Ver el código de «Gh0st RAT & CloverPlus Dual-Payload Malware Campaign»

Gh0st RAT and CloverPlus Dual-Payload Campaign es una campaña de malware recientemente identificada por el Splunk Threat Research Team (STRT) que entrega simultáneamente dos amenazas muy diferentes en un solo ataque: el Gh0st Remote Access Trojan (RAT), una conocida herramienta de control remoto, y CloverPlus adware, un software publicitario diseñado para generar ingresos mediante la inyección de anuncios y la modificación del comportamiento del navegador. Esta combinación, aunque inusual, es estratégica: permite al atacante mantener un backdoor para acceso persistente y privilegiado al sistema comprometido, mientras monetiza inmediatamente la infección a través de fraude publicitario. El atacante utiliza un único loader ofuscado que oculta ambos payloads cifrados en su sección de recursos. Primero, el loader despliega CloverPlus adware (identificado como AdWare.Win32.CloverPlus, vinculado a un ejecutable llamado <code>wiseman.exe</code>), que modifica las páginas de inicio del navegador e inyecta anuncios emergentes. Luego, el loader verifica su propia ruta; si no está en la carpeta <code>%temp%</code>, se copia a sí mismo allí antes de descifrar el módulo cliente Gh0st RAT almacenado como recurso cifrado en la sección RSRC del binario. Después del descifrado, el loader genera un nombre de archivo aleatorio y guarda la DLL descifrada en una carpeta con nombre aleatorio en la raíz de la unidad <code>C:\</code>. La DLL se ejecuta utilizando la aplicación legítima de Windows <code>rundll32.exe</code>, una técnica de ejecución de binarios del sistema (living-off-the-land) que reduce la probabilidad de activar alertas de seguridad. Una vez activo, Gh0st RAT recopila información del sistema (dirección MAC, número de serie del disco duro) para identificar de forma única el host infectado dentro de la infraestructura de comando y control (C2) del atacante. Para mantener la persistencia después del reinicio, Gh0st RAT utiliza múltiples métodos: se escribe en la clave de registro <code>Windows Run</code> y también registra una DLL maliciosa como parte del servicio <code>Windows Remote Access</code> en <code>SYSTEM\CurrentControlSet\Services\RemoteAccess\RouterManagers\Ip</code>, otorgando privilegios de nivel SYSTEM cada vez que se inicia el servicio. El impacto de esta campaña es significativo: el componente adware puede interrumpir la funcionalidad del navegador y exponer a los usuarios a anuncios maliciosos, mientras que el payload RAT puede robar datos sensibles, capturar pulsaciones de teclas, bloquear el acceso a sitios web de seguridad y otorgar a los atacantes acceso persistente y privilegiado al sistema infectado.

== Nombres Alternativos / Aliases ==

* Dual-Payload Malware Campaign (Por la entrega simultánea de dos amenazas)
* Gh0st RAT + CloverPlus Bundle (Por los dos payloads combinados)
* Splunk STR Dual Threat Campaign (Por el equipo que lo descubrió)
* RAT and Adware Combo Attack (Por la combinación RAT + adware)
* Obfuscated Loader Dual Payload (Por la técnica de loader ofuscado)

== Fecha de Detección / Actividad ==

* Fecha de Identificación: 20 de abril de 2026
* Período de Actividad Observado: No especificado, pero la campaña está activa.
* Estado: Activo. Se recomienda a los equipos de seguridad revisar sus capacidades de monitoreo de endpoints y actualizar las reglas de detección.

== Actor de Amenaza (Atribución) ==

* Nombre del Actor: No atribuido a un grupo específico.
* Tipo de Actor: Desconocido. Opera una campaña de malware multi-payload con fines de control remoto y monetización a través de adware.
* Sofisticación: Media-alta. El uso de un loader ofuscado con dos payloads cifrados en la sección de recursos, técnicas de evasión (copia a <code>%temp%</code>, ejecución mediante <code>rundll32.exe</code>), y múltiples métodos de persistencia (registro Run, servicio RemoteAccess) demuestra un nivel de sofisticación significativo. La combinación estratégica de RAT y adware para maximizar el retorno de una sola infección indica un enfoque eficiente y orientado a beneficios.

