75 certificados de DigiCert robados y un troyano de 2008: los hackers encuentran una nueva forma de eludir la protección de Windows

Los ciberdelincuentes encontraron una forma de convertir la confianza que Windows tiene en las firmas digitales en un arma y utilizaron el equipo infectado de un empleado de DigiCert para interceptar los certificados de los clientes de la empresa. Detrás del ataque estuvo el grupo chino GoldenEyeDog, que luego firmaba con los certificados robados sus propios programas maliciosos.

Los atacantes accedieron al sistema en abril de 2026. Enviaron al servicio de asistencia de DigiCert un archivo camuflado como captura de pantalla. La solicitud llegó al sistema interno de gestión de incidencias, tras lo cual un empleado descargó y ejecutó el adjunto. El malware obtuvo acceso a su equipo y sustrajo códigos de activación destinados a clientes que renovaban certificados para firmar programas.

Ese tipo de certificados ayuda a Windows a determinar el origen de una aplicación. GoldenEyeDog los utilizó para que los archivos maliciosos activaran con menor frecuencia las advertencias del filtro de protección SmartScreen. Desde 2024 los especialistas registraron al menos 75 certificados con los que el grupo firmó sus cargadores.

La herramienta principal de los delincuentes fue el programa Golden Gh0st RAT, creado a partir del troyano Gh0st RAT, cuyo código fuente se publicó en acceso abierto ya en 2008. La nueva versión permite controlar de forma remota el equipo infectado, capturar pantallas, registrar pulsaciones de teclas, ejecutar comandos, descargar archivos y borrar rastros de su actividad.

El troyano también roba datos de Chrome, Firefox, Skype, de los navegadores de Tencent y 360, termina sus procesos y copia los archivos de perfil. Además, el programa puede limpiar los registros de Windows, eliminar directorios, reiniciar el equipo y crear una cuenta oculta de administrador para mantener acceso permanente mediante el escritorio remoto.

Antes de ejecutar el troyano se utiliza el cargador Golden Gh0st Loader. Este descarga un programa firmado legítimo, una biblioteca maliciosa y un archivo cifrado con la carga útil principal. La aplicación legítima ejecuta la biblioteca reemplazada, que descifra el troyano directamente en memoria. Ese esquema ayuda a ocultar el código malicioso frente a parte de las medidas de protección.

La infraestructura y los métodos de GoldenEyeDog han cambiado poco. Los delincuentes siguen enviando archivos con apariencia de imágenes, dirigen mensajes al servicio de asistencia y almacenan las siguientes etapas de la infección en servicios de almacenamiento en la nube. Las víctimas habituales del grupo suelen ser organizaciones financieras de la región de Asia y el Pacífico.

Golden Gh0st RAT intercambia comandos con servidores de control mediante una conexión WebSocket. Los datos transmitidos se cifran con claves integradas, idénticas en varias versiones del troyano. Los especialistas de Expel lograron extraer las claves, descifrar el intercambio en la red y rastrear la actividad del malware en un entorno corporativo aislado.

Durante las observaciones el troyano transmitía a los operadores información sobre el equipo infectado, listas de archivos y capturas de pantalla, y más tarde obtuvo un módulo adicional para afianzarse en el sistema. Los especialistas también prepararon reglas para detectar el tráfico de red característico y publicaron una lista con 1926 archivos relacionados.