El equipo de investigación de ESET Latinoamérica ha detectado una campaña maliciosa que distribuye el troyano DCRat mediante un loader disfrazado de aplicación legítima de Adobe. La campaña se enfoca principalmente en Colombia y Ecuador, utilizando archivos comprimidos con nombres que simulan comunicaciones judiciales o gubernamentales, como "Informe Especial Notificado Nro. 113510000548595265844", lo que sugiere un método de propagación mediante correos electrónicos de phishing.
Martina López, Investigadora de Seguridad Informática de ESET Latinoamérica, comentó:
"Al analizar los metadatos, se observa que los mismos buscan aparentar ser de la aplicación Adobe pero no cuentan con una firma digital válida ni certificado asociado, lo cual confirma que no se trata de un binario legítimo emitido por la compañía".
Características de DCRat:
- Capacidades de acceso remoto:
- Captura de pantalla y acceso a webcam.
- Registro de teclas (keylogger).
- Gestión de archivos y procesos.
- Ejecución remota de comandos (CMD/PowerShell).
- Robo de credenciales de navegadores y sistemas.
- Persistencia: Modificaciones en el registro de Windows o carpetas de inicio.
- Actualización automática y plugins descargables desde servidores de Comando y Control (C&C).
“Más allá de modificaciones estructurales, entre las “mejoras” más destacables que ofrece DCRat con respecto a AsyncRAT es el robustecimiento de las capacidades anti-análisis. Esto se refleja en, por ejemplo, la inclusión de una función que aborta la ejecución de la amenaza si encuentra procesos relacionados con análisis dinámico de malware o de monitoreo del sistema. DCRat también implementa otras técnicas de evasión como la desactivación de componentes AMSI así como ETW patching, que funcionan desactivando las funciones de seguridad que detectan y registran comportamientos maliciosos”, complementa López de ESET.
ESET recomienda verificar siempre la autenticidad de los archivos mediante firmas digitales válidas y evitar ejecutar adjuntos de correos sospechosos, incluso cuando aparenten proceder de instituciones oficiales.