== Resumen Ejecutivo ==
Gh0st RAT and CloverPlus Dual-Payload Campaign representa un cambio claro hacia estrategias de entrega de múltiples payloads que maximizan el retorno de una sola infección. Identificada por el Splunk Threat Research Team (STRT), esta campaña utiliza un único loader ofuscado para entregar dos amenazas muy diferentes pero complementarias: (1) CloverPlus adware (<code>AdWare.Win32.CloverPlus</code>, vinculado a <code>wiseman.exe</code>), que modifica las páginas de inicio del navegador, inyecta anuncios emergentes y genera ingresos para el atacante a través de fraude publicitario; y (2) Gh0st RAT, un troyano de acceso remoto bien conocido que otorga al atacante control total sobre el sistema comprometido, permitiendo el robo de datos sensibles, la captura de pulsaciones de teclas (keylogging), el bloqueo de acceso a sitios web de seguridad, y el acceso persistente con privilegios elevados. El loader oculta ambos payloads cifrados en su sección de recursos. Primero despliega el adware, luego verifica si su propia ruta está en la carpeta <code>%temp%</code>; si no es así, se copia a sí mismo allí. Luego descifra el módulo cliente Gh0st RAT almacenado como recurso cifrado en la sección RSRC del binario, genera un nombre de archivo aleatorio y guarda la DLL descifrada en una carpeta con nombre aleatorio en la raíz de <code>C:\</code>. La DLL se ejecuta utilizando <code>rundll32.exe</code>, una técnica de ejecución de binarios del sistema (T1218.011) que permite que el malware se ejecute bajo un proceso legítimo de Windows, reduciendo la probabilidad de activar alertas de seguridad. Una vez activo, Gh0st RAT recopila información del sistema (dirección MAC, número de serie del disco duro) para identificar de forma única el host infectado dentro de su infraestructura C2. Para la persistencia, utiliza múltiples métodos: se escribe en la clave de registro <code>Windows Run</code> (T1547.001) y registra una DLL maliciosa como parte del servicio <code>Windows Remote Access</code> en <code>SYSTEM\CurrentControlSet\Services\RemoteAccess\RouterManagers\Ip</code> (T1543.003), otorgando privilegios de nivel SYSTEM cada vez que se inicia el servicio. La campaña tiene un impacto significativo tanto para individuos como para organizaciones: el adware puede exponer a los usuarios a anuncios maliciosos y sitios de phishing, mientras que el RAT permite el robo de datos corporativos, el espionaje y el acceso persistente a la red. Se recomienda a los equipos de seguridad monitorear <code>rundll32.exe</code> cargando extensiones de archivo no estándar desde directorios inusuales, alertar sobre modificaciones en las claves de registro <code>Run</code> y en la ruta del servicio <code>RemoteAccess</code>, y mantener las reglas de detección alineadas con las técnicas MITRE ATT&CK identificadas.

== Vectores de Ataque / Métodos de Distribución ==

# Loader Ofuscado como Vector Principal: El atacante utiliza un único loader ejecutable que contiene ambos payloads cifrados en su sección de recursos.
# Técnicas de Evasión: El loader verifica si su propia ruta está en la carpeta <code>%temp%</code>; si no es así, se copia a sí mismo allí antes de continuar, probablemente para evadir análisis o garantizar la ejecución desde una ubicación menos monitorizada.
# Ejecución mediante Rundll32 (Living-off-the-Land): Gh0st RAT se ejecuta utilizando <code>rundll32.exe</code>, una aplicación legítima de Windows, para cargar la DLL maliciosa (T1218.011). Esto permite que el malware se ejecute bajo un proceso confiable, reduciendo la probabilidad de activar alertas de seguridad.
# Persistencia Múltiple: Gh0st RAT utiliza dos métodos de persistencia: (a) clave de registro <code>Windows Run</code> para ejecutarse al inicio del usuario (T1547.001), y (b) registro de una DLL maliciosa en el servicio <code>Windows Remote Access</code> para obtener privilegios SYSTEM en cada inicio del servicio (T1543.003).

