Una nueva ola de ataques dirigidos a sistemas Windows ha surgido a través de un sofisticado troyano de acceso remoto conocido como Pulsar RAT.

Este malware establece persistencia utilizando la clave de registro Run por usuario, lo que permite su ejecución automática cada vez que un usuario infectado inicia sesión en su sistema.

La amenaza representa una peligrosa combinación de sigilo, persistencia y capacidades de robo de datos, diseñada para evadir los controles de seguridad tradicionales.

El ataque comienza con un archivo por lotes ofuscado que se copia silenciosamente en una carpeta oculta dentro del directorio AppData del usuario.

Este archivo se registra en el registro de Windows bajo HKCU\Software\Microsoft\Windows\CurrentVersion\Run, asegurando que el malware se inicie automáticamente al arrancar sin necesidad de privilegios de administrador.

Una vez activo, Pulsar RAT despliega una cadena de infección en múltiples etapas que extrae y ejecuta cargadores de PowerShell integrados, minimizando los artefactos en disco que podrían alertar a los sistemas de seguridad.

Los analistas de Point Wild identificaron el malware operando mediante técnicas living-off-the-land y métodos de entrega de payloads en memoria.

La etapa de PowerShell descifra e inyecta shellcode generado por Donut directamente en procesos legítimos de Windows como explorer.exe, empleando ejecución retardada y un mecanismo de vigilancia para mantener una persistencia resistente.

El descifrado del shellcode revela una carga útil de .NET altamente ofuscada que implementa capacidades completas de robo y acceso remoto, dirigidas a credenciales, vigilancia y control del sistema.

El malware demuestra técnicas avanzadas de anti-análisis, incluyendo anti-virtualización, anti-depuración y detección de inyección de procesos.

Los datos robados abarcan credenciales de navegadores, billeteras de criptomonedas, configuraciones de VPN, cuentas de plataformas de juegos y tokens de aplicaciones de mensajería.

Toda la información recolectada se comprime en archivos ZIP y se exfiltra a través de webhooks de Discord y bots de Telegram, con mensajes etiquetados como “stealer by @aesxor” para ayudar a los atacantes a rastrear a las víctimas infectadas.

Mecanismos de persistencia y evasión

Pulsar RAT garantiza acceso a largo plazo mediante una persistencia de doble capa, utilizando tanto Tareas Programadas de Windows como claves de registro Run como respaldo.

El malware crea una tarea programada configurada para ejecutarse al iniciar sesión del usuario con los privilegios más altos disponibles, mientras escribe simultáneamente la ruta del ejecutable bajo la clave Run del usuario actual.

Esta redundancia asegura que la ejecución persista incluso en entornos restringidos donde un método de persistencia podría ser bloqueado o monitoreado.

Los esfuerzos de detección enfrentan desafíos significativos debido a los hilos de monitoreo continuo en segundo plano del malware, que vigilan depuradores, máquinas virtuales y intentos de inyección.

Cuando se detectan herramientas de análisis como x64dbg, WinDbg, dnSpy o IDA mediante enumeración de ventanas o comprobaciones de API, el malware se termina inmediatamente para evitar su examen.

Esta autoprotección se extiende a la detección de puntos de interrupción de hardware, banderas de depuración en el PEB y técnicas de manipulación de handles, formando en conjunto un marco de anti-análisis integral diseñado para resistir la ingeniería inversa.

Las organizaciones deberían implementar sistemas de detección basados en comportamiento capaces de identificar inyección de shellcode en memoria, monitorear modificaciones en la clave de registro Run y examinar patrones inusuales de ejecución de PowerShell.

El monitoreo de red para conexiones a servidores de comando y control conocidos en 185.132.53.17:7800 y el bloqueo de canales de exfiltración de Discord/Telegram también pueden ayudar a contener infecciones activas.