Google ha lanzado una guía técnica integral para ayudar a las organizaciones a fortalecer sus estrategias de seguridad frente a UNC6040, un grupo de amenazas avanzadas que ha ganado notoriedad por sus ataques dirigidos a infraestructuras en la nube y redes empresariales.

Activo desde finales de 2024, UNC6040 ha sido vinculado a campañas de espionaje estratégico, utilizando métodos de entrega de payloads altamente sofisticados y loaders de malware personalizados. Sus tácticas incluyen el uso de correos de spear-phishing con archivos maliciosos, explotación de vulnerabilidades conocidas en aplicaciones web y el uso no autorizado de claves de cuentas de servicio robadas.

Uno de los aspectos más preocupantes es su capacidad para moverse lateralmente y escalar privilegios sin ser detectados, aprovechando herramientas legítimas como Cloud SDK y gcloud CLI para camuflar sus actividades dentro de entornos de Google Cloud.

La guía de Google recomienda adoptar un enfoque de defensa en profundidad, que combine la búsqueda proactiva de amenazas con monitoreo continuo de comportamientos anómalos y cambios en configuraciones. También se sugiere implementar reglas de detección personalizadas con Sigma y YARA, incluyendo patrones específicos de llamadas a API que identifican los loaders utilizados por UNC6040.