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Execution (TA0002)
|System Binary Proxy Execution: Rundll32 (T1218.011)
|Gh0st RAT se ejecuta utilizando <code>rundll32.exe</code>, cargando la DLL maliciosa bajo un proceso legítimo de Windows.
|-
|Execution (TA0002)
|User Execution: Malicious File (T1204.002)
|El usuario ejecuta el loader ofuscado (no se especifica el vector de entrega inicial, pero se asume ingeniería social o descarga drive-by).
|-
|Persistence (TA0003)
|Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder (T1547.001)
|Gh0st RAT se escribe en la clave de registro <code>Windows Run</code> para ejecutarse en cada inicio de sesión del usuario.
|-
|Persistence (TA0003)
|Create or Modify System Process: Windows Service (T1543.003)
|Gh0st RAT registra una DLL maliciosa en el servicio <code>Windows Remote Access</code> (<code>SYSTEM\CurrentControlSet\Services\RemoteAccess\RouterManagers\Ip</code>), otorgando privilegios SYSTEM.
|-
|Defense Evasion (TA0005)
|Obfuscated Files or Information (T1027)
|El loader oculta ambos payloads cifrados en su sección de recursos, ofuscando su presencia.
|-
|Defense Evasion (TA0005)
|Deobfuscate/Decode Files or Information (T1140)
|El loader descifra el módulo Gh0st RAT desde el recurso cifrado en la sección RSRC.
|-
|Defense Evasion (TA0005)
|Masquerading (T1036)
|El loader se copia a la carpeta <code>%temp%</code> y genera nombres de archivo y carpeta aleatorios para las DLLs descifradas.
|-
|Defense Evasion (TA0005)
|Indicator Removal: File Deletion (T1070.004)
|Posible eliminación de artefactos (no se menciona explícitamente, pero común en loaders).
|-
|Discovery (TA0007)
|System Information Discovery (T1082)
|Gh0st RAT recopila información del sistema, incluyendo la dirección MAC y el número de serie del disco duro, para identificar de forma única el host.
|-
|Discovery (TA0007)
|System Owner/User Discovery (T1033)
|Gh0st RAT puede recopilar información del propietario/usuario del sistema.
|-
|Discovery (TA0007)
|System Network Configuration Discovery (T1016)
|Potencial recopilación de configuraciones de red.
|-
|Credential Access (TA0006)
|Input Capture: Keylogging (T1056.001)
|Gh0st RAT puede capturar pulsaciones de teclas (keylogging) como parte de sus capacidades.
|-
|Command and Control (TA0011)
|Application Layer Protocol: DNS (T1071.004)
|Gh0st RAT utiliza DNS para comunicación C2 (mencionado en las técnicas de detección).
|-
|Defense Evasion (TA0005)
|Access Token Manipulation (T1134)
|Gh0st RAT puede manipular tokens de acceso para elevar privilegios (mencionado en las técnicas de detección).
|-
|Impact (TA0040)
|Financial Theft (sin código ATT&CK específico)
|CloverPlus adware genera ingresos a través de fraude publicitario (anuncios emergentes, modificaciones del navegador).
|}

== Flujo de Ataque (Cyber Kill Chain) ==

# Reconocimiento: Los atacantes identifican objetivos potenciales. No se especifica el vector de entrega inicial.
# Armamento: Los atacantes desarrollan un loader ofuscado que contiene ambos payloads cifrados: CloverPlus adware (AdWare.Win32.CloverPlus) y Gh0st RAT. Configuran la infraestructura C2 para Gh0st RAT.
# Entrega: El loader se distribuye a las víctimas, probablemente a través de ingeniería social, correos de phishing, descargas drive-by o sitios web comprometidos.
# Explotación: El usuario ejecuta el loader ofuscado, activando la cadena de infección.
# Instalación:
#* CloverPlus Adware: El loader despliega el adware (ejecutable <code>wiseman.exe</code>), que modifica las páginas de inicio del navegador e inyecta anuncios emergentes.
#* Auto-copia: El loader verifica su ruta; si no está en <code>%temp%</code>, se copia a sí mismo allí.
#* Descifrado de Gh0st RAT: El loader descifra el módulo cliente Gh0st RAT desde la sección RSRC.
#* Ejecución de Gh0st RAT: El loader guarda la DLL descifrada en una carpeta aleatoria en <code>C:\</code> y la ejecuta utilizando <code>rundll32.exe</code>.
#* Persistencia: Gh0st RAT se establece en el registro <code>Run</code> y en el servicio <code>RemoteAccess</code> para garantizar la persistencia después del reinicio.
# Comando y Control (C2): Gh0st RAT se comunica con su infraestructura C2, reportando la información del sistema recopilada (MAC address, serial number) y esperando comandos.
# Acción sobre Objetivos:
#* Monetización Inmediata: CloverPlus adware genera ingresos a través de anuncios fraudulentos.
#* Control Remoto: El atacante utiliza Gh0st RAT para robar datos sensibles, capturar keystrokes, bloquear el acceso a sitios de seguridad, y mantener acceso persistente al sistema.

