SilentXMRMiner
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
SilentXMRMiner es un minero de Monero que un actor de amenazas compiló directamente en el endpoint comprometido. Utiliza la herramienta Silent XMR Miner Builder.exe junto con compiladores C y utilidades .NET para generar el binario malicioso, evitando la descarga de archivos precompilados.
Cómo llega
El acceso inicial se logra explotando la vulnerabilidad CVE-2025-4632 en Samsung MagicINFO. Tras tres intentos, despliega una instancia no autorizada de AnyDesk usando certutil y PowerShell. La base de datos lista los identificadores CVE-2024-7399 y CVE-2025-47812 como metadatos asociados, aunque el pulso detalla específicamente el uso de la vulnerabilidad de Samsung para el acceso.
Qué hace una vez dentro
El actor crea una cuenta local de administrador llamada oldadministrator y deshabilita las protecciones de Microsoft Defender. Ejecuta múltiples utilidades del Framework .NET y compiladores C, incluyendo donut.exe, tcc.exe y herramientas MinGW64, para generar el binario. El minero resultante se conecta al servicio C3Pool y se ejecuta bajo explorer.exe con argumentos de línea de comando sospechosos.
A quién ataca
Apunta a endpoints de víctimas que ejecutan Samsung MagicINFO, aprovechando la vulnerabilidad CVE-2025-4632 para obtener acceso inicial. La evidencia no especifica sectores industriales, regiones geográficas o plataformas operativas adicionales más allá de los sistemas afectados por la vulnerabilidad explotada en el software mencionado.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Acceso inicial | Exploit Public-Facing Application | T1190 |
| Ejecución | PowerShell | T1059.001 |
| Ejecución | Windows Command Shell | T1059.003 |
| Ejecución | Exploitation for Client Execution | T1203 |
| Persistencia | Local Account | T1136.001 |
| Persistencia | Windows Service | T1543.003 |
| Sigilo | Obfuscated Files or Information | T1027 |
| Sigilo | Compile After Delivery | T1027.004 |
| Sigilo | Masquerading | T1036 |
| Sigilo | Match Legitimate Resource Name or Location | T1036.005 |
| Sigilo | Process Injection | T1055 |
| Sigilo | System Binary Proxy Execution | T1218 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Comando y control | Remote Access Tools | T1219 |
| Impacto | Resource Hijacking | T1496 |
Fuente: AlienVault OTX: técnicas de 1 reporte dedicado al arma.
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA | Fuente |
|---|---|---|---|---|
| CVE-2024-7399 | Samsung MagicINFO 9 Server | 8.8 | Sí | AlienVault OTX (presunta) |
| CVE-2025-4632 | Samsung MagicINFO 9 Server | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2025-47812 | Wing FTP Server Wing FTP Server | 10 | Sí | AlienVault OTX (presunta) |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
