Un kit de acceso remoto vinculado a Rusia, recientemente revelado y llamado “CTRL”, está siendo utilizado para secuestrar sesiones del Protocolo de Escritorio Remoto (RDP) y robar credenciales de sistemas Windows. Según Censys ARC, el malware es un marco personalizado de .NET que combina phishing, keylogging, túneles inversos y persistencia en una sola cadena de ataque. 

Un kit de acceso remoto recientemente descubierto, vinculado a Rusia y llamado “CTRL”, está siendo utilizado para secuestrar sesiones del Protocolo de Escritorio Remoto (RDP) y robar credenciales de sistemas Windows.

Según Censys ARC, el malware es un framework personalizado en .NET que combina phishing, keylogging, tunneling inverso y persistencia en una sola cadena de ataque.

Censys ARC informó que el kit de herramientas fue descubierto durante un escaneo de directorios abiertos, después de que los investigadores encontraran un archivo LNK malicioso y tres payloads en .NET alojados en el dominio hui228[.]ru.

Según Censys, el framework no había aparecido en repositorios públicos de malware ni en fuentes importantes de inteligencia de amenazas en el momento del análisis, lo que sugiere que podría estar siendo utilizado de forma privada en lugar de distribuirse ampliamente.

Kit de Acceso Remoto “CTRL”

Los investigadores vincularon la operación a un desarrollador de habla rusa, basándose en cadenas de texto en ruso, artefactos de desarrollo e infraestructura de soporte.

Censys ARC también observó que el kit de herramientas fue diseñado para sistemas Windows modernos, incluyendo versiones recientes, lo que demuestra que el malware está en desarrollo activo.

El ataque comienza con un archivo de acceso directo (LNK) armado, disfrazado como una carpeta que simula ser un archivo de clave privada.

Según Censys, el archivo LNK ejecuta código PowerShell oculto que decodifica y ejecuta un cargador de múltiples etapas completamente en memoria.

Censys ARC descubrió que el malware almacena los payloads dentro de claves del registro de Windows bajo rutas relacionadas con Explorer, lo que les permite mezclarse con datos normales del sistema.

El cargador inicial crea tareas programadas, añade reglas de firewall, descarga componentes adicionales y prepara el sistema para un acceso a largo plazo.

El informe también señala que el malware puede eludir el Control de Cuentas de Usuario (UAC) mediante un secuestro del registro y un binario de Microsoft firmado. Una vez elevado, instala el resto del kit de herramientas y mantiene el acceso incluso después de reinicios.

Secuestro de RDP y Robo de Credenciales

Una de las partes más peligrosas de CTRL es su capacidad para habilitar acceso RDP oculto. Según el informe de Censys ARC, el malware parchea termsrv.dll e instala RDP Wrapper, permitiendo a los atacantes crear sesiones de escritorio remoto concurrentes sin alertar a la víctima.

El kit de herramientas también incluye un falso mensaje de PIN de Windows Hello. Los investigadores de Censys señalaron que la ventana de phishing imita casi a la perfección la interfaz real de Windows, muestra los detalles reales de la cuenta de la víctima y valida los PIN robados contra el proceso de autenticación real.

Además, el malware ejecuta un keylogger en segundo plano y soporta la ejecución de comandos a través de una tubería nombrada llamada ctrlPipe.

Según Censys, esto permite al operador controlar la máquina infectada localmente a través de la sesión RDP comprometida, en lugar de usar un canal de comando y control tradicional y ruidoso.

Para reducir la visibilidad en la red, CTRL utiliza Fast Reverse Proxy (FRP) para establecer túneles inversos hacia infraestructura controlada por los operadores.

Censys ARC informó que el malware utilizó infraestructura vinculada a las IPs 194.33.61.36 y 109.107.168.18, así como al dominio hui228[.]ru.

Este diseño ayuda al atacante a evitar patrones clásicos de beaconing, comunes en troyanos de acceso remoto comerciales.

Según Censys, el operador puede moverse a través de RDP tunelizado y acceso por shell dejando menos rastros evidentes en la red.

Indicadores de Compromiso

La IP 194.33.61.36 se utiliza para alojar payloads y como servidor de retransmisión FRP. La IP 109.107.168.18 actúa como un segundo relay FRP en el puerto 7000.

El dominio hui228[.]ru se emplea para comando y control mediante DNS dinámico.

Se crea una entrada maliciosa en el registro en HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\, almacenando el payload como ShellStateVersion1.

El archivo C:\Temp\keylog.txt se usa para guardar las pulsaciones de teclas capturadas. El archivo C:\ProgramData\frp\frpc.toml contiene la configuración oculta de FRP y tokens de C2.

Una tubería nombrada llamada ctrlPipe se emplea para la comunicación local de comando y control. Censys ARC recomienda monitorear datos binarios inusuales escritos en claves del registro de Explorer, tareas programadas inesperadas, instalación de RDP Wrapper y cuentas ocultas con privilegios de administrador.

Los defensores también deben vigilar el tráfico saliente de FRP y sistemas que realicen conexiones sospechosas a la infraestructura mencionada.