Una sofisticada campaña de malware está atacando a usuarios coreanos mediante una cadena de engaños. Los atacantes utilizan archivos de acceso directo (LNK) aparentemente inocuos, herramientas integradas de Windows y un payload de Python compilado para instalar el troyano de acceso remoto NarwhalRAT. Esta operación destaca por su capacidad para mimetizarse con la actividad normal del sistema, dificultando su detección.

Una sofisticada campaña de malware está atacando silenciosamente a usuarios coreanos a través de una cadena de engaños muy bien elaborada.

Los actores de amenazas están utilizando archivos de acceso directo con apariencia inocente, herramientas integradas de Windows y una carga útil de Python compilada para plantar un troyano de acceso remoto llamado NarwhalRAT en las máquinas de las víctimas. El ataque destaca por la forma tan astuta en que se mezcla con la actividad normal del sistema, lo que hace que sea difícil de detectar.

La infección comienza con un correo electrónico de spear phishing que finge ser una alerta de seguridad urgente del "Equipo de Cuentas de Microsoft".

El mensaje advierte al destinatario sobre una actividad sospechosa de contraseñas temporales y le indica que abra un documento informativo adjunto. En realidad, el adjunto es un archivo ZIP que oculta un archivo de acceso directo LNK malicioso, no un documento real.

Analistas del Centro de Seguridad de Genians dijeron en un informe que esta amenaza guarda fuertes similitudes con una campaña de puertas traseras basada en Python documentada en mayo de 2026.

Los investigadores nombraron al malware NarwhalRAT, basándose en la cadena "naverwhale" encontrada dentro de su código, lo que creen que es un intento de hacerse pasar por Naver Whale, un navegador popular en Corea del Sur.

El malware se dirige principalmente a usuarios coreanos, y su estructura de comportamiento lo confirma. NarwhalRAT utiliza "naverwhale" como nombre de su directorio de trabajo y asigna atributos de archivo "Oculto" y "Sistema" a la carpeta creada para permanecer fuera de la vista.

También gestiona los identificadores de ventana relacionados con KakaoTalk por separado durante la recopilación de datos, lo que apunta fuertemente a que el objetivo sea Corea del Sur.

El actor de la amenaza operó una estructura dual de comando y control (C2) utilizando un servidor de retransmisión coreano junto con la API de pCloud como un Dead-drop Resolver. Esto permite al atacante cambiar la dirección real del C2 sin tocar el malware y ayuda a que el tráfico se mezcle con la actividad web normal, dificultando la detección.

Ataque del Cargador NarwhalRAT

Cuando una víctima hace clic en el archivo LNK malicioso, comienza inmediatamente una cadena de infección por capas. El archivo LNK utiliza la sustitución de subcadenas de variables de entorno de CMD para ocultar los comandos reales, reconstruyendo dinámicamente cadenas como "powershell" y "curl.exe" en tiempo de ejecución para evadir la detección estática.

Tras la desofuscación, el archivo LNK lanza PowerShell con la política de ejecución omitida y utiliza una copia de curl.exe para descargar dos archivos desde el servidor de retransmisión.

El primero es un documento HWP señuelo que se abre para que la víctima no sospeche, mientras que el segundo es un script por lotes llamado KHjWFcuS.bat que realiza la instalación de la siguiente etapa en una ventana oculta.

Esta técnica de abusar de las herramientas integradas se clasifica como Living-off-the-Land. El archivo por lotes descarga el paquete embebido oficial de Python para que la actividad parezca una instalación de software normal.

Cambia el nombre de Pythonw.exe a usersscreen.exe para suprimir cualquier ventana de consola. La carga útil final, config.cat, está disfrazada con una extensión .cat para parecer un catálogo de seguridad de Windows, aunque en realidad es código Python compilado que actúa como un cargador de puerta trasera.

Para lograr la persistencia, el malware registra una tarea programada llamada "MicrosoftUserInterfacePicturesUpdateTackMachine" que se ejecuta en intervalos de un minuto. Este nombre imita una tarea legítima de Microsoft, lo que dificulta que los administradores la detecten durante una inspección.

Un archivo posterior, AccountConfig.cat, contiene más de 33,000 líneas de código ofuscado con una carga útil embebida codificada en Base64.

Capacidades de NarwhalRAT y Comunicación C2

Una vez que la carga útil se ejecuta en la memoria mediante ejecución sin archivos (fileless), NarwhalRAT se revela como un Troyano de Acceso Remoto completo. Primero comprueba si existen entornos de máquinas virtuales, incluyendo VMware, VirtualBox y Parallels Desktop, para evitar el análisis en sandbox, una táctica típica del malware de nivel APT.

El RAT opera un sistema de comandos basado en más de 30 prefijos, lo que otorga al atacante control remoto sobre la captura de pantalla, registro de pulsaciones de teclas (keylogging), grabación de micrófono, carga y descarga de archivos, recolección de USB, ejecución de comandos remotos y cambios en la configuración del C2.

Los datos de las pulsaciones de teclas se almacenan temporalmente antes de ser transmitidos en lotes, reduciendo las posibilidades de detección en tiempo real.

Desde la perspectiva del C2, NarwhalRAT se conecta a sitios de retransmisión coreanos como daehoat[.]com y novel21[.]co[.]kr, mientras que también utiliza pCloud como canal secundario de Dead-drop Resolver. Los investigadores señalaron que las políticas de EDR deben reforzarse para detectar el abuso encadenado basado en LNK y PowerShell.

Los equipos de seguridad deberían aplicar reglas de comportamiento que marquen la creación inusual de tareas programadas, el uso inesperado de curl.exe y los procesos de Python que se ejecuten sin una ventana de consola visible.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (ej. [.]) para evitar la resolución accidental o la creación de hipervínculos. Solo actívalos dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.