Check Point Research detecta una nueva campaña de espionaje con un zero-day de Microsoft atribuida a Stealth Falcon

Madrid, 12 de junio de 2025 –Check Point Research, la división de Inteligencia de Amenazas Check Point® Software Technologies Ltd. (NASDAQ: CHKP), pionero y líder global en soluciones de ciberseguridad, ha descubierto una vulnerabilidad crítica en Windows (CVE-2025-33053), previamente desconocida, que estaba siendo explotada activamente en una sofisticada campaña de ciberespionaje llevada a cabo por el grupo APT conocido como Stealth Falcon.

La campaña comenzó con un archivo de acceso directo (.url) disfrazado de documento PDF relacionado con daños en equipamiento militar. Este archivo malicioso activaba silenciosamente un malware alojado en un servidor WebDAV controlado por los atacantes, abusando de herramientas legítimas de Windows. Los investigadores identificaron esta amenaza en marzo de 2025, durante un intento de ataque contra una importante organización de defensa en Turquía. Tras la divulgación responsable a Microsoft, la compañía clasificó la vulnerabilidad como CVE-2025-33053 y publicó un parche el 10 de junio de 2025 como parte de su actualización mensual Patch Tuesday.

Campaña avanzada y dirigida

El ataque incluía un cargador personalizado, conocido como Horus Loader, diseñado para eliminar rastros, evadir mecanismos de detección, abrir documentos señuelo y desplegar un implante final llamado Horus Agent. Este último es un implante privado, desarrollado específicamente para el marco Mythic de comando y control, ampliamente usado por equipos de red team. A diferencia de otros agentes conocidos, Horus Agent fue construido desde cero en C++, con un diseño centrado en el sigilo, la evasión y la activación selectiva en objetivos de alto valor.

El uso de componentes legítimos del sistema como iediagcmd.exe o CustomShellHost.exe, sumado al aprovechamiento de WebDAV, permitió a los atacantes ejecutar código remoto sin necesidad de depositar archivos en la máquina víctima en las primeras fases del ataque.

Para determinar si el entorno ha sido vulnerado, Check Point Research recomienda examinar los registros y sistemas de monitorización en busca de lo siguiente:

• Correos electrónicos con archivos adjuntos comprimidos que incluyan un archivo .URL o .LNK aparentemente inofensivo.
• Conexiones inusuales o no identificadas a servidores WebDAV iniciadas por procesos predeterminados de Windows.
• Uso de herramientas incorporadas como iediagcmd.exe y CustomShellHost.exe, que inician procesos secundarios desde ubicaciones remotas o actúan en contextos inesperados, como ser activadas desde máquinas remotas o encontrarse en endpoints donde su ejecución no se espera.
• Procesos disfrazados como utilidades del sistema legítimas como route.exe, ipconfig.exe, netsh.exe o explorer.exe, ejecutados desde ubicaciones remotas.

“Desde Check Point Software hemos desarrollado y desplegado protecciones para mantener a nuestros clientes seguros antes de que la vulnerabilidad se hiciera pública”, ha explicado Eusebio Nieva, director técnico de Check Point Software para España y Portugal. “Las soluciones Intrusion Prevention System, Threat Emulation y Harmony Endpoint detectan y bloquean intentos de explotación dirigidos a esta brecha de seguridad”.

Sigue Check Point Research vía:

Blog: https://research.checkpoint.com/
Twitter: https://twitter.com/_cpresearch_

Acerca de Check Point Research

Check Point Research proporciona inteligencia sobre ciberamenazas a los clientes de Check Point Software y a la comunidad de inteligencia. El equipo de investigación recopila y analiza datos de ciberataques globales almacenados en ThreatCloud para mantener los ciberdelincuentes a raya, al tiempo que se asegura de que todos los productos de Check Point estén actualizados con las últimas protecciones. El equipo de investigación está formado por más de 100 analistas e investigadores que cooperan con otros proveedores de seguridad, las fuerzas de seguridad y varios CERTs.

Sigue a Check Point Software a través de:

LinkedIn:https://www.linkedin.com/showcase/check-point-software-espana/
X: @CheckPointSpainFacebook: https://www.facebook.com/checkpointsoftware
Blog: https://blog.checkpoint.com/

YouTube: https://www.youtube.com/user/CPGlobal

Acerca de Check Point Software Technologies Ltd.

Check Point Software Technologies Ltd. es un proveedor líder en soluciones de ciberseguridad en la nube basadas en IA que protege a más de 100.000 empresas a nivel mundial. Check Point Software aprovecha el poder de la IA en todos los ámbitos para mejorar la eficiencia y precisión de la ciberseguridad a través de su Plataforma Infinity, con tasas de detección líderes en la industria que permiten una anticipación proactiva a las amenazas y tiempos de respuesta más ágiles e inteligentes. La plataforma integral incluye soluciones cloud compuestas por Check Point Harmony para proteger el entorno laboral, Check Point CloudGuard para asegurar la cloud, Check Point Quantum para proteger la red y Check Point Infinity Core Services para operaciones y servicios de seguridad colaborativos.

©2025 Check Point Software Technologies Ltd. Todos los derechos reservados.

Aviso legal sobre declaraciones prospectivas

Este comunicado de prensa contiene declaraciones prospectivas. Las declaraciones prospectivas generalmente se refieren a eventos futuros o a nuestro desempeño financiero u operativo futuro. Las declaraciones prospectivas incluidas en este comunicado de prensa incluyen, pero no se limitan a, declaraciones relacionadas con nuestras expectativas respecto al crecimiento futuro, la expansión del liderazgo de Check Point Software en la industria, la mejora del valor para los accionistas y la entrega de una plataforma de ciberseguridad líder en la industria a clientes de todo el mundo. Nuestras expectativas y creencias sobre estos temas pueden no materializarse, y los resultados o eventos futuros están sujetos a riesgos e incertidumbres que podrían hacer que los resultados reales o los eventos difieran significativamente de los proyectados.

Las declaraciones prospectivas contenidas en este comunicado de prensa también están sujetas a otros riesgos e incertidumbres, incluyendo aquellos descritos con mayor detalle en nuestros archivos ante la Comisión de Bolsa y Valores (SEC), incluyendo nuestro Informe Anual en el Formulario 20-F presentado ante la SEC el 2 de abril de 2024. Las declaraciones prospectivas en este comunicado de prensa se basan en la información disponible para Check Point Software a la fecha de este documento, y Check Point Software renuncia a cualquier obligación de actualizar cualquier declaración prospectiva, salvo que lo exija la ley.

La entrada <strong>Check Point Research detecta una nueva campaña de espionaje con un zero-day de Microsoft atribuida a Stealth Falcon</strong> se publicó primero en El negocio – Guía Informativa para Autónomos y Pymes.