GRIMWEDGE
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
GRIMWEDGE es un backdoor escrito en JScript desplegado por el actor UTA0560 mediante campañas de spear-phishing. Su función principal es realizar reconocimiento y ejecución de comandos en sistemas Windows comprometidos.
Cómo llega
Se entrega mediante campañas de spear-phishing que emplean señuelos financieros. La explotación inicial aprovecha una cadena de vulnerabilidades de día cero en Chrome y el kernel de Windows. Específicamente, usa CVE-2026-85046, CVE-2026-87491 y CVE-2026-85880 durante una ventana de parcheo no liberado.
Qué hace una vez dentro
Permite al atacante realizar actividades de reconocimiento dentro del sistema comprometido. Facilita la ejecución de comandos remotos en la máquina víctima. Su función principal es realizar reconocimiento y ejecución de comandos en sistemas Windows comprometidos.
A quién ataca
Apunta a ONG y otras organizaciones. Las campañas utilizan señuelos financieros para comprometer a los usuarios objetivo. No se especifican regiones geográficas adicionales en la evidencia.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
