Cómo llegamos aquí

El backdoor Mistic fue documentado primero por Zscaler a principios de junio. Symantec y Carbon Black confirmaron esta semana que está vinculado a KongTuke (también rastreado como Woodgnat, 404 TDS o Chaya_002). En al menos un caso, desplegaron Mistic junto con ModeloRAT, un troyano de acceso remoto que el mismo grupo ya había usado.

Lo que sabemos (y lo que no)

Los investigadores identificaron las siguientes características técnicas de Mistic:

  • Se ejecuta completamente en memoria, sin escribir archivos en el disco.
  • Incluye un mecanismo de autodestrucción que borra todos los rastros.
  • Usa DLL side-loading a través del ejecutable legítimo "MpExtMs.exe" de Microsoft Defender para evadir detección.
  • Se comunica con un servidor de comando y control para recibir órdenes como mover, eliminar o ejecutar código.

Los analistas tienen confianza baja en la atribución a KongTuke, porque solo en un caso vieron Mistic y ModeloRAT juntos. Aún no hay evidencia de que el mismo atacante desarrolle ambas herramientas.

El panorama general

Los IAB como KongTuke son un eslabón clave en la economía del ransomware. Permiten que grupos sin capacidad de intrusión propia compren acceso a redes ya comprometidas. Desde enero de 2026, KongTuke distribuye ModeloRAT mediante campañas "ClickFix": engañan a la víctima para que ejecute comandos bajo el pretexto de una supuesta falla del navegador o una verificación de seguridad por Teams.

A qué prestar atención

Mistic está diseñado para persistir a largo plazo con baja visibilidad. Su capacidad de autodestrucción sugiere que los operadores priorizan no dejar huellas. Las organizaciones en los sectores blanco (seguros, educación, TI, servicios profesionales) deben monitorear señales de DLL side-loading en procesos de seguridad de Microsoft y verificar inicios de sesión anómalos que puedan provenir de pantallas de autenticación falsas.