El grupo Lazarus, vinculado a Corea del Norte, utiliza el malware RemotePE para atacar organizaciones financieras y de criptomonedas. Este troyano de acceso remoto se ejecuta totalmente en memoria para evadir detecciones y no dejar rastros en el disco. El ataque comienza con ingeniería social en Telegram y busca mantener un acceso sigiloso a largo plazo para ejecutar robos de datos o financieros.




Investigadores de ciberseguridad han revelado un malware multiplataforma llamado RemotePE que ha sido utilizado por el Grupo Lazarus, vinculado a Corea del Norte, en ataques dirigidos a organizaciones financieras y de criptomonedas.

RemotePE, según Fox-IT (filial de NCC Group), forma parte de una cadena de ataque de múltiples etapas que involucra dos cargadores rastreados como DPAPILoader y RemotePELoader.

"DPAPILoader descifra y carga RemotePELoader desde el disco utilizando la API de Protección de Datos de Windows (DPAPI https://learn.microsoft.com/en-us/dotnet/standard/security/how-to-use-data-protection)", afirmaron los investigadores de seguridad Yun Zheng Hu y Mick Koomen https://blog.fox-it.com/2026/05/22/remotepe-the-lazarus-rat-that-lives-in-memory/. "RemotePELoader se comunica con un servidor C2 y espera hasta recibir la siguiente etapa: RemotePE, un RAT ejecutado enteramente en memoria y que nunca se escribe en el disco, sin dejar artefactos en el sistema de archivos".

RemotePE fue destacado por primera vez por el proveedor de seguridad en septiembre de 2025 en relación con un ataque dirigido a una organización no identificada en el sector de las finanzas descentralizadas (DeFi), lo que llevó al despliegue de tres familias de malware, incluidas PondRAT, ThemeForestRAT y RemotePE.

La intrusión comenzó con el compromiso del dispositivo de un empleado mediante ingeniería social, después de haber contactado a la víctima en Telegram haciéndose pasar por un empleado actual de una empresa de trading y programando una reunión en dominios falsos de Calendly y Picktime.

La secuencia de infección de RemotePE pasa por tres etapas, donde la DLL DPAPILoader ("Iassvc.dll") es la responsable de descifrar y cargar un payload cifrado desde el disco usando DPAPI. El artefacto DPAPILoader más antiguo data de noviembre de 2023.

El payload descifrado es otro cargador, RemotePELoader, diseñado para contactar con un servidor remoto ("aes-secure[.]net") a través de HTTP, obtener el módulo central y ejecutarlo en memoria, pero no antes de tomar medidas para evadir la detección utilizando técnicas como Hell's Gate https://redops.at/en/blog/exploring-hells-gate y el parcheo de Event Tracing for Windows (ETW https://learn.microsoft.com/en-us/windows-hardware/test/wpt/event-tracing-for-windows).

La etapa final

La etapa final es un troyano de acceso remoto completo llamado RemotePE, escrito en C++, que consulta un servidor de comando y control (C2) para obtener más instrucciones. El malware admite seis categorías de comandos, que te permiten:

* Obtener o modificar la configuración del C2
* Obtener o cambiar el directorio de trabajo actual, registrar un nuevo módulo DLL, obtener DLLs cargadas y descargar una DLL
* Realizar operaciones de archivos
* Obtener una lista de procesos en ejecución, crear un nuevo proceso o matar un proceso por ID
* Dormir durante un intervalo predeterminado o salir de RemotePE
* Hacer ping al servidor

Un aspecto notable del comando de eliminación de archivos es que sobrescribe cada archivo con bytes constantes siete veces antes de renombrarlo y eliminarlo, un patrón también observado en PondRAT y POOLRAT (también conocido como SIMPLESEA). Se estima que PondRAT es una versión ligera de POOLRAT.

Fox-IT afirmó que obtuvo cuatro muestras de RemotePE que indican que el RAT estuvo bajo desarrollo activo entre mediados de 2023 y mediados de 2024. La primera versión tiene una marca de tiempo del 4 de julio de 2023.

"El cifrado basado en el entorno del conjunto de herramientas, la ejecución solo en memoria, la evasión de EDR y la baja huella forense sugieren que está diseñado específicamente para campañas de observación a largo plazo", dijeron los investigadores. "Esto permite al actor mantener el acceso discretamente durante un período prolongado antes de pasar a un objetivo final de alto impacto, como el robo de datos o un atraco financiero a gran escala, coherente con el historial conocido de este actor".

"El modelo de entrega con el actor en el ciclo y la baja tasa de detección del conjunto de herramientas (ni RemotePELoader ni RemotePE aparecieron en VirusTotal antes de esta publicación) sugieren que este conjunto de herramientas puede estar reservado para objetivos de alto valor donde el acceso sigiloso a largo plazo es el objetivo, lo cual es coherente con el enfoque conocido de este subgrupo de Lazarus en organizaciones financieras y de criptomonedas".

Fuente:
THN