Un presunto grupo de espionaje está enviando invitaciones a eventos y cartas de reuniones falsas a organizaciones del sur de Asia. Aunque los archivos parecen inofensivos, instalan silenciosamente un troyano de acceso remoto personalizado llamado PapRAT en equipos Windows. Para evitar la detección, la campaña utiliza imágenes de disco de Windows, archivos de acceso directo y carpetas web remotas.

Un presunto grupo de espionaje está enviando cartas de reuniones falsas e invitaciones a eventos a organizaciones en el sur de Asia. Los archivos parecen inofensivos, pero instalan silenciosamente un troyano de acceso remoto personalizado llamado PapRAT en ordenadores con Windows.

La campaña utiliza imágenes de disco de Windows, archivos de acceso directo y carpetas web remotas para evitar una detección sencilla. La actividad apunta a BITTER, un grupo que se cree basado en el sur de Asia y activo al menos desde 2013.

Tiene un historial de atacar organizaciones gubernamentales, energéticas y de ingeniería. Si sigues las herramientas desarrolladas a medida por el grupo Bitter, verás que PapRAT es otra señal de una inversión constante en su conjunto de herramientas de malware.

Investigadores de FortiGuard Labs de Fortinet identificaron el malware mientras rastreaban la campaña durante varios meses.

Lo vincularon a BITTER con alta confianza basándose en los nombres de los archivos señuelo, los patrones de tráfico de comando y control (C2), los detalles de los archivos y el análisis del malware. Encontraron tres cadenas de infección distintas, y dos de ellas dependen de archivos VHDX y enlaces WebDAV.

Archivos VHDX maliciosos y enlaces WebDAV

La segunda cadena de infección comienza con un archivo VHDX, que es una imagen de disco duro virtual que Windows puede montar como una unidad USB. En un caso, el archivo se llamaba “Letter from the Ambassador – 11th Belt and Road Summit”.

Una vez abierto, muestra un único archivo de acceso directo (LNK) visible. Junto a él hay dos archivos ocultos: una hoja de cálculo señuelo llamada “Attachment-2.xls” y un instalador llamado “Visa_Details.msi”.

Cuando haces clic en el acceso directo, se ejecuta un comando que inicia el instalador en segundo plano y abre la hoja de cálculo al mismo tiempo.

Tú verías un documento normal y no tendrías motivos para sospechar. Este truco no es exclusivo de BITTER. Anteriormente, APT-C-60 utilizó archivos VHDX de manera similar contra reclutadores en Japón.

La tercera cadena utiliza WebDAV, una función de Windows que permite que un ordenador abra archivos en un servidor web remoto como si fueran locales. Comienza con un archivo comprimido llamado “Official Invitation Majilis 2026 Gala Dinner.rar”.

En su interior hay un acceso directo URL que se conecta a un servidor remoto y descarga un archivo de acceso directo y un script. Ese script crea una tarea programada, contacta con el servidor del atacante y luego instala un segundo archivo MSI llamado “Imp_Details.msi”.

A los atacantes les gusta WebDAV porque la carpeta remota parece una carpeta local normal. Investigadores de Cofense han informado que esta conexión omite las advertencias habituales del navegador, razón por la cual el abuso del Explorador de archivos de Windows se ha convertido en un método de entrega creciente para troyanos de acceso remoto.

La primera cadena es la más discreta. Un archivo de acceso directo abusa de la herramienta integrada ftp.exe de Windows para ejecutar un script oculto. Luego configura tareas programadas con nombres como “MicrosoftUpdates” y usa curl para llegar al servidor del atacante.

Una ventana emergente falsa te indica que el Explorador no pudo abrir el archivo. En esta etapa no se deposita ningún archivo de malware tradicional, por lo que las herramientas de seguridad que solo buscan ejecutables podrían pasarlo por alto.

Qué puede hacer PapRAT y cómo está cambiando

Dentro del instalador MSI, la única acción real es un paso personalizado que deposita PapRAT en la máquina. El archivo finge ser un componente de Microsoft llamado “bruzsvc.exe” con el nombre de producto “Microsoft redistributables”.

Una vez en funcionamiento, contacta con un servidor C2 codificado mediante HTTP simple cada 10 segundos. La dirección del servidor está oculta con codificación XOR utilizando la clave 0x50. Identifica a cada víctima uniendo el nombre de usuario y el nombre del ordenador con un guion bajo.

La primera versión de PapRAT está escrita en C++ y entiende ocho comandos. Estos permiten al atacante ejecutar comandos de shell, listar carpetas, borrar archivos, ejecutar programas, listar unidades, tomar capturas de pantalla y subir o descargar archivos.

En la tercera cadena, PapRAT utilizó su comando de descarga para obtener una segunda herramienta, “vnces.exe”, que es WmRAT. WmRAT es otro troyano de acceso remoto que BITTER utiliza para obtener información del sistema, capturas de pantalla y ejecución de comandos.

Fortinet también encontró una versión más reciente escrita en Rust. El nombre PapRAT proviene de esta compilación, que contiene el nombre de archivo “requpap.pdb” y el nombre de producto “papsolutions”.

La versión de Rust utiliza HTTPS, espera 42 segundos antes de comenzar y luego se reporta cada 5 segundos. Oculta sus constantes con texto invertido y un desplazamiento ROT-3. También añade tres comandos para la ejecución de PowerShell, suspensión y salida, lo que eleva el total a once.

Como defensor, debes tratar con precaución los archivos LNK inesperados, los accesos directos URL, las imágenes de disco y los paquetes MSI, especialmente cuando llegan en mensajes no solicitados.

Fortinet te aconseja vigilar las herramientas de scripting, las tareas programadas y la actividad del instalador en lugar de confiar únicamente en las firmas de archivos.

Tú y tu equipo también podéis aprender de las campañas de phishing rusas de RedFlick, donde los investigadores aconsejaron vincular la extracción de archivos, el montaje de VHDX, la ejecución de LNK y la actividad de WebDAV en una sola vista.