Un nuevo Troyano de Acceso Remoto conocido como DesckVB ha estado atacando sistemas en 2026, utilizando JavaScript ofuscado y un cargador .NET sin archivos para permanecer oculto de las herramientas de seguridad tradicionales. El malware otorga a los atacantes control remoto total sobre la máquina de la víctima, convirtiéndolo en una grave amenaza tanto para individuos como para organizaciones.

Un nuevo Troyano de Acceso Remoto (RAT) conocido como DesckVB ha estado atacando sistemas en 2026, utilizando JavaScript ofuscado y un cargador .NET sin archivos para permanecer oculto de las herramientas de seguridad tradicionales.

El malware otorga a los atacantes control remoto completo sobre la máquina de una víctima, convirtiéndolo en una amenaza grave tanto para individuos como para organizaciones.

El RAT DesckVB inicia su cadena de infección con un archivo JavaScript altamente ofuscado que, una vez ejecutado, deposita silenciosamente un script de PowerShell en el directorio C:\Users\Public del sistema objetivo.

El JavaScript replica su código en archivos de PowerShell y texto, dando al malware múltiples formas de ejecutarse. Lo que hace que esta amenaza sea particularmente peligrosa es que evita escribir la mayoría de sus componentes principales en el disco, lo que dificulta su detección por parte de las herramientas antivirus convencionales.

Analistas de Point Wild del Equipo de Inteligencia de Amenazas LAT61 identificaron y examinaron el RAT DesckVB en detalle, descubriendo cómo utiliza capas de ofuscación para ocultar su verdadero propósito en cada etapa de ejecución.

Su investigación reveló que el malware combina codificación Base64 con inversión de cadenas de URL para ocultar las direcciones de sus servidores de comando y control (C2), una táctica diseñada para engañar a las herramientas de escaneo automatizadas.

La estructura general del malware sugiere que fue construido con un claro entendimiento de cómo funcionan las defensas de seguridad modernas.

Una vez desplegado por completo, DesckVB RAT carga un ensamblado .NET directamente en la memoria utilizando técnicas de reflexión de .NET, evitando la necesidad de dejar archivos en el disco duro.

Este método de ejecución en memoria permite que el malware ejecute sus rutinas dañinas sin activar muchos sistemas de detección basados en archivos.

En tiempo de ejecución, el malware activa varias capacidades dañinas, incluyendo keylogging, acceso a la cámara web, evasión de detección de antivirus y comunicación cifrada con su servidor C2.

El impacto general del RAT DesckVB es amplio y preocupante. Los atacantes que lo despliegan pueden robar información sensible, monitorear la actividad del usuario en tiempo real y mantener acceso a largo plazo a un sistema comprometido sin levantar alarmas inmediatas.

Su uso de tráfico HTTPS cifrado a través del puerto 443 le permite mezclarse con la actividad normal de Internet, haciendo que la detección a nivel de red sea igual de difícil.

La Cadena de Infección sin Archivos

El aspecto más notable del RAT DesckVB es cómo avanza a través de sus etapas de infección sin depender de la caída de archivos tradicionales. El flujo del malware comienza con el archivo JavaScript, actuando como el primer punto de entrada.

Este archivo está altamente ofuscado y deposita un archivo de PowerShell directamente en C:\Users\Public, manteniendo sus actividades en carpetas del sistema comúnmente pasadas por alto.

El script de PowerShell primero verifica la conectividad a Internet haciendo ping a Google, luego intenta conectarse a un dominio externo malicioso. El dominio C2 está oculto utilizando codificación Base64 combinada con inversión de cadenas.

El malware utiliza la herramienta legítima de Windows InstallUtil.exe para ejecutar su carga útil —una técnica conocida para eludir las políticas de control de aplicaciones—.

A partir de ahí, el script carga ClassLibrary3.dll directamente en memoria e invoca el método ofuscado prFVI, que luego carga ClassLibrary1.dll.

El método Execute dentro de este cargador utiliza CreateProcessA para generar un nuevo proceso en estado suspendido antes de inyectar la carga maliciosa.

Este enfoque de inyección de procesos permite que el malware se oculte dentro de procesos confiables y evite llamar la atención.

La carga final, Microsoft.exe, lleva matrices de cadenas codificadas que contienen una configuración de tiempo de ejecución oculta. Una vez activo, deposita Keylogger.dll directamente en memoria e inicia la comunicación C2 a través de manikandan83.mysynology.net en el puerto 7535, resolviendo a la IP 45.156.87.226.

Capturas de red confirman que el malware transmite los nombres de sus módulos y su actividad interna a su servidor remoto.

Los equipos de seguridad deben estar atentos a la ejecución inusual de PowerShell, el uso inesperado de InstallUtil.exe y conexiones salientes a dominios o IPs desconocidos.

Bloquear la ejecución de scripts desde C:\Users\Public y habilitar el registro detallado de scripts de PowerShell son pasos prácticos para detectar esta amenaza a tiempo.

Mantener actualizado el software de protección de endpoints también sigue siendo una defensa crítica, ya que las herramientas de detección ya han demostrado la capacidad de marcar componentes clave de este malware.