El Equipo Global de Investigación y Análisis (GReAT) de Kaspersky identificó una campaña de ciberespionaje activa llamada PassiveNeuron, dirigida a redes gubernamentales, financieras e industriales de América Latina, así como a organizaciones en Asia y África.
La operación fue detectada por primera vez en diciembre de 2024 y continuó activa hasta agosto de 2025.
Tras seis meses de pausa, el grupo retomó actividades utilizando tres herramientas: Neursite, una puerta trasera modular; NeuralExecutor, un implante desarrollado en .NET; y Cobalt Strike, un software común en pruebas de penetración pero empleado con frecuencia en ataques avanzados.
Según el análisis, Neursite permite a los atacantes obtener datos del sistema, desplazarse dentro de la red y comunicarse tanto con servidores externos como con equipos internos comprometidos. NeuralExecutor descarga y ejecuta instrucciones adicionales de manera remota, lo que facilita ampliar capacidades y mantener el control sobre los sistemas afectados.
Los investigadores detectaron funciones escritas con caracteres cirílicos, consideradas posibles “falsas banderas” para desviar la atribución. Con un nivel de confianza bajo, Kaspersky vincula la operación a un actor de amenazas de habla china. La compañía ya había observado rastros del mismo grupo a inicios de 2024.
El compromiso de servidores —común en este tipo de ataques— puede permitir acceso a información sensible, manipulación de procesos internos o interrupción de operaciones. Además, los equipos comprometidos podrían servir como punto de partida para nuevas intrusiones.
Kaspersky recomienda reforzar la seguridad de los servidores, limitar servicios expuestos a Internet, mejorar la coordinación interna en materia de seguridad, capacitar al personal para identificar intentos de phishing e incorporar inteligencia de amenazas para anticipar riesgos.
