Campaña de phishing con ZIP de fotos ataca hotelería e implanta Node.js

En los últimos meses, el sector hotelero y de hostelería se ha convertido en el blanco de una sofisticada campaña de phishing que combina ingeniería social, archivos comprimidos con temática fotográfica y un implante basado en Node.js. Los atacantes envían correos electrónicos que simulan notificaciones legítimas de plataformas de reservas, utilizando asuntos en varios idiomas —quejas de huéspedes, reportes de chinches, solicitudes de verificación— para generar urgencia en el personal de recepción. Al hacer clic en el enlace, la víctima descarga un archivo ZIP con nombre como photo-*.zip que contiene un acceso directo disfrazado de imagen PNG. Al ejecutarlo, se inicia una cadena de infección que utiliza PowerShell ofuscado, compilación dinámica de .NET y finalmente un implante Node.js que establece persistencia mediante claves de registro Run y RunOnce, comunicándose con servidores de mando y control en puertos no estándar. Esta amenaza demuestra la importancia de contar con estrategias robustas de ciberseguridad que vayan más allá de la detección de indicadores aislados, y que integren monitoreo de comportamiento, análisis de procesos y protección en múltiples capas.

Para las empresas hoteleras, la exposición de sistemas de front office, reservas y recepción supone un riesgo crítico, ya que estos equipos manejan datos sensibles de clientes y están conectados a redes corporativas. La campaña observada evoluciona en dos oleadas, añadiendo nuevas técnicas de ofuscación y utilizando servicios legítimos como Calendly y Google redirect para eludir los controles de autenticación de correo (SPF, DKIM, DMARC). Este enfoque, que podríamos denominar 'lavado de autenticación', aprovecha la confianza depositada en la infraestructura de servicios conocidos. En este contexto, la adopción de servicios cloud AWS y Azure bien configurados, junto con soluciones de inteligencia artificial para empresas, permite detectar patrones anómalos en el tráfico de red y en la ejecución de procesos. Además, el uso de agentes IA y herramientas de inteligencia de negocio como Power BI facilita la correlación de eventos de seguridad y la generación de alertas tempranas.

Desde una perspectiva técnica, la cadena de ataque incluye la descarga de un script PowerShell que utiliza operaciones aritméticas con BigInt para decodificar una URL y obtener un payload adicional. En la segunda oleada, se emplea el compilador de C# (csc.exe) para generar DLLs en memoria, lo que complica la detección estática. El implante Node.js, ejecutado desde una carpeta de usuario, añade exclusiones en Microsoft Defender para procesos temporales y copia binarios en C:\ProgramData con nombres aleatorios, estableciendo una persistencia dual que dificulta la remediación completa. Frente a esto, las organizaciones necesitan desarrollar aplicaciones a medida y soluciones de software a medida que permitan integrar controles de seguridad específicos para su operativa, como la monitorización de procesos Node.js inusuales, la auditoría de cambios en el registro o el bloqueo de descargas de ZIP con patrones sospechosos.

La evolución de la campaña, con siete fases distintas de ofuscación de PowerShell y la incorporación de dominios .cfd protegidos por Cloudflare, indica un actor persistente que ajusta sus tácticas para evadir firmas. Esto refuerza la necesidad de invertir en inteligencia artificial para empresas y en servicios de inteligencia de negocio que permitan analizar grandes volúmenes de telemetría y detectar comportamientos anómalos, como la ejecución de node.exe desde rutas de usuario o la creación de claves RunOnce que se refrescan constantemente. Q2BSTUDIO, como empresa de desarrollo de software y tecnología, ofrece soluciones integrales que abarcan desde la implementación de plataformas cloud seguras hasta el diseño de sistemas de IA y automatización de procesos, ayudando a las organizaciones a fortalecer su postura de ciberseguridad frente a amenazas emergentes como esta.