Se ha detectado una variante de SectopRAT oculta dentro de software legítimo de Windows que ha sido manipulado. Este malware permite a los atacantes tomar el control de computadoras infectadas y robar información sensible. La intrusión utilizó componentes genuinos de una aplicación de un desarrollador italiano para camuflarse, empleando archivos cifrados que ocultaban el código malicioso hasta su carga en la memoria.

Se ha encontrado una variante de SectopRAT oculta dentro de software de Windows manipulado, lo que permite a los atacantes controlar un ordenador infectado y robar información sensible.

La intrusión utilizó componentes de aplicaciones legítimas como cobertura, con archivos cifrados que ocultaban el malware hasta que este se cargaba en la memoria.

El programa afectado provenía de un desarrollador italiano conocido por una estación de trabajo de audio digital de larga trayectoria. Los atacantes modificaron sus archivos de soporte y organizaron la ejecución automática a través de una tarea programada.

La investigación no logró establecer cómo llegó el software alterado por primera vez al ordenador de la víctima. Investigadores del equipo de Respuesta a Incidentes de FortiGuard de Fortinet identificaron la variante mientras investigaban un dispositivo comprometido.

Fortinet indicó en un informe que el malware combinaba un cargador por etapas con amplias capacidades de control remoto y robo de información.

También conocido como ArechClient2, SectopRAT es una familia de malware ya existente en lugar de una amenaza recién descubierta. Anteriormente, campañas maliciosas de publicidad en buscadores lo han distribuido a través de descargas engañosas.

Esta investigación documenta otro método de ocultación, pero no establece una conexión con aquellas campañas ni cuantifica el alcance de las infecciones.

Fortinet descubre variante de SectopRAT

Los atacantes cambiaron una biblioteca de soporte legítima para que importara un componente malicioso adicional cuando se iniciaba el ejecutable de informes de la aplicación.

El Programador de Tareas de Windows lanzaba ese ejecutable automáticamente, dándole al software modificado una forma de activarse sin que tú tuvieras que interactuar repetidamente.

Los investigadores encontraron la carpeta de la aplicación alterada fuera de su ubicación de instalación normal. Crucialmente, Fortinet no encontró evidencia de que el desarrollador distribuyera software comprometido.

La evidencia disponible apunta a la manipulación de archivos legítimos, no a una brecha confirmada en la cadena de suministro de software del proveedor. El primer componente malicioso descifró código de ensamblado oculto en un archivo de base de datos.

Luego pasó ese código a través de otra biblioteca y abusó de una función de callback de Windows, que normalmente procesa información del sistema, para ejecutar en su lugar las instrucciones descifradas.

Ese código intermedio resolvió 187 funciones de Windows dinámicamente, ocultando sus nombres hasta el momento de la ejecución. Descifró el malware final desde un segundo archivo de base de datos, preparó el entorno de ejecución .NET e inició el payload de SectopRAT de 64 bits directamente en la memoria.

Técnicas comparables de carga de malware en memoria han aparecido en otras investigaciones, incluyendo Sauron Loader. En este caso, el cifrado, las llamadas indirectas y las múltiples etapas de carga hicieron que el payload operativo fuera menos obvio que un ejecutable malicioso independiente situado abiertamente en una carpeta de aplicación.

El payload también sustituyó nombres de código legibles por otros aleatorios y complicó su flujo de ejecución. Estos cambios añadieron obstáculos adicionales a un cargador que ya estaba diseñado para ocultar el programa final durante una inspección normal.

Las llamadas frecuentes a través de punteros de método dificultaron aún más la ingeniería inversa, haciendo que sea más difícil para los analistas seguir la lógica del malware e identificar sus funciones.

Control remoto

Una vez activo, SectopRAT descifró la dirección de su controlador a partir de recursos integrados e intentó una conexión. Si esto fallaba, contactaba con uno de 12 puntos finales de respaldo para recuperar una dirección alternativa a través de varios pasos de decodificación y descifrado.

Fortinet señaló que estos puntos finales parecían estar relacionados con la infraestructura de Binance Coin, pero no pudieron establecer si los atacantes los habían comprometido. Su uso como canales de respaldo no debe confundirse con la prueba de que sus operadores participaron en la intrusión.

Todo el tráfico entre el malware y su controlador estaba cifrado con AES. Los investigadores identificaron 29 comandos que permitían la captura de pantalla, acceso a shell remota, gestión de archivos y procesos, reinicios del ordenador y otras acciones administrativas que efectivamente ponían el dispositivo bajo control externo.

Un comando descargaba un módulo adicional de extracción de navegador. El malware recolectaba contraseñas guardadas, direcciones de sitios web asociados, registros de autocompletado, información de tarjetas de pago y cookies. Campañas similares de robo de credenciales de navegador muestran por qué un solo dispositivo infectado puede exponer varias cuentas valiosas a la vez.

Los objetivos se extendieron más allá de los navegadores hasta llegar a Thunderbird, aplicaciones de juegos, extensiones de billeteras y billeteras de criptomonedas de escritorio. La información recopilada se empaquetaba como datos estructurados, se cifraba y se enviaba al controlador. Un comando de desinstalación podía borrar el ejecutable en funcionamiento tras un retraso de seis segundos.

Fortinet recomienda formación en concienciación sobre seguridad para ayudarte a reconocer el phishing y otros contenidos sospechosos, además de buscar asistencia de respuesta a incidentes cuando sospeches de un compromiso.

Sus indicadores publicados proporcionan pistas para la investigación, pero los nombres de archivos legítimos y la infraestructura compartida requieren contexto en lugar de suposiciones automáticas de propiedad maliciosa.