Un nuevo malware basado en Python, conocido como DEEP#DOOR, ha surgido como una grave amenaza para los usuarios de Windows, combinando una puerta trasera completamente funcional con un potente motor de robo de credenciales. Lo que hace que esta amenaza sea especialmente preocupante es su capacidad para operar de manera sigilosa, incrustándose profundamente en un sistema comprometido mientras recopila datos sensibles de múltiples fuentes al mismo tiempo. 

Un malware basado en Python recientemente identificado, conocido como DEEP#DOOR, ha surgido como una amenaza grave para los usuarios de Windows, combinando una puerta trasera (backdoor) completa con un potente motor de robo de credenciales.

Lo que hace que esta amenaza sea especialmente preocupante es lo silenciosamente que opera, incrustándose profundamente dentro de un sistema comprometido mientras recopila datos sensibles de múltiples fuentes a la vez.

El malware entra en el sistema objetivo a través de un script de procesamiento por lotes (batch) ofuscado, normalmente llamado “finallyJob.bat”, que actúa como el detonador de ejecución inicial.

En lugar de depender de descargas de carga útil externas, DEEP#DOOR utiliza un enfoque autónomo, incrustando la puerta trasera completa de Python directamente dentro del propio archivo batch.

Este diseño reduce drásticamente las posibilidades de que las herramientas de detección basadas en red capturen la amenaza antes de que se establezca.

La infección comienza en el momento en que un usuario abre lo que parece ser un archivo batch rutinario en una máquina Windows.

Los analistas de investigación de amenazas de Securonix identificaron y analizaron este marco de puerta trasera basado en Python, apodado DEEP#DOOR, que opera como un cargador batch ofuscado diseñado para desplegar un implante de persistencia y robo de credenciales en sistemas Windows.

Los investigadores señalaron que la cadena de infección comienza con la ejecución de un script batch que extrae y ejecuta dinámicamente una carga útil de Herramienta de Acceso Remoto (RAT) de Python incrustada (c.py), y establece la persistencia a través de scripts en la carpeta de Inicio, claves de ejecución del Registro, Tareas Programadas y suscripciones WMI opcionales.

Una vez activo, el malware establece comunicación con la infraestructura controlada por el atacante a través de un servicio de túnel TCP disponible públicamente, lo que permite a los operadores remotos interactuar a través de puertos dedicados.

La puerta trasera permite entonces la ejecución completa de comandos remotos y capacidades de vigilancia, incluyendo registro de teclas (keylogging), captura de fotos de la cámara web, grabación de micrófono, captura de pantalla y recolección de credenciales.

Antes de desplegar la puerta trasera de Python, DEEP#DOOR también evade las defensas en tiempo de ejecución desactivando SmartScreen, parcheando AMSI y ETW, borrando los registros de eventos y utilizando la técnica de timestamp stomping para ocultar su actividad.

El malware incorpora además la detección de sandbox, desenganche (unhooking), manipulación de Windows Defender y eliminación de líneas de comando.

El implante resultante funciona como una Herramienta de Acceso Remoto completa capaz de mantener persistencia a largo plazo, movimiento lateral y post-explotación dentro de entornos comprometidos. Esta combinación de evasión y control remoto hace que DEEP#DOOR sea excepcionalmente difícil de detectar una vez que se ha instalado en una red.

Cómo DEEP#DOOR roba tus credenciales

La capacidad más dañina de DEEP#DOOR es su amplio motor de recolección de credenciales.

Se dirige metódicamente a las contraseñas almacenadas en el navegador, tokens de autenticación de la nube, credenciales de entorno sensibles y claves de acceso SSH, permitiendo el movimiento lateral y la vulneración de cuentas en toda la infraestructura objetivo.

El robador llama a las funciones get_chrome_cred() y get_edge_cred() para acceder a las bases de datos SQLite del navegador y extraer los datos de inicio de sesión almacenados.

Una función dedicada, get_ssh_key(), descubre y exfiltra claves privadas SSH utilizadas para el acceso a servidores remotos.

El malware también ejecuta get_cloud_cred() para buscar archivos de configuración y variables de entorno que contengan credenciales de AWS, Azure y GCP. Además, get_wifi_cred() escanea el Administrador de Credenciales de Windows y las ubicaciones relacionadas del registro para extraer contraseñas de Wi-Fi guardadas.

Esta recolección multivectorial significa que una sola infección puede exponer toda la superficie de acceso de una organización de un solo golpe. Una vez que estas credenciales están en manos del atacante, el reingreso a la red se vuelve trivial, incluso después de que el malware sea detectado y eliminado del host original.

Las organizaciones y los equipos de seguridad deben aplicar los siguientes pasos para reducir la exposición a DEEP#DOOR.

Evita abrir archivos batch desconocidos o adjuntos de scripts, especialmente aquellos recibidos a través de correo electrónico o enlaces compartidos. Supervisa la actividad inusual de PowerShell y cmd.exe combinada con comandos codificados en Base64.

Audita regularmente las claves de ejecución del Registro, las carpetas de Inicio y las Tareas Programadas en busca de entradas no autorizadas. Activa la protección contra manipulaciones de Windows Defender para evitar que el malware desactive las funciones de seguridad integradas.

Rota los tokens de autenticación de la nube y las claves SSH regularmente después de cualquier sospecha de compromiso. Despliega el monitoreo de red para detectar tráfico de túnel saliente sospechoso a través de puertos no estándar.

Investiga cualquier proceso que realice llamadas inesperadas a la cámara web, micrófono o captura de pantalla. Aísla los sistemas afectados rápidamente y realiza un análisis forense para identificar las rutas de movimiento lateral.

Debido a que DEEP#DOOR se basa en la ejecución de Python y scripts ofuscados en lugar de binarios compilados, las herramientas antivirus tradicionales pueden ofrecer una cobertura limitada.

El análisis de comportamiento y la detección de anomalías deberían servir como la capa de defensa principal para las organizaciones que buscan mantenerse protegidas contra amenazas evolutivas de esta naturaleza.