GIFTEDCROOK
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
GIFTEDCROOK es un software de robo de información (stealer) desplegado por actores alineados con Rusia, como la campaña SHADOW-EARTH-066, contra organizaciones ucranianas. Utiliza carga de DLL en memoria mediante llamadas NT directas para recolectar credenciales de navegadores, cookies de sesión y documentos antes de autodestruirse.
Cómo llega
Acceso inicial mediante archivos RAR armados que explotan CVE-2025-6218 y CVE-2025-8088. Contiene un PDF señuelo con temática de registro militar. Un archivo LNK ejecuta código PowerShell ofuscado que decodifica y despliega la carga útil.
Qué hace una vez dentro
Recolecta credenciales de navegadores, cookies de sesión y documentos. Emplea cifrado RC4 para proteger los datos robados. Utiliza carga de DLL en memoria a través de llamadas NT directas para evadir detección. Se autodestruye tras completar la exfiltración de información.
A quién ataca
Apunta específicamente a organizaciones ucranianas. Las fuentes registradas no detallan sectores industriales específicos más allá de la ubicación geográfica y el contexto de espionaje contra el estado ucraniano.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Acceso inicial | Phishing | T1566 |
| Acceso inicial | Spearphishing Attachment | T1566.001 |
| Ejecución | Command and Scripting Interpreter | T1059 |
| Ejecución | PowerShell | T1059.001 |
| Ejecución | User Execution | T1204 |
| Ejecución | Malicious File | T1204.002 |
| Persistencia | Registry Run Keys / Startup Folder | T1547.001 |
| Sigilo | Obfuscated Files or Information | T1027 |
| Sigilo | Masquerading | T1036 |
| Sigilo | Process Injection | T1055 |
| Sigilo | File Deletion | T1070.004 |
| Sigilo | Deobfuscate/Decode Files or Information | T1140 |
| Sigilo | Virtualization/Sandbox Evasion | T1497 |
| Sigilo | Time Based Checks | T1497.003 |
| Sigilo | NTFS File Attributes | T1564.004 |
| Debilitamiento de defensas | Modify Registry | T1112 |
| Acceso a credenciales | Steal Web Session Cookie | T1539 |
| Acceso a credenciales | Credentials from Web Browsers | T1555.003 |
| Descubrimiento | System Information Discovery | T1082 |
| Recolección | Data from Local System | T1005 |
| Recolección | Archive Collected Data | T1560 |
| Comando y control | Application Layer Protocol | T1071 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | Proxy | T1090 |
| Comando y control | Encrypted Channel | T1573 |
| Comando y control | Symmetric Cryptography | T1573.001 |
| Exfiltración | Exfiltration Over C2 Channel | T1041 |
| Impacto | Data Destruction | T1485 |
Fuente: AlienVault OTX: técnicas de 2 reportes dedicados al arma.
Grupos que la usan
Uso reportado por AlienVault OTX en un reporte dedicado al arma (nivel presunto). En rojo, los que tienen ficha en nuestro catálogo de villanos. Que un grupo use un arma no quiere decir que todo ataque con ella sea suyo.
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA | Fuente |
|---|---|---|---|---|
| CVE-2018-20250 | RARLAB WinRAR | 7.8 | Sí | AlienVault OTX (presunta) |
| CVE-2025-6218 | RARLAB WinRAR | 7.8 | Sí | AlienVault OTX (presunta) |
| CVE-2025-8088 | RARLAB WinRAR | 8.8 | Sí | AlienVault OTX (presunta) |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
Fuentes
← Todo el catálogo de armamento
