El grupo de ransomware DragonForce ha utilizado infraestructura legítima vinculada a Microsoft Teams para ocultar comunicaciones maliciosas dentro de una red comprometida. Investigadores de Symantec y Carbon Black han identificado una puerta trasera basada en Go, denominada Backdoor.Turn, que abusa de servidores TURN asociados a Teams para camuflar el tráfico de mando y control como conexiones legítimas hacia servicios de Microsoft.
El hallazgo resulta especialmente relevante porque, según los investigadores, se trata del primer caso conocido de malware que utiliza de esta forma la infraestructura de relé TURN de Microsoft Teams en ataques reales. La técnica permitió a los atacantes permanecer en la red de una gran empresa de servicios de Estados Unidos entre uno y dos meses, mientras desplegaban finalmente el ransomware DragonForce.
Para los equipos de seguridad, el tráfico visible parecía dirigirse únicamente a servidores legítimos de Microsoft Teams. Esa apariencia reducía la probabilidad de detección y dificultaba distinguir entre comunicaciones normales de la plataforma colaborativa y actividad maliciosa.
Cómo funciona Backdoor.Turn
Backdoor.Turn es una puerta trasera personalizada escrita en Go y diseñada para operar con sigilo. Según Symantec, el malware obtiene un token anónimo de visitante desde servicios de identidad vinculados a Skype y Microsoft Teams. Después utiliza un servidor TURN legítimo de Microsoft para establecer la conexión y, posteriormente, crea una sesión QUIC hacia el verdadero servidor de mando y control del atacante.
Los servidores TURN se utilizan habitualmente para facilitar comunicaciones en tiempo real cuando dos dispositivos no pueden conectarse directamente, por ejemplo en llamadas o videoconferencias. En este caso, los atacantes aprovecharon esa infraestructura legítima para ocultar parte de la comunicación del malware.
El resultado es una técnica de evasión difícil de detectar mediante controles tradicionales de red. Si una organización permite conexiones hacia Microsoft Teams, el tráfico puede parecer normal, aunque detrás exista una comunicación con infraestructura criminal.
Un ransomware con herramientas cada vez más sofisticadas
El uso de Backdoor.Turn llama la atención porque no es habitual que grupos de ransomware desplieguen herramientas personalizadas tan avanzadas. Muchas operaciones de ransomware se apoyan en utilidades públicas, herramientas legítimas de administración o malware ya conocido. En este caso, DragonForce utilizó una puerta trasera propia y una técnica de comunicación especialmente elaborada.
El malware fue inyectado en el proceso legítimo DbgView64.exe para aumentar su sigilo. Sus capacidades incluyen ejecución de comandos, creación de procesos, escaneo de red, búsqueda en LDAP y Active Directory, movimiento lateral basado en credenciales y robo de credenciales almacenadas en navegadores.
Symantec apunta además que Backdoor.Turn se instaló después del despliegue del ransomware, lo que podría indicar varios objetivos: mantener persistencia, facilitar una intrusión posterior o incluso revender el acceso a otros actores maliciosos.
Acceso inicial y movimiento dentro de la red
La actividad comenzó en diciembre de 2025. Los investigadores creen que los atacantes pudieron obtener acceso inicial explotando una vulnerabilidad en un servidor SQL o MSSQL, aunque no se conoce qué fallo concreto habría sido utilizado. Otra posibilidad es que el acceso hubiera sido comprado a un intermediario especializado en vender entradas a redes corporativas.
Una vez dentro, los atacantes descargaron un archivo ZIP que contenía, entre otros elementos, un ejecutable legítimo de VirtualBox o DbgView y una DLL maliciosa preparada para ser cargada mediante DLL sideloading. Esta técnica consiste en aprovechar un ejecutable legítimo y firmado para que cargue una biblioteca maliciosa, lo que ayuda a evadir controles de seguridad.
Cuando se ejecutaba, la DLL maliciosa descargaba código desde varios servidores y permitía realizar tareas de reconocimiento, mantenimiento del acceso y evasión de defensas.
Los atacantes también modificaron configuraciones del sistema para facilitar el acceso remoto, añadieron usuarios o grupos y cambiaron reglas del firewall para mantener abiertas sus comunicaciones de mando y control.
BYOVD: usar drivers vulnerables contra la defensa
Otro elemento destacado del ataque fue el uso de la técnica Bring Your Own Vulnerable Driver o BYOVD. Este método consiste en introducir en el sistema drivers legítimos pero vulnerables para obtener capacidades a nivel de kernel y desactivar herramientas de seguridad.
En esta campaña se observaron varios controladores explotados, entre ellos drivers asociados a Topaz Antifraud, Tower of Fantasy y K7 Security. Pero el caso más llamativo fue el uso de una técnica novedosa denominada Havoc Process Terminator, que aprovechaba el controlador HWAuidoOs2Ec.sys de Huawei.
Según Symantec, este driver no se conocía como explotado de esta forma en ataques reales antes de esta campaña. Aunque su condición vulnerable fue documentada posteriormente por investigadores de Huntress, el uso en este ataque apunta a un nivel elevado de capacidad técnica por parte de los operadores.
Además, los atacantes emplearon el driver Abyss Worker, un controlador malicioso diseñado para hacerse pasar por un driver legítimo de Palo Alto. Este detalle también se aparta del patrón más común, ya que muchos grupos se limitan a reutilizar drivers legítimos vulnerables.
