### EncryptHub intensifica ataques explotando la vulnerabilidad MSC EvilTwin (CVE-2025-26633) en Windows

#### Introducción

El ecosistema de amenazas sigue evolucionando a gran velocidad y, en este contexto, el grupo conocido como EncryptHub ha intensificado sus operaciones aprovechando una vulnerabilidad recientemente parcheada en Microsoft Windows. Según ha informado Trustwave SpiderLabs, los atacantes están combinando avanzadas técnicas de ingeniería social con la explotación de la vulnerabilidad CVE-2025-26633, denominada MSC EvilTwin, para distribuir cargas maliciosas en entornos corporativos y gubernamentales. Este artículo analiza en profundidad el incidente, los vectores técnicos y las implicaciones para la defensa empresarial.

#### Contexto del Incidente o Vulnerabilidad

CVE-2025-26633 afecta al framework Microsoft Management Console (MMC), un componente crítico de la administración de sistemas Windows. Detectada originalmente en abril de 2024, la vulnerabilidad permite a un atacante remoto ejecutar código arbitrario en sistemas vulnerables mediante la manipulación de archivos de consola (.msc) especialmente modificados. Aunque Microsoft publicó un parche en mayo de 2024, numerosos sistemas siguen sin actualizarse, exponiendo a organizaciones a ataques selectivos. EncryptHub ha capitalizado esta brecha, lanzando campañas dirigidas que combinan exploits técnicos con tácticas de ingeniería social, dirigidas principalmente a administradores de sistemas y personal de soporte TI.

#### Detalles Técnicos (CVE, vectores de ataque, TTP MITRE ATT&CK, IoC…)

La vulnerabilidad CVE-2025-26633, conocida como MSC EvilTwin, reside en la forma en que MMC procesa objetos y referencias dentro de archivos .msc. Al persuadir a un usuario con privilegios elevados para que abra un archivo .msc manipulado, los atacantes pueden desencadenar la ejecución de código malicioso en el contexto del usuario.

**Vectores de ataque:**
EncryptHub ha empleado correos electrónicos de spear phishing que contienen archivos .msc adjuntos o enlaces a repositorios comprometidos. En algunos casos, los archivos maliciosos se distribuyen a través de canales de mensajería corporativa y plataformas de colaboración como Microsoft Teams.

**Técnicas y procedimientos (TTP, MITRE ATT&CK):**
– **TA0001 (Initial Access):** Spear phishing attachment
– **TA0002 (Execution):** User execution mediante archivos .msc
– **T1059 (Command and Scripting Interpreter):** Uso de scripts PowerShell para cargar payloads adicionales
– **T1566 (Phishing):** Ingeniería social dirigida a administradores
– **T1204 (User Execution):** Ejecución de archivos .msc maliciosos

**Indicadores de compromiso (IoC):**
– Hashes de archivos .msc maliciosos detectados: [ejemplo: 8f5c1e9c…]
– Payloads secundarios comunes: variantes de Cobalt Strike Beacon y Metasploit Meterpreter, descargados tras la ejecución inicial.
– Conexiones C2 identificadas: dominios y direcciones IP asociadas a EncryptHub y a infraestructura de hosting offshore.

#### Impacto y Riesgos

El impacto potencial de la explotación de CVE-2025-26633 es elevado, especialmente en entornos donde los usuarios disponen de privilegios administrativos. La ejecución de código arbitrario permite a los atacantes instalar puertas traseras, exfiltrar información sensible o desplegar ransomware. Según estimaciones de Trustwave, más del 17% de las organizaciones analizadas siguen utilizando versiones de Windows susceptibles a este ataque, lo que podría traducirse en pérdidas económicas superiores a los 40 millones de euros si se materializan incidentes a gran escala.

Sectores críticos como administración pública, banca y operadores de infraestructuras esenciales (OES) son especialmente vulnerables, lo que implica riesgos de cumplimiento respecto a normativas como GDPR y NIS2.

#### Medidas de Mitigación y Recomendaciones

– **Aplicación urgente de parches:** Instalar inmediatamente la actualización de seguridad de Microsoft publicada en mayo de 2024 para CVE-2025-26633.
– **Restricción de archivos .msc:** Bloquear la recepción y ejecución de archivos .msc a través de correo electrónico y canales de mensajería interna utilizando filtros de seguridad avanzados.
– **Segmentación de privilegios:** Limitar el acceso al MMC y a la ejecución de scripts a usuarios estrictamente necesarios.
– **Monitorización proactiva:** Implementar reglas de detección en SIEM y EDR para identificar la ejecución inusual de archivos .msc y comportamientos asociados a Cobalt Strike y Metasploit.
– **Simulación de ataques:** Realizar ejercicios de phishing dirigido y pruebas de penetración orientadas a la explotación de archivos MMC.
– **Formación continua:** Actualizar los programas de concienciación para administradores y personal técnico sobre amenazas emergentes y técnicas de ingeniería social.

#### Opinión de Expertos

Expertos de Trustwave y de la comunidad de ciberseguridad coinciden en subrayar la peligrosidad de los ataques que combinan vulnerabilidades técnicas y manipulación humana. “La explotación de MSC EvilTwin demuestra la importancia de no subestimar los vectores aparentemente tradicionales como los archivos de consola, especialmente cuando los atacantes emplean herramientas avanzadas como Cobalt Strike”, afirma Ana Vázquez, analista senior de amenazas. Además, se destaca la baja tasa de actualización de sistemas críticos y la necesidad de una respuesta más ágil ante la publicación de parches.

#### Implicaciones para Empresas y Usuarios

Para las empresas, este incidente evidencia la urgencia de fortalecer sus procesos de gestión de parches, segmentar privilegios y reforzar la concienciación del personal. El cumplimiento de GDPR y NIS2 exige no solo la aplicación diligente de actualizaciones, sino también la documentación de incidentes y la notificación temprana ante brechas de seguridad. Los usuarios corporativos deben extremar la precaución ante archivos no solicitados, especialmente si provienen de fuentes internas aparentemente legítimas.

#### Conclusiones

El caso de EncryptHub y la vulnerabilidad MSC EvilTwin (CVE-2025-26633) subraya cómo los actores de amenazas evolucionan rápidamente para explotar tanto debilidades técnicas como humanas. La protección efectiva requiere una combinación de tecnología, procedimientos y capacitación continua. Las organizaciones deben priorizar la actualización de sistemas, la restricción de archivos potencialmente peligrosos y la monitorización avanzada para reducir el riesgo de incidentes críticos.

(Fuente: feeds.feedburner.com)