inicio de investigación preliminar" | Vector de acceso inicial |
| Táctica | Técnica |
|---|---|
| Acceso inicial | T1566.001 Phishing: adjunto de spearphishing |
| Ejecución | T1204.002 Ejecución por el usuario: archivo malicioso |
| Evasión de defensas | T1027 Archivos o información ofuscados |
| Comando y control | T1071.001 Protocolo de capa de aplicación: protocolos web |
wmiprvse.exe ejecute powershell.exe con comandos codificados (-EncodedCommand).Microsoft-Windows-SMBClient/Connectivity) en busca de conexiones salientes hacia la IP 180.178.189.51.Para usuarios generales
Para equipos de TI y ciberseguridad
masterclaserok.ddns-ip.net. Es la contramedida más efectiva.Los adversarios modernos priorizan la evasión con infraestructuras dinámicas. La detección efectiva exige correlacionar datos de múltiples fuentes (ingeniería inversa, red, OSINT) para identificar TTPs, en lugar de depender solo de indicadores estáticos.
Que un correo exhiba la identidad de una entidad no significa que esa entidad haya sido vulnerada; lo confirmado es la suplantación de una identidad institucional para distribuir malware. El dominio de C2 es de DNS dinámico y las IPs pueden haber rotado desde la fecha del análisis.