Hackers vinculados a Irán abusan de una herramienta de desarrollo legítima para ocultar la backdoor de Dindoor

Los operadores vinculados a Irán están utilizando una herramienta de desarrollo de confianza para ocultar una backdoor llamada Dindoor dentro de los entornos de Windows. El malware utiliza el tiempo de ejecución de Deno JavaScript y TypeScript para ejecutar código codificado, lo que ayuda a que su actividad se mezcle con el uso legítimo del software.

Dindoor ha aparecido como una payload en etapas posteriores en intrusiones de spearphishing. Los analistas de Binary Defense comenzaron a rastrear la backdoor a principios de 2026 y vincularon la actividad con MuddyWater, un grupo de amenaza iraní.  Binary Defense dijo en un informe compartido con Cyber Security News (CSN) que Dindoor combina un tiempo de ejecución firmado, codificación Base64 y comprobaciones que evaden el análisis. En cambio, convierte las utilidades familiares de Windows y un tiempo de ejecución legítimo en partes de una cadena de entrega, lo que hace que la actividad de aspecto legítimo sea peligrosa en el contexto incorrecto. Comprueba si Deno ya está instalado; si no, utiliza curl para obtener el tiempo de ejecución, luego lo inicia con un argumento largo codificado en Base64 que contiene el código Dindoor.

Consultar publicación original ↗