Ataque de Remcos RAT evade el antivirus mediante scripts de PowerShell

AXCESS · Mayo 17, 2025, 01:14:41 AM

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Una nueva ola de ataques utiliza archivos PowerShell y LNK para instalar en secreto Remcos RAT, lo que permite el control remoto completo y la vigilancia de los sistemas infectados.

Expertos en ciberseguridad de la Unidad de Investigación de Amenazas de Qualys (TRU) han descubierto recientemente un sofisticado ciberataque que utiliza el lenguaje de scripting PowerShell para instalar en secreto Remcos RAT (troyano de acceso remoto).

Este método permite a los atacantes operar sin ser detectados por muchos programas antivirus tradicionales, ya que el código malicioso se ejecuta directamente en la memoria del equipo, dejando muy pocos rastros en el disco duro.

Para su información, Remcos RAT es una potente herramienta que los ciberdelincuentes utilizan para obtener el control total de los equipos infectados. Una vez instalado, les permite espiar a las víctimas, robar datos y realizar otras acciones dañinas.

Según el análisis de Qualys TRU, el ataque comienza cuando un usuario abre un archivo dañino dentro de un archivo ZIP, No tienes permitido ver enlaces. Registrate o Entra a tu cuenta, que contiene un acceso directo "new-tax311.lnk". Al hacer clic en este archivo .LNK, no se abre un programa normal. En su lugar, utiliza una herramienta de Windows llamada "mshta.exe" para ejecutar un script de PowerShell confuso (ofuscado).

Este script prepara el equipo para la infección con Remcos RAT. Primero, intenta debilitar Windows Defender diciéndole que ignore la carpeta "C:/Users/Public/". También modifica la configuración de PowerShell para permitir la ejecución de scripts inseguros sin previo aviso e intenta ejecutarse de forma oculta. Para garantizar que Remcos RAT se inicie cada vez que se enciende el equipo, el script agrega información al Registro de Windows.

Flujo y dinámica del Ataque

El script también descarga varios archivos a la carpeta "C:/Users/Public/". Uno de ellos podría ser un archivo falso e inofensivo como pp1.pdf. También descarga dos archivos clave: 311.hta (configurado para ejecutarse al inicio y similar a 'xlab22.hta') y '24.ps1'. El archivo '24.ps1' es el script principal y oculto de PowerShell que contiene Remcos RAT. Este script utiliza funciones especiales de Windows (API de Win32) para cargar y ejecutar Remcos RAT directamente en la memoria del equipo, evitando la detección de la seguridad basada en archivos.

El Remcos RAT que analizaron los investigadores de TRU es un programa de 32 bits V6.0.0 diseñado para ser sigiloso y otorgar a los atacantes control sobre los equipos infectados. Tiene un diseño modular, lo que significa que consta de diferentes partes que pueden realizar distintas tareas. El programa también almacena datos cifrados, que descifra cuando es necesario.

Estos datos cifrados contienen la dirección del servidor remoto al que se conecta (readysteaurants.com en el puerto 2025 mediante una conexión segura llamada TLS), el nombre del malware (Remcos) y un código especial (Rmc-7SY4AX) que utiliza para identificar si el equipo ya está infectado.

Remcos puede realizar diversas acciones dañinas, como registrar las pulsaciones de teclas, copiar el contenido del portapapeles, realizar capturas de pantalla, grabar desde micrófonos y cámaras web, y robar información del usuario. También intenta impedir que los programas de seguridad los analicen.

En su investigación, el equipo de Qualys TRU recalcó que los usuarios deben activar el registro de PowerShell y la monitorización de AMSI (una función de Windows que ayuda a detectar scripts maliciosos), así como utilizar una solución EDR (Detección y Respuesta de Endpoints) robusta para una mejor protección.

En un comentario a No tienes permitido ver enlaces. Registrate o Entra a tu cuenta, Xiaopeng Zhang, analista de IPS e investigador de seguridad de FortiGuard Labs de Fortinet, declaró: «Los atacantes responsables de Remcos están evolucionando sus tácticas. En lugar de explotar la vulnerabilidad CVE-2017-0199 mediante archivos adjuntos maliciosos de Excel, ahora utilizan archivos LNK engañosos camuflados con iconos PDF para inducir a las víctimas a ejecutar un archivo HTA malicioso».

Xiaopeng advirtió: «PowerShell sigue desempeñando un papel en la campaña. Sin embargo, la última variante adopta un enfoque sin archivos, utilizando PowerShell para analizar y ejecutar Remcos directamente en memoria a través de la API CallWindowProc(). Esto supone un cambio con respecto a los métodos anteriores, donde Remcos se descargaba como archivo antes de su ejecución».

Fuente:
HackRead
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Ataque de Remcos RAT evade el antivirus mediante scripts de PowerShell

AXCESS

Mayo 17, 2025, 01:14:41 AM