Kinsing
Qué es
Es un malware basado en Golang que ejecuta un minero de criptomonedas. Los atacantes lo utilizan para extraer recursos computacionales de forma oculta y propagarse a otros equipos dentro del entorno de la víctima.
Cómo llega
Llega al equipo mediante la explotación de vulnerabilidades conocidas, como las de Apache ActiveMQ, Metabase y React2Shell. También ingresa a través de configuraciones inseguras en los sistemas.
Qué hace una vez dentro
Ejecuta un minero de criptomonedas para generar ganancias ilícitas. Intenta propagarse a otros hosts dentro del entorno de la víctima para ampliar su alcance.
A quién ataca
Ataca principalmente a sistemas Linux y contenedores, con un enfoque en servidores en la nube y empresas en Rusia.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Ejecución | Cron | T1053.003 |
| Ejecución | Unix Shell | T1059.004 |
| Ejecución | Container Administration Command | T1609 |
| Ejecución | Deploy Container | T1610 |
| Persistencia | External Remote Services | T1133 |
| Sigilo | Valid Accounts | T1078 |
| Debilitamiento de defensas | Linux and Mac Permissions | T1222.002 |
| Acceso a credenciales | Brute Force | T1110 |
| Acceso a credenciales | Shell History | T1552.003 |
| Acceso a credenciales | Private Keys | T1552.004 |
| Descubrimiento | Remote System Discovery | T1018 |
| Descubrimiento | Process Discovery | T1057 |
| Descubrimiento | File and Directory Discovery | T1083 |
| Movimiento lateral | SSH | T1021.004 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Impacto | Compute Hijacking | T1496.001 |
Fuente: MITRE ATT&CK v20 (S0599).
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA |
|---|---|---|---|
| CVE-2023-32315 | Ignite Realtime Openfire | 8.6 | Sí |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
Fuentes
- MITRE ATT&CK S0599: Kinsing
- Malpedia: elf.kinsing
- AlienVault OTX: The Return of the Kinsing (2026-04-25)
- AlienVault OTX: Case of ActiveMQ Vulnerability Exploitation to Install Sharpire (Kinsing) (2025-10-31)
- AlienVault OTX: ActiveMQ Vulnerability Exploit Case Study Installing Sharpire (Kinsing). (2025-10-29)
← Todo el catálogo de armamento