Ke3chang

Ficha

Ke3chang, al que la telemetría más reciente también se asocia con el alias Mirage Kitten, es un grupo de ciberespionaje cuya actividad más reciente documentada corresponde a septiembre de 2026, sin que las fuentes disponibles precisen su fecha de aparición. Su método de entrada actual consiste en acercamientos de ingeniería social dirigida a través de LinkedIn y portales de búsqueda de empleo, en los que entrega supuestos «retos de programación» en archivos comprimidos troyanizados que la víctima ejecuta en su propio equipo. Para esta campaña ha desarrollado dos familias de malware propias y multiplataforma, NodeRabbit y PollCat, construidas sobre Node.js y JavaScript, lo que les permite funcionar en distintos sistemas operativos. Sus objetivos conocidos son organizaciones de aviación y de tecnología financiera en Oriente Medio y África, con infecciones de NodeRabbit detectadas en sistemas de Afganistán, Egipto y Etiopía. Lo distintivo del grupo es la combinación de señuelos de reclutamiento laboral con malware escrito en lenguajes de desarrollo habituales, que se camufla bien en equipos de perfiles técnicos.

Acceso inicial

• Phishing dirigido a través de LinkedIn
• Phishing dirigido a través de portales de búsqueda de empleo
• Archivos de «retos de programación» troyanizados

Herramientas

NodeRabbit (RAT), PollCat (RAT)

Qué vigilar

• Conciencie a los empleados, en especial a perfiles técnicos y de desarrollo, sobre ofertas de empleo no solicitadas en LinkedIn u otros portales que incluyan pruebas técnicas descargables.
• Establezca como norma que ningún código o archivo recibido en un proceso de selección se ejecute en equipos corporativos; use entornos aislados y desechables.
• Vigile la ejecución de Node.js y de scripts JavaScript fuera de los procesos de desarrollo habituales, así como sus conexiones de red salientes, en Windows, macOS y Linux: el malware del grupo es multiplataforma.
• Preste atención reforzada si su organización pertenece a los sectores de aviación o tecnología financiera, o tiene operaciones en Oriente Medio y África (se han observado casos en Afganistán, Egipto y Etiopía).
• No se han documentado vulnerabilidades concretas explotadas por este grupo en la actividad descrita, por lo que la defensa depende sobre todo del control de la ejecución de archivos y de la formación del personal.

Mitigaciones prioritarias

Mitigaciones de MITRE ATT&CK que cubren más técnicas de las que usa este grupo.

1. Gestión de cuentas privilegiadas (11 técnicas cubiertas)
2. Formación de usuarios (8 técnicas cubiertas)
3. Políticas de contraseñas (7 técnicas cubiertas)
4. Auditoría (6 técnicas cubiertas)
5. Configuración del sistema operativo (5 técnicas cubiertas)
6. Filtrar el tráfico de red (5 técnicas cubiertas)
7. Prevención de comportamientos en el endpoint (5 técnicas cubiertas)
8. Gestión de cuentas de usuario (4 técnicas cubiertas)

Técnicas MITRE ATT&CK

Víctimas recientes

Sin datos todavía.

Fuentes analizadas

• Mirage Kitten targeting aviation and FinTech sectors across the Middle East and Africa with a new malware set (Securelist, 1/9/2026)