== Infraestructura Utilizada ==
{| class="wikitable"
!Tipo
!Indicador / Característica
!Propósito
|-
|Loader Ofuscado
|Ejecutable con dos payloads cifrados en la sección de recursos
|Vector principal de infección; despliega adware y Gh0st RAT.
|-
|CloverPlus Adware
|AdWare.Win32.CloverPlus (ejecutable: <code>wiseman.exe</code>)
|Modifica navegadores, inyecta anuncios emergentes, genera ingresos publicitarios.
|-
|Gh0st RAT DLL
|DLL descifrada con nombre de archivo aleatorio, guardada en carpeta aleatoria en <code>C:\</code>
|Payload RAT para control remoto, keylogging, robo de datos.
|-
|Rundll32.exe
|Ejecutable legítimo de Windows (<code>C:\Windows\System32\rundll32.exe</code>)
|Técnica de proxy execution para cargar la DLL maliciosa (T1218.011).
|-
|Claves de Registro
|<code>HKCU\Software\Microsoft\Windows\CurrentVersion\Run</code> o similar
|Persistencia de Gh0st RAT al inicio de sesión del usuario.
|-
|Servicio de Windows
|<code>SYSTEM\CurrentControlSet\Services\RemoteAccess\RouterManagers\Ip</code>
|Persistencia de Gh0st RAT con privilegios SYSTEM.
|-
|Infraestructura C2
|No especificada; utiliza DNS para comunicación
|Comando y control para Gh0st RAT.
|}

== Objetivos y Sectores Afectados ==

* Objetivo Principal: Usuarios individuales y organizaciones que ejecutan sistemas operativos Windows.
* Sector: General (sin sector específico identificado). La campaña parece oportunista, dirigida a maximizar el número de infecciones para generar ingresos por adware y control remoto.
* Plataformas Afectadas: Microsoft Windows (sistemas de 32 y 64 bits que ejecutan <code>rundll32.exe</code>).
* Distribución Geográfica: Global (no se especifica una región objetivo).
* Tipo de Datos Comprometidos: Datos sensibles (credenciales, documentos), pulsaciones de teclas, información del sistema (MAC address, serial number), datos de navegación.

== Impacto y Riesgo ==

* Nivel de Riesgo: Alto para sistemas comprometidos. La combinación de adware y RAT crea un riesgo dual: monetización inmediata a través de fraude publicitario y acceso remoto persistente para espionaje o ataques adicionales.
* Impacto Potencial:
** Para el Usuario/Organización:
*** Acceso Remoto No Autorizado: Gh0st RAT otorga al atacante control total sobre el sistema, permitiendo el robo de datos corporativos, instalación de malware adicional, o movimiento lateral en la red.
*** Robo de Datos Sensibles: Credenciales, documentos confidenciales, información financiera.
*** Keylogging: Captura de contraseñas y otra información introducida por el usuario.
*** Bloqueo de Seguridad: Gh0st RAT puede bloquear el acceso a sitios web de seguridad (antivirus, actualizaciones, foros de seguridad), dificultando la respuesta al incidente.
*** Interrupción del Navegador: CloverPlus adware modifica las páginas de inicio, inyecta anuncios emergentes y expone a los usuarios a publicidad maliciosa (potencialmente phishing o malware adicional).
*** Degradación del Rendimiento: Tanto el adware como el RAT consumen recursos del sistema, ralentizando el rendimiento.
** Para el Atacante:
*** Monetización Dual: El atacante obtiene ingresos del fraude publicitario (CloverPlus) mientras mantiene acceso persistente para futuros ataques o venta de acceso (Gh0st RAT).
*** Maximización del ROI: Una sola infección genera dos flujos de beneficio, haciendo que la campaña sea más rentable.
* Estrategia Emergente: Esta campaña representa un cambio hacia estrategias de "multi-payload" que maximizan el retorno de la inversión (ROI) de una sola infección. Los equipos de seguridad deben adaptar sus defensas para detectar no solo amenazas individuales, sino combinaciones de payloads entregados por un mismo loader.

