Se ha descubierto una nueva campaña de malware que distribuye un Troyano de Acceso Remoto (RAT) a través de sitios web falsos que suplantan la página oficial de descarga de FileZilla.

Los atacantes diseñaron estos sitios fraudulentos para imitar casi a la perfección la página real de FileZilla, engañando a los usuarios para que descarguen archivos de instalación maliciosos. El objetivo es comprometer silenciosamente sistemas Windows mientras las víctimas creen que están instalando un cliente FTP conocido y confiable.

El ataque incluye una copia legítima de FileZilla junto con un archivo DLL malicioso oculto, distribuido a través de un dominio falso creado para parecerse al sitio real de FileZilla.

Cuando un usuario descarga y ejecuta el paquete, la instalación normal procede sin problemas, mientras que el código malicioso oculto se ejecuta en segundo plano sin ninguna señal visible de infección.

Analistas de EST Security identificaron esta campaña tras analizar muestras de malware en su sistema de detección de amenazas, confirmándola como una operación activa y coordinada dirigida por un actor de amenazas específico.

Durante la investigación, se confirmaron dos formatos distintos de distribución. En el primero, FileZilla 3.69.5 Portable se distribuía dentro de un archivo comprimido que contenía una DLL maliciosa llamada version.dll.

Cuando el usuario extrae y ejecuta el archivo ejecutable de FileZilla, Windows carga la DLL maliciosa antes que cualquier biblioteca legítima, una técnica conocida como DLL sideloading que explota el orden de carga predeterminado de DLL en Windows.

En la segunda variante, el atacante empaquetó tanto el instalador real de FileZilla como la DLL maliciosa en un único archivo ejecutable.

Durante la instalación, la DLL se coloca silenciosamente en el directorio y se carga cada vez que FileZilla se inicia. La carga útil final es un Troyano de Acceso Remoto completamente funcional.

Una vez activo en el sistema de la víctima, permite a los atacantes robar credenciales almacenadas en navegadores web, registrar cada pulsación de teclado, capturar capturas de pantalla en tiempo real del escritorio y controlar la máquina a través de una sesión de escritorio virtual oculta usando HVNC (Hidden Virtual Network Computing).

Esta función de escritorio oculto permite a los atacantes descargar más malware y navegar por sistemas internos sin que aparezca ninguna actividad sospechosa en la pantalla de la víctima.

Esta campaña es especialmente alarmante porque no explota ninguna vulnerabilidad de software. Se basa por completo en la ingeniería social: convencer a los usuarios de que ejecuten lo que parece ser una descarga normal de software.

Esto hace que la gestión tradicional de parches sea inútil contra la amenaza, dejando la concienciación del usuario y los hábitos seguros de descarga como la principal defensa.

Arquitectura de cargador multi-etapa y evasión de C2

Una vez cargada la DLL maliciosa, no entrega la carga útil del RAT de inmediato. En su lugar, lanza una cadena de cuatro etapas de cargadores secuenciales, donde cada etapa descifra y ejecuta la siguiente completamente en la memoria del sistema, sin escribir ningún archivo sospechoso en el disco.

Este diseño en capas dificulta que las herramientas de seguridad detecten la carga útil final, ya que cada etapa existe solo brevemente en la memoria y deja casi ningún rastro en el sistema de archivos.

Para la comunicación de comando y control, el malware utiliza DNS sobre HTTPS, enviando solicitudes HTTPS cifradas al resolvedor público de Cloudflare en 1.1.1.1 para buscar el dominio C2 welcome.supp0v3.com.

Esto oculta la búsqueda DNS maliciosa dentro del tráfico HTTPS normal, eludiendo los filtros de puerto 53 y las herramientas de monitoreo DNS en las que confían los equipos de seguridad.

El análisis de los datos JSON del C2 también reveló parámetros de seguimiento estilo UTM, lo que muestra que el atacante está rastreando sistemáticamente las fuentes de infección y gestionando grupos de víctimas.

Antes de desplegar su carga útil, el malware escanea el host infectado en busca de indicadores de máquinas virtuales y entornos de sandbox.

Verifica detalles del fabricante de la BIOS, procesos activos, controladores cargados y valores del registro frente a una lista integrada de firmas conocidas de entornos virtuales.

Cuando se detectan marcadores de sandbox, la carga útil se retiene, evitando que el malware sea examinado en un entorno controlado.

Siempre debes descargar software directamente desde los sitios web oficiales del proyecto y evitar portales de terceros o enlaces de descarga desconocidos.

Los equipos de seguridad deben monitorear el tráfico HTTPS dirigido a resolvedores DNS públicos y desplegar herramientas de detección de endpoints basadas en comportamiento para identificar actividad de cargadores en memoria que eluda el escaneo de seguridad basado en archivos.

IoCs (Indicadores de Compromiso)