Una nueva campaña de DCRat está utilizando archivos de imagen SVG para ocultar archivos maliciosos. El ataque comienza con correos de phishing que fingen ser notificaciones legales, instando a los usuarios a abrir un archivo adjunto que parece inofensivo, pero que en realidad contiene malware mediante una técnica conocida como HTML smuggling.

Una nueva campaña de DCRat está utilizando un formato de imagen familiar para ocultar un peligroso archivo de malware. La operación comienza con correos electrónicos de phishing que se hacen pasar por notificaciones legales e instan a los destinatarios a abrir un archivo SVG adjunto.

El adjunto parece inofensivo porque los archivos SVG se utilizan comúnmente para gráficos. En este caso, sin embargo, el archivo contiene código oculto que construye y descarga un archivo protegido por contraseña directamente dentro del navegador de la víctima.

Analistas de Trellix identificaron la campaña tras investigar una escalada de un cliente a principios de 2026.

Los investigadores descubrieron que los atacantes combinaron ingeniería social, código de navegador oculto, DLL sideloading y process hollowing para colocar DCRat dentro de un proceso confiable de Windows.

Los métodos de distribución del malware DCRat también han mostrado cómo los atacantes continúan adaptando esta herramienta de acceso remoto para diferentes canales de entrega.

Trellix dijo en un informe que el DCRat, también conocido como DarkCrystal RAT, otorga a los operadores acceso remoto a los sistemas infectados.

Ese acceso puede utilizarse para ejecutar comandos, recopilar datos, mantener el control y comunicarse con un servidor de comando y control.

La campaña resalta cómo archivos aparentemente ordinarios pueden convertirse en el primer paso de un compromiso mucho mayor.

La campaña de DCRat oculta un archivo de malware

El señuelo de phishing suplanta una notificación judicial colombiana titulada “Resolución Denuncia Jurídica”.

Cuando abres el archivo SVG adjunto, este muestra un portal falso de consulta ciudadana diseñado para que el mensaje parezca oficial.

Al hacer clic en la página, se te redirige a otra pantalla que afirma que la descarga de un archivo se ha completado.

La página proporciona la contraseña “1601”, animándote a abrir el archivo y reduciendo las sospechas mediante un proceso estructurado y creíble.

Detrás del contenido visual, el SVG incluye JavaScript codificado doblemente en Base64.

El script decodifica su contenido y utiliza una función Blob del navegador para reconstruir un archivo en la memoria antes de guardarlo como DOC-16-ENE-2026 RESOLUCION DENUNCIA JURIDICA.7z.

Este método se conoce como HTML smuggling (contrabando de HTML). Permite a los criminales ocultar una descarga maliciosa dentro de un archivo que las herramientas de seguridad del correo electrónico pueden tratar como una imagen, en lugar de como un ejecutable o script.

Tácticas de entrega similares de HTML smuggling se han utilizado para construir contenido dañino localmente después de que la víctima abre un archivo adjunto.

La táctica es importante porque traslada parte del ataque al navegador. Las herramientas de seguridad que inspeccionan un correo entrante pueden ver solo un archivo SVG adjunto, mientras que el archivo malicioso se ensambla después de que tú interactúes con él.

Los archivos SVG pueden contener contenido web activo a pesar de presentarse como gráficos.

Campañas recientes de archivos SVG convertidos en armas ilustran por qué las organizaciones deberían tratar los adjuntos de imágenes inesperados con la misma precaución que los archivos HTML, los archivos comprimidos y las descargas ejecutables.

El DLL Sideloading enmascara a DCRat

El archivo descargado contiene un ejecutable señuelo y varios archivos DLL diseñados para parecer componentes de compresión Brotli.

El ejecutable principal carga libbrotlidec.dll y libbrotlienc.dll, permitiendo a los atacantes explotar el comportamiento de búsqueda de DLL de Windows.

Cuando lanzas el programa señuelo, el sistema operativo carga las librerías proporcionadas por el atacante desde la misma carpeta.

Esta técnica de DLL sideloading hace que la actividad maliciosa parezca conectada a una aplicación normal y puede dificultar la detección temprana.

El cargador crea una carpeta en el directorio del usuario, copia archivos en ella y establece la persistencia a través de una entrada de ejecución (Run) en el Registro de Windows.

Luego, desencripta su carga útil de siguiente etapa en la memoria, reduciendo la cantidad de material claramente malicioso escrito en el disco.

La carga útil inicia AddInProcess32.exe en estado suspendido, reemplaza su memoria original con código malicioso y reanuda el proceso.

Este método de process hollowing permite que DCRat se ejecute bajo el nombre de un componente legítimo de Windows mientras mantiene las capacidades de control remoto.

La carga útil final de DCRat utiliza comunicación cifrada, comprobaciones anti-análisis, controles de persistencia e intentos repetidos de conexión a su infraestructura de comando y control.

Los investigadores notaron que el servidor identificado no estaba disponible durante el análisis, pero el malware continuaba intentando reconectarse.

Las organizaciones deben reforzar el filtrado de adjuntos SVG y HTML, inspeccionar descargas de archivos inesperadas y monitorear la carga anormal de DLL y la creación de procesos.

Los equipos también deberían correlacionar el comportamiento del endpoint con la actividad de la red, validar la integridad de los archivos, buscar entradas sospechosas en el Registro de ejecución y mantener la higiene de los parches.

La capacitación en concienciación sigue siendo importante porque esta cadena todavía depende de que una persona abra el adjunto y ejecute el archivo extraído.

Indicadores de compromiso (IoCs):-

Tipo	Indicador	Descripción
Hash de email	F205AB7E6AEFC10B9833D1A9A91BAD02	ENVIO DE RESOLUCION DENUNCIA JUDICIAL RA-093-7397.eml
Hash SVG	A3A471F1C7A605DD34AF49EF075E1251	DOC-16-ENE-2026 RESOLUCION DENUNCIA JURIDICA.svg
Hash 7Zip	13df3e065c421436bf0ac6fed3f9bb7f	DOC-16-ENE-2026 RESOLUCION DENUNCIA JURIDICA.7z
Hash DLL	d4bb45d3aef7a9161df4cadaeeba6a39	libbrotlienc.dll
Hash PE	Acef69c68b8c3d3c3e1e53196a26ca60	Client.exe Carga útil de DCRat
Dirección IP	158[.]94[.]208[.]109	Servidor de comando y control

Nota: Las direcciones IP y los dominios han sido desactivados intencionalmente (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/dcrat-campaign/