SectopRAT regresa ocultándose dentro de una aplicación legítima
Investigadores de Fortinet detectaron una variante del troyano de acceso remoto (RAT) SectopRAT oculto dentro de un software de audio de una empresa italiana. El malware utiliza aplicaciones legítimas para evadir medidas de seguridad y establecer una presencia persistente en los sistemas infectados.
Investigadores de Fortinet identificaron una variante del troyano de acceso remoto (RAT) y extractor de información SectopRAT, también conocido como ArechClient2, oculto en un software de audio de una empresa italiana. El actor de amenazas no comprometió al proveedor original, sino que insertó el malware en la aplicación después de su instalación en los sistemas de los clientes para aprovechar la confianza en el software legítimo.
Técnica de ocultamiento y ejecución
El malware utiliza una técnica de carga de DLL para ejecutarse. En este caso específico, los atacantes manipularon el archivo FrameworkBase.dll para cargar la carga útil de SectopRAT. El troyano se encuentra cifrado y embebido en un archivo de base de datos, utilizando un ejecutable de apariencia legítima para iniciar el proceso. Esta táctica permite que el malware parezca menos sospechoso durante el escrutinio de seguridad.
SectopRAT es un malware basado en .NET con un alto nivel de ofuscación. Una diferencia clave en esta variante es el uso del algoritmo AES para cifrar el tráfico de red hacia la infraestructura del atacante. Una vez establecido, el malware permite al operador ejecutar 29 acciones distintas, incluyendo la visualización de la pantalla, ejecución de comandos, manipulación de archivos y procesos, y el reinicio de la máquina. Además, el troyano busca activamente credenciales, cookies, información de pago y datos de monederos de criptomonedas en navegadores y otras aplicaciones.
Historial y variantes del malware
SectopRAT apareció por primera vez a principios de 2019. En 2024, AhnLab reportó su distribución mediante un instalador falso de Notion, mientras que Bridewell detectó el malware en una versión infectada de la aplicación EarthTime. En 2025, Elastic Security Labs documentó su distribución a través del cargador Ghostpulse tras ataques de ingeniería social de tipo ClickFix. El troyano tiene un historial de disfrazarse como aplicaciones conocidas, como Claude Desktop o el instalador de Notion.
Por qué importa y qué hacer
El uso de software legítimo como vehículo para el malware explota la confianza que las organizaciones depositan en aplicaciones conocidas. El riesgo principal es que las herramientas de seguridad tradicionales pueden no alertar sobre una aplicación con buena reputación, aunque su comportamiento sea anómalo. Para mitigar este impacto, las organizaciones deben centrarse en el comportamiento de las aplicaciones en los endpoints y en la segmentación de red para limitar el movimiento del atacante.
- Implemente controles de comportamiento para detectar acciones no coherentes con la función de la aplicación.
- Aplique segmentación de red para limitar el acceso de las aplicaciones a recursos no necesarios.
- Monitoree el tráfico de red cifrado hacia IPs o dominios desconocidos.
- Valide la integridad de los archivos DLL y ejecutables críticos mediante firmas digitales.
- Bloquee la ejecución de procesos que intenten realizar acciones de administración de sistema o red si no son requeridas por la aplicación.
Relacionado:
Malware Yoba oculta un minero de criptomonedas tras binarios de OpenAI y Anthropic
Extensión de Anthropic en Cursor comprometida por puerta trasera
PHP2Shell: Millones de ataques, pero sin ejecuciones exitosas confirmadas
Nota elaborada por Ciberseguridad en español a partir de información publicada por Dark Reading. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.
Comentarios
Publicar un comentario