Latrodectus
Qué es
Es un cargador de malware para Windows escrito en C, identificado por primera vez en octubre de 2023. Se utiliza para descargar y ejecutar cargas útiles adicionales, como ransomware, troyanos de acceso remoto y ladrones de información.
Cómo llega
Se distribuye principalmente a través de campañas de correo electrónico y campañas de ClickFix con falsos CAPTCHA que utilizan la técnica de DLL sideloading.
Qué hace una vez dentro
Comunica con su servidor de comando a través de HTTP usando peticiones cifradas con RC4. Ejecuta comandos de descubrimiento, consulta información del equipo y descarga archivos EXE, DLL o shellcode para su ejecución.
A quién ataca
Ataca sistemas operativos Windows.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Acceso inicial | Spearphishing Attachment | T1566.001 |
| Acceso inicial | Spearphishing Link | T1566.002 |
| Ejecución | Windows Management Instrumentation | T1047 |
| Ejecución | Scheduled Task | T1053.005 |
| Ejecución | Windows Command Shell | T1059.003 |
| Ejecución | JavaScript | T1059.007 |
| Ejecución | Native API | T1106 |
| Ejecución | Malicious Link | T1204.001 |
| Ejecución | Malicious File | T1204.002 |
| Ejecución | Component Object Model | T1559.001 |
| Persistencia | Registry Run Keys / Startup Folder | T1547.001 |
| Sigilo | Binary Padding | T1027.001 |
| Sigilo | Software Packing | T1027.002 |
| Sigilo | Dynamic API Resolution | T1027.007 |
| Sigilo | Encrypted/Encoded File | T1027.013 |
| Sigilo | Match Legitimate Resource Name or Location | T1036.005 |
| Sigilo | File Deletion | T1070.004 |
| Sigilo | Deobfuscate/Decode Files or Information | T1140 |
| Sigilo | Msiexec | T1218.007 |
| Sigilo | Rundll32 | T1218.011 |
| Sigilo | System Checks | T1497.001 |
| Sigilo | NTFS File Attributes | T1564.004 |
| Sigilo | Debugger Evasion | T1622 |
| Descubrimiento | System Network Configuration Discovery | T1016 |
| Descubrimiento | System Owner/User Discovery | T1033 |
| Descubrimiento | Process Discovery | T1057 |
| Descubrimiento | Domain Groups | T1069.002 |
| Descubrimiento | System Information Discovery | T1082 |
| Descubrimiento | File and Directory Discovery | T1083 |
| Descubrimiento | Domain Account | T1087.002 |
| Descubrimiento | Network Share Discovery | T1135 |
| Descubrimiento | Domain Trust Discovery | T1482 |
| Descubrimiento | Security Software Discovery | T1518.001 |
| Movimiento lateral | VNC | T1021.005 |
| Recolección | Data from Local System | T1005 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | Web Service | T1102 |
| Comando y control | Multi-Stage Channels | T1104 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Comando y control | Standard Encoding | T1132.001 |
| Comando y control | Symmetric Cryptography | T1573.001 |
| Exfiltración | Exfiltration Over C2 Channel | T1041 |
| Impacto | System Shutdown/Reboot | T1529 |
Fuente: MITRE ATT&CK v20 (S1160).
Grupos que la usan
Uso documentado por MITRE ATT&CK, o por Malpedia confirmado con AlienVault OTX. Que un grupo use un arma no quiere decir que todo ataque con ella sea suyo.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
Fuentes
- MITRE ATT&CK S1160: Latrodectus
- Malpedia: win.latrodectus
- AlienVault OTX: ClickFix Fake CAPTCHA Campaign Delivering Latrodectus & Supper Malware via DLL Sideloading (2026-02-23)
- AlienVault OTX: ber Threat Advisory - Lunar Spider Expands Its Web with FakeCaptcha and Latrodectus V2 Loader (2025-11-08)
- AlienVault OTX: YiBackdoor: A New Malware Family With Links to IcedID and Latrodectus.. (2025-10-25)
← Todo el catálogo de armamento