CLEANGULP
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
CLEANGULP es una familia de malware previamente no documentada que posee capacidades de backdoor. Permite la ejecución de comandos, operaciones de archivos y ejecución de archivos de objetos de baliza. Se reporta desde el 23 de septiembre de 2026. La evidencia indica que múltiples grupos APT chinos demostraron acceso coordinado a este kit de explotación.
Cómo llega
Entra mediante cadenas de explotación que aprovechan vulnerabilidades de día cero en Chrome y Windows. Específicamente, explota CVE-2026-85046, CVE-2026-87491 y CVE-2026-85880. Las víctimas son dirigidas a sitios web falsos que alojan esta cadena de explotación tras recibir correos de phishing.
Qué hace una vez dentro
Funciona como backdoor permitiendo la ejecución de comandos remotos y la manipulación de archivos en el sistema comprometido. Además, ejecuta archivos de objetos de baliza. Se comunica con la infraestructura de comando y control a través de tráfico HTTP cifrado que utiliza codificación personalizada para evadir la detección.
A quién ataca
Apunta a entidades gubernamentales asiáticas mediante campañas de phishing sofisticadas. El actor registró dominios falsos que suplantan a organizaciones legítimas, incluyendo China Digital Times y el Center for American Progress, para dirigir a las víctimas hacia sitios web falsos que alojan la cadena de explotación.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Acceso inicial | Drive-by Compromise | T1189 |
| Acceso inicial | Spearphishing Link | T1566.002 |
| Ejecución | Scheduled Task | T1053.005 |
| Ejecución | Windows Command Shell | T1059.003 |
| Ejecución | Exploitation for Client Execution | T1203 |
| Ejecución | Malicious Link | T1204.001 |
| Persistencia | Registry Run Keys / Startup Folder | T1547.001 |
| Escalada de privilegios | Exploitation for Privilege Escalation | T1068 |
| Sigilo | Software Packing | T1027.002 |
| Sigilo | Match Legitimate Resource Name or Location | T1036.005 |
| Sigilo | Deobfuscate/Decode Files or Information | T1140 |
| Descubrimiento | System Owner/User Discovery | T1033 |
| Descubrimiento | Process Discovery | T1057 |
| Descubrimiento | System Information Discovery | T1082 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Comando y control | Standard Encoding | T1132.001 |
| Comando y control | Non-Standard Port | T1571 |
| Comando y control | Symmetric Cryptography | T1573.001 |
| Exfiltración | Exfiltration Over C2 Channel | T1041 |
Fuente: AlienVault OTX: técnicas de 1 reporte dedicado al arma.
Grupos que la usan
Uso reportado por AlienVault OTX en un reporte dedicado al arma (nivel presunto). En rojo, los que tienen ficha en nuestro catálogo de villanos. Que un grupo use un arma no quiere decir que todo ataque con ella sea suyo.
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA | Fuente |
|---|---|---|---|---|
| CVE-2026-85046 | Google Chromium V8 | 8.8 | Sí | AlienVault OTX (presunta) |
| CVE-2026-85880 | Microsoft Windows | 7.8 | Sí | AlienVault OTX (presunta) |
| CVE-2026-87491 | Google Chromium V8 | 8.8 | Sí | AlienVault OTX (presunta) |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
