El grupo PAPERMILL distribuye VenomRAT mediante documentos tributarios y DLL Sideloading

La temporada de presentaciones tributarias y fiscalizaciones corporativas continúa siendo uno de los terrenos más fértiles y lucrativos para los actores de amenazas cibernéticas internacionales. En una detallada investigación técnica divulgada hoy, lunes 21 de septiembre de 2026, por The Hacker News, analistas de inteligencia de amenazas alertaron sobre la reactivación a gran escala del grupo APT conocido como 'PAPERMILL'. Este actor malicioso ha perfeccionado sus cadenas de distribución mediante correos de spear-phishing altamente dirigidos que suplantan a entidades recaudadoras de impuestos y ministerios de hacienda, adjuntando falsos expedientes fiscales y requerimientos contables urgentes.

El componente crítico de la operación radica en la evasión quirúrgica de las barreras perimetrales: en lugar de emplear macros tradicionales de Microsoft Office —bloqueadas por defecto en los entornos modernos—, PAPERMILL recurre a la técnica de DLL Sideloading. El señuelo contiene un ejecutable legítimo firmado digitalmente por un proveedor de software reconocido (como utilitarios de compresión o programas de videoconferencia antiguos). Al ejecutarse, dicho binario carga automáticamente una biblioteca de enlace dinámico (DLL) maliciosa ubicada en la misma carpeta, aprovechando el orden de búsqueda del sistema operativo Windows para ejecutar VenomRAT dentro de la memoria de un proceso legítimo sin levantar alarmas defensivas.

1. Cadena de Explotación: De la Notificación Impositiva a la Memoria Limpia

La investigación de The Hacker News describe cómo los atacantes recopilan información previa en redes profesionales para dirigir los correos a los contadores generales, tesoreros o directores de compras de las compañías víctimas. Los mensajes alertan sobre supuestas inconsistencias fiscales de gravedad inminente, órdenes de embargo preventivo o modificaciones urgentes en la facturación electrónica, presionando al destinatario para que descargue y descomprima un archivo comprimido protegido con contraseña (maniobra clásica para burlar el análisis heurístico de los antivirus perimetrales en los gateways de correo).

Una vez descomprimido, el usuario ejecuta lo que parece ser un archivo PDF o un visor tributario. Inmediatamente se dispara el mecanismo de DLL Sideloading: la librería troyanizada inyecta en memoria el código de VenomRAT. Este troyano procede a desactivar Windows Defender mediante comandos modificados de PowerShell, altera el archivo de registro para garantizar su persistencia en cada reinicio del sistema operativo y establece una conexión cifrada SSL/TLS contra servidores de comando control enmascarados detrás de servicios de proxy inverso legítimos, imposibilitando su detección en inspecciones de tráfico superficiales.

«PAPERMILL ha demostrado un conocimiento quirúrgico de la psicología corporativa: saben que ningún contador ignora una notificación impositiva de apremio, y combinan ese pánico con ejecutables legítimos firmados para eludir las defensas de endpoint más caras del mercado» — Ravie Lakshmanan, analista principal de ciberseguridad e investigación forense, en la cobertura especial de The Hacker News

2. Módulos de Espionaje y Riesgos Financieros para las Empresas

VenomRAT es una plataforma de intrusión modular diseñada para la expoliación financiera sistemática de sus víctimas:

• Monitoreo de Plataformas de Banca Electrónica y Portales Fiscales: Intercepción de claves bancarias, tokens SMS y credenciales de acceso a organismos recaudadores (como ARCA o SAT).
• Alteración Dinámica del Portapapeles (Clipper Malicioso): Sustitución invisible de números de cuenta bancaria o alias CBU cuando el operador contable copia datos para hacer transferencias.
• Robo de Certificados Digitales y Claves Privadas de Facturación: Extracción de firmas electrónicas para emitir facturación apócrifa o usurpar la identidad tributaria de la empresa.
• Apertura de Túneles Proxy para Intrusión Posterior: Conversión del equipo infectado en un nodo de retransmisión interno para que atacantes externos penetren en la red corporativa sin ser rastreados.

El nivel de acceso concedido por VenomRAT permite vaciar cuentas comerciales o cometer fraudes fiscales millonarios antes de que la víctima detecte la intrusión.

3. Análisis FinOps, Cuantificación de Fraudes y Estrategias de Protección

El impacto económico del fraude tributario digital exige una revisión exhaustiva de los procesos contables:

1. Pérdidas Promedio por Fraude de Alteración de Pagos: Incidentes de modificación de transferencias bancarias ocasionan desfalcos directos que promedian más de USD $380.000 por empresa afectada.
2. Costos de Auditoría Forense y Rectificación Tributaria: Reconstruir libros fiscales y demostrar ante la justicia que la facturación apócrifa fue obra de un malware cuesta meses de litigios y honorarios contables.
3. Implementación de Validación Telefónica Obligatoria para Pagos: Protocolos de confirmación por canal alternativo antes de transferir dinero anulan el 100% de los ataques de alteración de cuentas.
4. Aislamiento de Terminales Contables en Subredes Seguras: Separar los ordenadores de tesorería del resto de los empleados administrativos previene la propagación lateral de troyanos.

La disciplina operativa en el área de pagos y finanzas es el escudo más confiable para blindar el patrimonio de las empresas.

4. Hoja de Ruta y Checklist de Implementación Técnica en 5 Fases

1. Fase 1: Protocolo de Doble Confirmación para Transferencias Bancarias: Establecer una norma estricta de verificación oral o telefónica con el proveedor antes de abonar a una nueva cuenta bancaria.
2. Fase 2: Bloqueo de Archivos Comprimidos Protegidos con Contraseña: Configurar los filtros del servidor de correo corporativo para retener y analizar archivos .zip o .rar encriptados.
3. Fase 3: Políticas de Control de Carga de DLLs en Endpoints: Activar protecciones en Windows contra DLL Sideloading (como 'Safe DLL Search Mode' y reglas de integridad de código WDAC).
4. Fase 4: Verificación de Integridad de Certificados Digitales Fiscales: Resguardar las claves de facturación electrónica en dispositivos criptográficos de hardware (tokens físicos o HSM).
5. Fase 5: Capacitación Continua en Phishing para Áreas Administrativas: Realizar simulacros de ataques con señuelos impositivos para entrenar a los contadores a detectar inconsistencias en remitentes y dominios.