¿Cómo mantienen persistencia los atacantes en nuestras redes?

En los últimos años, se han visto cambios drásticos en las organizaciones criminales dedicadas a la ciberdelincuencia. Estos cambios van más allá de una simple evolución de las tácticas, técnicas y procedimientos (TTPs) que utilizan los atacantes. Las organizaciones criminales están implantando estructuras organizativas muy parecidas a las de cualquier sector empresarial. 

Al igual que en los sectores empresariales, los ciberdelincuentes cada vez están más especializados en los diferentes ámbitos de la ciberdelincuencia. Hay grupos que se dedican exclusivamente a desarrollar malware para posteriormente alquilarlos a otros ciberdelincuentes que tienen menos recursos y/o conocimientos técnicos. Esto es conocido como malware como servicio(malware-as-a-service ; MaaS). 

También existen los operadores de botnets (botnet operators); hackers que han comprometido grandes cantidades de equipos conectados a internet y han creado redes de bots que controlan de forma remota. Ofrecen los servicios de ataques de denegación de servicios distribuidos (Distributed Denial of Service; DDoS), minería de criptomonedas, etc. 

Otros atacantes están especializados en el acceso inicial y son conocidos como Initial Access Brokers (IABs). Son hackers especializados en comprometer redes y sistemas de las organizaciones, para posteriormente vender estos acceso a otros ciberdelincuentes, como grupos de ransomware o actores de amenazas avanzadas (Advanced Persistent Threats; APTs).

En este artículo nos centramos en una de las herramientas/malware más utilizadas por los atacantes para permanecer ocultos en las redes de nuestras organizaciones, RATs. Los Troyanos de Acceso Remoto (Remote Access Trojans; RATs), son un tipo de software malicioso que brinda al atacante la posibilidad de acceder de forma remota a los equipos comprometidos cuando lo desee, saltándose las medidas de seguridad tradicionales.

La idea detrás de los RATs es muy similar a cualquier herramienta comercial de acceso remoto o funcionalidad de control remoto disponible en los principales sistemas operativos (ej: los sistemas operativos de Windows cuentan con Remote Desktop Protocol; RDP). La única diferencia son los fines, en el caso de los RATs los propósitos son maliciosos. 

Las capacidades pueden variar entre las diferentes familias de RATs, pero suelen ser muy similares a las que un usuario tendría si estuviese sentado delante del ordenador y con acceso al mismo. Cabe destacar que muchas de las capacidades se solapan con los malwares de tipo Information Stealer, siendo las más comunes son:

• Keylogging, almacenando toda información (incluidos usuarios y contraseñas) que un usuario teclea. 
• Acceder a datos confidenciales, como credenciales de acceso a banca, tarjetas de crédito, credenciales de redes sociales, etc.
• Activar la grabación de vídeo.
• Activar la cámara web. Un atacante podría tomar fotos del usuario y su entorno para valorar si es un individuo u organización objetivo para su(s) ataque(s). 
• Activar el micrófono, con el objetivo de registrar conversaciones que puedan ser utilizadas por los atacantes. 
• Realizar capturas de pantalla.
• Distribuir malware y virus (dropper), ampliando la infección con malware adicional. En muchas ocasiones estos virus son utilizados para desplegar ataques de ransomware. 
• Gestión del sistema de ficheros, con capacidades de descargar, alterar o eliminar archivos y sistemas de archivos.
• Ejecución remota de comandos. 
• Minería de criptomonedas. Hacen uso de los recursos de la máquina para minar criptomonedas, afectando al rendimiento y el funcionamiento normal de los equipos. 
• Ataques de DoS/DDoS. Ciertos RATs tienen la capacidad de que los equipos infectados participen como un bot adicional en ataques de denegación de servicio (Denial of Service; DoS) y/o denegación de servicio distribuido (Distributed Denial of Service; DDoS)
• etc..

Según AnyRun en su artículo “Informe general sobre tendencias del malware: 2024” (enlace), los RATs fueron la tercera amenaza más importante. Según esta misma fuente, hay un incremento de detecciones de los RATs del 40% respecto al año 2023.  Esto refleja la importancia que los atacantes le dan a mantener acceso remoto a los sistemas de las víctimas para poder ampliar sus ataques. 

Entre las familias de este tipo de troyano más utilizadas se encuentran:

1. Agent Tesla. Es un RAT conocido por su capacidad para robar credenciales, keylogging y capturar capturas de pantalla. Se utiliza a menudo para robar información confidencial, como datos bancarios y contraseñas, etc.
2. AsyncRAT. Es un RATde código abierto. Permite a los atacantes controlar los sistemas infectados, robar datos y ejecutar comandos, etc.
3. Remcos. Es un RAT comercial que se ha utilizado en ataques dirigidos. Permite a los atacantes controlar los sistemas infectados, robar datos y espiar a los usuarios, etc.
4. Xworm. Es un RAT que ofrece una amplia gama de funcionalidades maliciosas, que incluyen: registro de pulsaciones de teclas, captura de pantalla, robo de credenciales, descarga y ejecución de archivos adicionales, y control remoto del sistema infectado, etc.
5. njRAT. Es un RAT desarrollado principalmente en el lenguaje de programación Visual Basic. Permite a los atacantes controlar los sistemas infectados, robar datos y ejecutar comandos, etc.