AtlasRAT se está distribuyendo a través de un instalador falso de Flash Player que parece inofensivo, pero que puede dar a los atacantes el control remoto de un ordenador con Windows.

La campaña abusa de un nombre de software familiar para que bajes la guardia, y luego carga gran parte de su código malicioso directamente en la memoria, donde es más difícil que los controles tradicionales basados en archivos lo detecten.

Esta amenaza pone de relieve cómo las marcas de software antiguas siguen ayudando a los criminales a engañarte para que ejecutes archivos dañinos.

Campañas similares de instaladores de software falsos han demostrado que los atacantes continúan disfrazando el malware como aplicaciones, actualizaciones y descargas confiables porque la táctica sigue siendo efectiva.

Analistas de ASEC identificaron el malware como AtlasRAT, una herramienta de acceso remoto para Windows que utiliza una cadena de carga de cuatro etapas que comienza con una aplicación Delphi disfrazada de AGE Flash Player.

ASEC señaló en un informe que el malware puede comunicarse con sus operadores a través de conexiones cifradas, ejecutar módulos adicionales, capturar pulsaciones de teclado e inyectar código en procesos de WeChat.

El impacto de una infección exitosa puede extenderse mucho más allá de la descarga inicial. AtlasRAT le da a un operador un punto de apoyo para inspeccionar el sistema, obtener y ejecutar más archivos, identificar procesos activos y, potencialmente, mantener el acceso después de que reinicies el dispositivo.

Instalador falso de Flash Player utiliza un certificado con temática de Microsoft

La infección comienza con FlashPlay.Exe, un programa diseñado para parecerse a un instalador de Flash Player.

En lugar de instalar software legítimo, actúa como un cargador que reconstruye piezas de código cifradas y prepara un descargador para recuperar la siguiente etapa desde la infraestructura controlada por el atacante.

Ese descargador se mapea manualmente en la memoria y llama a ServiceRun, lo que finalmente conduce a la carga final de MainDll.Dll.

Este enfoque reduce los rastros visibles que normalmente deja una instalación convencional y ayuda a los operadores a mantener la cadena flexible mientras actualizan los componentes.

La carga final contiene un certificado autofirmado que lleva el nombre CN=update.Microsoft.Com, dándole a su conexión cifrada una apariencia temática de Microsoft.

No es evidencia de un certificado emitido por Microsoft, pero puede hacer que el tráfico o los artefactos sospechosos parezcan menos alarmantes durante una revisión rápida.

AtlasRAT utiliza cifrado TLS y ChaCha20 para el tráfico de comando y control, mientras que sus complementos amplían lo que un operador puede hacer en un sistema comprometido.

Si rastreas las recientes campañas de phishing de Atlas RAT, podrás ver cómo la familia de malware también ha aparecido en otras operaciones de entrega mediante ingeniería social.

Persistencia y oportunidades de detección

Un complemento de AtlasRAT, Persistence86.Dll, está diseñado para ayudar al malware a sobrevivir más allá de la primera infección.

ASEC observó funciones que pueden manipular la base de datos del Servicio de Transferencia Inteligente de Fondo de Windows, utilizar NTUSER.MAN para la persistencia del inicio de sesión e intentar eludir el Control de Cuentas de Usuario mediante el secuestro del registro y CMSTPLUA.

El malware también puede iniciar o detener el registro de teclas fuera de línea, descargar y ejecutar archivos, verificar si hay procesos nombrados presentes e inyectar una DLL en WeChat.Exe.

Estas funciones podrían ayudar a un atacante a recopilar información, preparar actividades posteriores o esconderse dentro de un proceso que puede parecer normal para ti.

ASEC no emitió una lista de mitigación específica, pero los defensores pueden buscar la infraestructura observada, las huellas digitales de los certificados, los hashes de archivos y el comportamiento inusual del cargador.

Las comprobaciones útiles incluyen DLLs de 32 bits que exportan ServiceRun, el marcador By@V< junto con las cadenas de saludo identificadas, y la creación de hilos remotos utilizando LoadLibraryW contra WeChat.

Las organizaciones también deben tratar los instaladores de software inesperados como una señal de advertencia, especialmente cuando llegan a través de enlaces o descargas no confiables.

La actividad previa de kits de herramientas de ingeniería social muestra por qué deberías verificar las fuentes de descarga antes de abrir instaladores e informar rápidamente sobre archivos sospechosos.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.