Advierte ESET sobre campaña de phishing con troyano Ratty

Ciudad de México, (Agencia NVM/Redacción).- El equipo de investigación de ESET identificó una reciente campaña de phishing dirigida a usuarios de habla hispana, principalmente en Perú, que distribuye el troyano de acceso remoto Ratty (RAT). La operación maliciosa emplea documentos PDF fraudulentos y técnicas de ingeniería social, apoyándose en servicios de almacenamiento en la nube como Google Drive, Dropbox y Mediafire para propagar el código malicioso.

Ratty es un troyano con múltiples funciones que incluyen captura de pantalla, grabación de audio y video desde los dispositivos de la víctima, keylogging y control remoto del sistema infectado. “Este RAT escrito en Java, aunque no es habitual en Latinoamérica, está siendo utilizado debido a su gran cantidad de funcionalidades. Destacan la recolección de información mediante keylogging, capturas de pantalla y grabación de audio, así como la exfiltración de datos y persistencia”, señaló Fabiana Ramírez Cuenca, investigadora de seguridad informática de ESET Latinoamérica.

La campaña comienza con un correo electrónico de phishing que contiene un archivo adjunto denominado Factura.pdf. Al abrirlo, induce a la víctima a descargar un archivo HTML que, a su vez, ejecuta un script VBS encargado de instalar InvoiceXpress.jar, identificado como el troyano Ratty. Una vez ejecutado, el malware establece conexión con un servidor de comando y control (C2), identificado en EQUINIX-CONNECT-EMEAGB a través del puerto TCP 8911.

Entre sus principales capacidades destacan:

ESET advirtió que esta campaña confirma la tendencia de los atacantes a perfeccionar técnicas de distribución y aprovechar servicios legítimos en la nube para propagar amenazas, incrementando el riesgo para los usuarios.