Ha surgido una nueva campaña de malware dirigida a usuarios de Windows, que utiliza archivos de acceso directo LNK engañosos para distribuir MoonPeak, un peligroso troyano de acceso remoto.

Este malware, que parece ser una variante de XenoRAT, ha sido vinculado a actores de amenazas afiliados a Corea del Norte.

El ataque se dirige principalmente a inversores surcoreanos y comerciantes de criptomonedas mediante archivos maliciosos disfrazados de documentos PDF legítimos relacionados con estrategias de trading.

Cuando las víctimas abren el archivo LNK malicioso, este activa una sofisticada cadena de infección que despliega el malware mientras muestra un PDF señuelo para evitar sospechas.

La campaña fue detectada por primera vez en enero de 2026, con archivos LNK que contenían nombres en coreano sugiriendo contenido relacionado con inversiones.

Estos archivos incorporan un PDF codificado con XOR que se abre normalmente al hacer clic, haciendo que el ataque parezca inofensivo para usuarios desprevenidos.

Sin embargo, entre bastidores, un script de PowerShell ofuscado se ejecuta silenciosamente en una ventana oculta.

Este script inicia múltiples etapas de entrega de payloads, estableciendo persistencia en el sistema infectado y comunicándose con servidores remotos controlados por los atacantes.

Analistas de IIJ Security Diary identificaron esta amenaza mediante un detallado análisis de malware, descubriendo el flujo completo de infección que no había sido documentado por completo en informes anteriores.

Los investigadores rastrearon la infraestructura del ataque hasta repositorios de GitHub utilizados para alojar payloads maliciosos, demostrando el uso de plataformas legítimas por parte de los actores de amenazas para evadir la detección.

Esta técnica, conocida como Living Off Trusted Sites (LOTS), permite a los atacantes eludir medidas de seguridad que normalmente bloquean dominios sospechosos.

Mecanismo de infección en múltiples etapas y tácticas de evasión

El proceso de infección de MoonPeak opera a través de tres etapas distintas, cada una diseñada para evadir el análisis de seguridad y establecer acceso persistente.

En la primera etapa, el archivo LNK verifica la presencia de herramientas de seguridad y entornos virtuales escaneando procesos específicos en ejecución, como IDA Pro, Wireshark, OllyDbg y varios indicadores de sandbox.

Si se detecta alguna herramienta de análisis, el script se termina inmediatamente para evitar que los investigadores estudien su comportamiento. Esta técnica anti-análisis garantiza que el malware solo se ejecute en sistemas de víctimas genuinas.

Una vez superada la verificación del entorno, el script de PowerShell crea carpetas y archivos con nombres aleatorios en el directorio temporal, descargando scripts adicionales desde servidores remotos.

Luego se crea una tarea programada para asegurar que el malware se ejecute automáticamente, incluso después de reiniciar el sistema.

La segunda etapa implica la recuperación de un payload comprimido con GZIP desde un repositorio de GitHub, que se descomprime y carga directamente en memoria sin tocar el disco.

La etapa final despliega MoonPeak en sí, ofuscado con ConfuserEx para resistir la descompilación y el análisis. El malware se conecta a su servidor de comando y control en 27.102.137[.]88:443, permitiendo a los atacantes controlar de forma remota las máquinas infectadas.