Guiones Fantasma: Cómo las tácticas MSI y Deno de DinDoor están reescribiendo el manual del malware

Todo comienza como una descarga rutinaria - un documento empresarial, o tal vez una actualización de una aplicación. Pero detrás de estas fachadas familiares acecha DinDoor, una sofisticada puerta trasera que se desliza silenciosamente más allá de las defensas empresariales al convertir en armas herramientas que pocos equipos de seguridad vigilan. A medida que los ciberdelincuentes giran hacia ataques sin archivos y basados en scripts, la combinación de DinDoor de entornos confiables y trucos con instaladores está exponiendo un peligroso punto ciego en la higiene cibernética moderna.

Desenmascarando la campaña DinDoor

DinDoor fue detectado por primera vez por investigadores en marzo de 2026, pero sus raíces se remontan a la botnet Tsundere - una infame herramienta de acceso remoto basada en JavaScript. La última evolución reemplaza Node.js por Deno, un entorno relativamente nuevo y confiable, otorgando a los atacantes una vía fresca para eludir controles de seguridad que rara vez monitorean la actividad de Deno.

La infección comienza con instaladores MSI maliciosos, típicamente entregados mediante correos de phishing o aplicaciones de mensajería. Estos archivos MSI suelen hacerse pasar por documentos inofensivos o software empresarial, pero una vez ejecutados, desempaquetan silenciosamente scripts de PowerShell o VBScript. Los scripts verifican la presencia de Deno y, si no está instalado, lo descargan directamente de la fuente oficial - sin requerir privilegios de administrador.

La carga útil de DinDoor es JavaScript ofuscado, que puede escribirse en disco o ejecutarse completamente en memoria. Este último método es especialmente insidioso, ya que prácticamente no deja evidencia basada en archivos que los antivirus puedan detectar. Una vez activado, DinDoor establece un listener TCP local, identifica a la víctima mediante el hash de información clave del sistema e inicia comunicación encubierta con su infraestructura de comando y control (C2). Estos servidores C2, a menudo ocultos en proveedores de alojamiento poco conocidos, pueden identificarse por cabeceras HTTP características y respuestas únicas a solicitudes de verificación de estado.

Lo que hace a DinDoor especialmente peligroso es su backend modular y orientado a servicios. La infraestructura compartida con otras familias de malware como CastleLoader permite a los actores de amenazas evolucionar rápidamente sus tácticas, reutilizando y reconfigurando herramientas según sea necesario. Los investigadores han rastreado metadatos de campañas - including tokens codificados y IDs de campaña - a dominios previamente documentados vinculados tanto a actores estatales como criminales.

Puntos ciegos defensivos y consejos de detección

La explotación por parte de DinDoor de entornos confiables y archivos de instalación expone un enorme agujero en la postura de seguridad de muchas organizaciones. Las defensas tradicionales centradas en PowerShell, Python o Node.js probablemente no detecten amenazas basadas en Deno. Se recomienda a los equipos de seguridad restringir la ejecución de MSI, monitorear actividad inesperada de deno.exe y examinar las conexiones salientes en busca de cabeceras sospechosas de servidores Caddy o tráfico hacia dominios maliciosos conocidos.

La amenaza subraya la importancia de extender la monitorización y los controles a todos los entornos de scripting y actividades de instaladores - no solo a los sospechosos habituales. A medida que los autores de malware continúan innovando, los defensores deben adaptarse o arriesgarse a ser sorprendidos por la próxima ola de ataques sin archivos y de bajo perfil.

WIKICROOK

• Deno: Deno es un entorno de ejecución seguro para JavaScript y TypeScript, diseñado para ejecutar código fuera de los navegadores con mayor seguridad y funciones modernas de desarrollo.
• Instalador MSI: Un instalador MSI es un formato de archivo de Windows utilizado para instalar, actualizar o eliminar software. También puede ser explotado para distribuir programas maliciosos.
• Malware sin archivos: El malware sin archivos es software malicioso que se ejecuta en la memoria de un ordenador, evitando el almacenamiento en disco y dificultando su detección por herramientas de seguridad tradicionales.
• Comando: Un comando es una instrucción enviada a un dispositivo o software, a menudo por un servidor C2, indicándole que realice acciones específicas, a veces con fines maliciosos.
• Ofuscación: La ofuscación es la práctica de disfrazar código o datos para dificultar que humanos o herramientas de seguridad los entiendan, analicen o detecten.