IceCube
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
IceCube es un stealer desplegado por el actor UNK_MassTraction para robar material de autenticación. Se ejecuta tras una vulnerabilidad XSS inicial y antes de pivotar hacia exploits de deserialización. Su objetivo es recolectar credenciales en servidores de universidades de EE. UU. y Canadá.
Cómo llega
Entra mediante una vulnerabilidad XSS inicial que permite ejecutar JavaScript. Luego se despliega para recolectar credenciales antes de pivotar. La cadena de infección aprovecha vulnerabilidades n-day como CVE-2024-42009 y CVE-2025-49113 en servidores Roundcube.
Qué hace una vez dentro
Recopila material de autenticación y credenciales en los servidores comprometidos. Se ejecuta en memoria tras la explotación inicial, sirviendo como paso previo para pivotar hacia exploits de deserialización. Facilita la entrada a las redes objetivo usando los servidores como punto de pivote.
A quién ataca
Apunta a servidores Roundcube en departamentos de física e ingeniería de universidades en Estados Unidos y Canadá. El enfoque se centra en áreas con vínculos de seguridad nacional o que estudian astrofísica y física de partículas.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
