Se ha detectado un nuevo troyano de acceso remoto para Windows llamado AgtaBackup RAT, el cual utiliza páginas falsas de la Microsoft Store para infectar equipos. La campaña engaña a los usuarios ofreciendo software popular de videoconferencias, pero en su lugar instala una herramienta legítima de monitoreo y gestión remota (RMM) controlada por los atacantes para tomar control del sistema.

Un troyano de acceso remoto (RAT) para Windows recién detectado, llamado AgtaBackup RAT, está utilizando páginas falsas de la Microsoft Store para lograr entrar en los ordenadores de sus víctimas.

La campaña finge ofrecer software popular de videoconferencias, pero en su lugar, la descarga instala una herramienta legítima de monitoreo y gestión remota, o RMM, que los atacantes controlan. Ese primer paso es crucial porque el instalador está firmado genuinamente y la instalación parece normal.

Después de que la víctima acepte un aviso de Control de Cuentas de Usuario de Windows, el cliente RMM registra el ordenador en una cuenta controlada por el atacante, otorgando a los operadores un acceso remoto silencioso que puede camuflarse con la actividad de soporte rutinaria. Los analistas de Palo Alto Networks Unit 42 identificaron el malware a través de artefactos de la campaña.

Palo Alto Networks Unit 42 indicó en un informe que el backdoor personalizado en .NET permite el control a largo plazo, el robo de datos y la vigilancia.

El informe no proporciona un recuento de víctimas ni una lista de países afectados. Una vez que los operadores obtienen acceso, pueden instalar el RAT, ejecutar comandos, tomar capturas de pantalla, registrar pulsaciones de teclas y recopilar datos del navegador.

Este enfoque demuestra por qué los equipos de seguridad deben juzgar el software de acceso remoto inesperado por su entrega y comportamiento, y no solo por si parece confiable.

AgtaBackup RAT utiliza páginas falsas de la Microsoft Store

La infección comienza en una página de aterrizaje diseñada para parecerse a un listado de productos de la Microsoft Store para software de videoconferencias.

Al hacer clic en la descarga anunciada, puede entregarse un paquete MSI de RMM, incluyendo productos como LogMeIn Resolve o ConnectWise ScreenConnect, en lugar de la aplicación esperada.

Otras páginas falsas de la Microsoft Store han ocultado descargas dañinas detrás de marcas conocidas. Las víctimas ven un instalador estándar y una solicitud de consentimiento de UAC.

Cuando se aprueba, el servicio RMM se ejecuta con privilegios de nivel SYSTEM y se conecta a su infraestructura en la nube normal, mientras que el endpoint se vincula al inquilino de los atacantes.

Esto otorga a los intrusos una sesión de terminal directa sin tener que desplegar primero un programa de control remoto obviamente malicioso.

Después de un retraso que puede durar horas o días, los operadores utilizan esa sesión para ejecutar un comando de PowerShell que descarga el instalador de AgtaBackup y lanza una instalación MSI silenciosa.

Este patrón se asemeja a abusos anteriores de herramientas RMM legítimas, donde el software de administración confiable se convierte en un puente hacia una carga útil de segunda etapa.

El RAT se instala como un servicio SYSTEM oculto y utiliza un nombre engañoso para parecer relacionado con la seguridad de Windows. Dos tareas programadas se ejecutan cada minuto y al iniciar el sistema.

Si los defensores detienen el servicio o eliminan su directorio, estos componentes pueden restaurar el malware en 60 segundos, lo que hace que una limpieza parcial sea riesgosa.

Robo de credenciales y pasos de detección

AgtaBackup RAT se comunica con su servidor de control cada dos segundos y abre un canal WebSocket para comandos en vivo.

Realiza un inventario del dispositivo y puede ejecutar PowerShell, mover archivos, preparar software adicional, capturar pantallas y operar un escritorio oculto para operaciones encubiertas. Ese espacio de trabajo permite a los atacantes usar consolas de comandos sin mostrar una ventana visible al usuario conectado.

El malware apunta a credenciales guardadas, cookies, historial, marcadores y otros datos de perfil de nueve familias de navegadores, incluyendo Chrome, Edge, Firefox, Brave, Opera, Vivaldi, Chromium y Yandex.

También inicia un keylogger independiente disfrazado de proceso de seguridad de Windows. Esta combinación aumenta el riesgo de toma de control de cuentas, junto con los riesgos de robo de credenciales del navegador vistos en otras operaciones de RAT.

Los investigadores descubrieron que el malware puede cambiar un ajuste de Windows para mover los avisos de UAC fuera del escritorio protegido y luego inyectar entradas en ellos de forma remota.

Además, oculta su actividad mediante un ajuste restrictivo de permisos del servicio que limita la visibilidad para usuarios que no sean SYSTEM, incluyendo a los administradores locales. Estas características hacen que la detección temprana de la cadena de entrega sea especialmente valiosa.

Los equipos de seguridad deben investigar cualquier registro de RMM no aprobado, particularmente cuando un proceso RMM lanza PowerShell para descargar un MSI seguido de un comando msiexec silencioso.

También deberían alertar sobre tareas repetidas de restauración de servicios, ajustes de control a nivel de máquina, procesos SYSTEM no firmados que lean varios archivos de almacenamiento de navegadores y tráfico de control inusual durante la respuesta a incidentes.

Tú deberías obtener actualizaciones únicamente a través de fuentes oficiales, una salvaguarda que también se destacó en la cobertura de la campaña de actualizaciones falsas de Teams.

Fuentes:
https://cybersecuritynews.com/agtabackup-rat/