20 portales del gobierno brasileño fueron secuestrados para entregar malware. Criminales comprometieron sitios .gov.br, dominios que su empresa probablemente confía por defecto, y los transformaron en infraestructura de entrega de malware bancario. La campaña se llama PhantomEnigma, detallada por ANY.RUN el 16 de julio de 2026. Analizamos la técnica y la señal es clara: cuando la infraestructura de confianza es comprometida, las capas de confianza se convierten en ceguera.
La técnica en capas: correo legítimo, dominio legítimo, malware real
El ataque funciona en capas, según ANY.RUN. Primero, comprometen buzones de correo de departamentos de policía. Estos correos pasan SPF, DKIM y DMARC porque son genuinos. El buzón fue invadido, y los mensajes salieron desde dentro del servidor legítimo. El destinatario recibe una Intimación de la Policía Civil o un Oficio que parece legítimo porque técnicamente lo es.
El correo redirige a un portal .gov.br comprometido. El sitio, que su herramienta de seguridad no bloquea porque confía en el dominio, entrega un backdoor modular en Node.js escondido dentro de una aplicación Electron modificada. Cada capa abusa de una confianza legítima. No es un bypass de seguridad. Es el uso correcto de la seguridad contra la víctima.
El objetivo confirmado: Banco do Brasil y el plugin Warsaw
Según ANY.RUN, el objetivo confirmado de la campaña es el Banco do Brasil. El malware verifica si la víctima accede a autoatendimento.bb.com.br y busca el Warsaw, el plugin de seguridad bancaria de Brasil. No es un malware genérico. Es un malware bancario específico, construido para interactuar con la infraestructura de autenticación de un banco brasileño.
El backdoor modular en Node.js dentro del Electron modificado es la marca de la campaña. Las firmas no funcionan porque el malware es nuevo y porque se esconde dentro de un framework legítimo. La detección por firmas depende de conocer el payload. La detección de comportamiento depende de entender lo que el payload hace.
La escala: 231 análisis, 60,3% en Brasil, campaña activa
Según ANY.RUN, se registraron 231 análisis en sandbox entre enero y julio de 2026. Brasil representa el 60,3% del clúster de entrega. La campaña sigue activa. No es un incidente aislado. Es una operación continua que abusa de la confianza institucional en dominios .gov.br.
El CTIR Gov emitió la Recomendación 02/2026 en septiembre de 2025. La campaña sigue en julio de 2026. Una recomendación oficial es necesaria, pero no sustituye la detección de comportamiento en el endpoint, el WAF en el borde y un SOC 24/7 mirando el tráfico.
La kill chain: del correo al beacon cada 180 segundos
La kill chain de PhantomEnigma es deliberada y paciente, según ANY.RUN. El correo legítimo abre la puerta. El portal .gov.br comprometido entrega el payload. El backdoor modular en Node.js dentro del Electron modificado establece persistencia en el endpoint. Y entonces el malware comienza a comunicarse con la infraestructura de comando y control.
Según ANY.RUN, la campaña mantiene beacons cada 180 segundos. Ese intervalo no es aleatorio. Está calibrado para mezclarse con el tráfico normal de fondo de un endpoint corporativo, evitando alertas de volumetría en SIEMs configurados para detectar picos. Un beacon cada 3 minutos es lo suficientemente silencioso para pasar desapercibido ante equipos que no están haciendo threat hunting activo. Es exactamente ese patrón el que un SOC 24/7 con threat hunting necesita identificar: no el pico, sino la constancia.
La modularidad del backdoor es el segundo detalle que importa. Por ser en Node.js dentro de Electron, el atacante puede inyectar nuevos módulos en runtime, adaptando el comportamiento del malware sin necesidad de un nuevo despliegue. Eso significa que la firma de hoy puede no servir mañana. La detección de comportamiento en el endpoint no es una opción. Es la única capa que sigue a un payload que cambia.
El problema estructural: la confianza por reputación se vuelve ceguera
Aquí está el problema estructural. Su política de seguridad confía en .gov.br. Su herramienta de correo confía en SPF, DKIM y DMARC. Cuando la infraestructura de confianza es comprometida, esas capas de confianza se convierten en ceguera.
El correo pasa porque el servidor es legítimo. El sitio no se bloquea porque el dominio es confiable. El malware no se detecta porque la firma es desconocida. Cada capa de confianza funciona correctamente. El problema es que la infraestructura detrás de ella fue comprometida. Zero Trust no es un eslogan. Es la única respuesta arquitectónica para un ataque que abusa precisamente de la confianza que usted ya tiene.
Vemos este patrón repetidamente en auditorías de seguridad corporativa. La lista de permitidos basada en reputación de dominio se trata como control definitivo, cuando debería ser solo la primera capa. Cuando la fuente confiable es comprometida, la lista de permitidos se convierte en la propia vulnerabilidad. El WAF en el borde con Virtual Patching y el EDR de comportamiento en el endpoint existen precisamente para este escenario: validar lo que el tráfico hace, no solo de dónde viene.
Conclusión: cuando la infraestructura de confianza se vuelve el arma
Cuando la infraestructura en la que usted confía se vuelve el arma, la confianza por reputación se vuelve vulnerabilidad. PhantomEnigma no explota un bug de código. Explota la confianza legítima en dominios .gov.br, en SPF, DKIM y DMARC, en departamentos de policía. La defensa ya no es el parche. Es comportamiento, borde, endpoint y vigilancia continua. En Tech86 operamos un SOC 24/7 con threat hunting activo precisamente para este escenario: cuando la infraestructura de confianza se vuelve el arma, nosotros estamos mirando.