SquareShell
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
SquareShell es un webshell desplegado en memoria por el clúster alineado con China, UNK_MassTraction. Se reporta desde mayo de 2026. La evidencia lo asocia con la explotación de servidores de correo Roundcube para robar credenciales y pivotar lateralmente en redes académicas.
Cómo llega
Entra explotando vulnerabilidades n-day, específicamente CVE-2024-42009 y CVE-2025-49113. El vector inicial es una vulnerabilidad de cross-site scripting para ejecutar JavaScript. Luego se despliega el IceCube stealer para recolectar material de autenticación antes de la instalación final.
Qué hace una vez dentro
Se instala en la memoria del servidor para robar credenciales. Facilita la pivoteo lateral hacia otros sistemas. La evidencia indica que el actor lo despliega como alternativa al backdoor VShell.
A quién ataca
Apunta a servidores de correo Roundcube ubicados en departamentos de física e ingeniería. Las víctimas son universidades en Estados Unidos y Canadá. No se mencionan otros sectores o regiones específicas en la evidencia proporcionada.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
