Los ciberdelincuentes siguen perfeccionando sus técnicas de acceso inicial a redes corporativas. Investigadores de ThreatLabz, el equipo de inteligencia de amenazas de Zscaler, han identificado una campaña activa desde enero de 2026 en la que los atacantes utilizan Microsoft Teams, ingeniería social y la herramienta Quick Assist de Windows para comprometer equipos empresariales e instalar un conjunto de puertas traseras y herramientas de acceso remoto diseñadas para preparar futuros ataques de ransomware.
La investigación atribuye la actividad a un broker de acceso inicial (Initial Access Broker o IAB), un tipo de grupo especializado en infiltrarse en organizaciones y vender posteriormente ese acceso a bandas de ransomware.
El ataque comienza con una falsa llamada del soporte técnico
La cadena de infección no explota vulnerabilidades técnicas, sino la confianza de los empleados.
Según Zscaler, los atacantes inician la campaña mediante spam bombing, saturando previamente el correo electrónico de la víctima con numerosos mensajes. Poco después contactan con ella a través de Microsoft Teams, haciéndose pasar por personal del departamento de TI o del servicio de asistencia.
Durante la conversación convencen al empleado para que abra Quick Assist, la herramienta de asistencia remota integrada en Windows, otorgando así control directo sobre el equipo comprometido. A partir de ese momento ejecutan scripts de PowerShell que descargan e instalan diferentes cargas maliciosas.
GoGRPC, una puerta trasera en constante evolución
El principal malware utilizado en la campaña ha sido bautizado como GoGRPC, una puerta trasera desarrollada en Go que ha evolucionado rápidamente durante los últimos meses.
ThreatLabz ha identificado cuatro variantes distintas, denominadas Lep, Giver, Pet y Kind, cada una con diferencias en sus capacidades y mecanismos de comunicación.
Las versiones más recientes incorporan cifrado TLS, técnicas de ofuscación del código y cambios en la comunicación con los servidores de mando y control, dificultando tanto su análisis como su detección por las soluciones de seguridad.
Una vez instalado, GoGRPC recopila información del sistema comprometido, como la versión de Windows, el nombre del equipo, el usuario conectado, el dominio y otros datos que permiten a los atacantes evaluar el valor del objetivo antes de continuar con el ataque.
Reconocimiento antes del ransomware
El informe indica que el malware ejecuta comandos para obtener información sobre el entorno corporativo, identificar controladores de dominio, detectar soluciones antivirus y conocer la estructura de la red interna.
Este tipo de reconocimiento resulta habitual en los brokers de acceso inicial, cuya misión consiste en preparar el terreno para un posible movimiento lateral o para la posterior entrada de operadores de ransomware.
Los investigadores también observaron que las campañas más recientes son mucho más selectivas y únicamente continúan cuando detectan que la organización puede representar un objetivo de alto valor.
Un arsenal de herramientas para mantener el acceso
Además de GoGRPC, los atacantes despliegan otras familias de malware según las características del entorno comprometido.
Entre ellas figura BlindDoor, otra puerta trasera utilizada para ejecutar comandos remotos; S3Siphon, diseñada para robar documentos y subirlos automáticamente a servicios de almacenamiento en la nube; RevSocket y PyGRPC, que actúan como proxies SOCKS para ocultar el tráfico malicioso; y RSOX, una herramienta escrita en Rust que permite mantener conexiones persistentes con el servidor de mando y control.
Estas utilidades proporcionan a los atacantes múltiples formas de conservar el acceso al sistema incluso si alguna de ellas es detectada.
El objetivo: mezclarse con el tráfico legítimo
Uno de los aspectos más llamativos del malware es el uso del protocolo gRPC sobre HTTP/2 para comunicarse con los servidores de mando y control.
Mientras que muchas herramientas ofensivas utilizan protocolos fácilmente identificables, GoGRPC emplea un mecanismo poco habitual en este tipo de campañas, lo que le permite camuflar sus comunicaciones entre el tráfico legítimo de aplicaciones modernas.
Las versiones más recientes también incorporan conexiones cifradas mediante TLS, aumentando aún más la dificultad para detectar la actividad maliciosa.