== Recomendaciones de Mitigación ==

# Monitoreo de Ejecución de Rundll32.exe (M1040):
#* Monitorear <code>rundll32.exe</code> cargando extensiones de archivo no estándar (<code>.dll</code>) desde directorios inusuales, como <code>%temp%</code> o carpetas aleatorias en la raíz de <code>C:\</code>.
#* Alertar sobre procesos <code>rundll32.exe</code> hijos de ejecutables ubicados en <code>%temp%</code> o en directorios de perfil de usuario.
# Monitoreo de Registro y Persistencia (M1040, M1024):
#* Alertar sobre modificaciones en las claves de registro <code>Windows Run</code> (<code>HKCU\Software\Microsoft\Windows\CurrentVersion\Run</code>, <code>HKLM\Software\Microsoft\Windows\CurrentVersion\Run</code>).
#* Alertar sobre modificaciones en el servicio <code>RemoteAccess</code>: <code>SYSTEM\CurrentControlSet\Services\RemoteAccess\RouterManagers\Ip</code>. La adición de DLLs no estándar en esta ubicación es altamente sospechosa.
#* Implementar reglas de detección para cambios en servicios de Windows que no sean parte de cambios administrativos planificados (T1543.003).
# Detección de Comportamiento Anómalo en Endpoints (M1040):
#* Monitorear procesos que se copian a sí mismos en la carpeta <code>%temp%</code> y luego ejecutan código.
#* Alertar sobre ejecución de payloads desde directorios con nombres aleatorios en la raíz de <code>C:\</code>.
# Bloqueo de Técnicas de Evasión (M1038, M1049):
#* Utilizar soluciones EDR que detecten técnicas de ofuscación y descifrado de payloads en tiempo de ejecución.
#* Mantener los sistemas actualizados con las últimas definiciones de antivirus y reglas de detección de amenazas.
# Concientización del Usuario y Control de Aplicaciones (M1017, M1038):
#* Educar a los usuarios sobre los riesgos de ejecutar archivos adjuntos de correos electrónicos sospechosos o descargar software de fuentes no confiables.
#* Implementar políticas de control de aplicaciones (AppLocker, WDAC) para restringir la ejecución de binarios desde ubicaciones no autorizadas como <code>%temp%</code> o directorios de perfil de usuario.

== Herramientas de Detección ==

* EDR / XDR: Soluciones como Splunk Endpoint Detection and Response, CrowdStrike, SentinelOne, o Microsoft Defender for Endpoint pueden detectar:
** Ejecución de <code>rundll32.exe</code> cargando DLLs desde ubicaciones sospechosas.
** Modificaciones en claves de registro <code>Run</code> y en la configuración del servicio <code>RemoteAccess</code>.
** Procesos que se copian a sí mismos en <code>%temp%</code>.
** Secuencias de comportamiento que coincidan con las técnicas MITRE ATT&CK identificadas.
* SIEM: Correlacionar eventos de endpoints, logs de registro y actividad de red para identificar patrones de ataque. Utilizar las consultas de Splunk para detectar:
** Procesos <code>rundll32.exe</code> con líneas de comando que carguen DLLs desde rutas no estándar.
** Creación o modificación de servicios de Windows.
* Análisis de Tráfico de Red: Monitorear tráfico DNS y HTTP/HTTPS hacia infraestructura C2 desconocida o maliciosa (Gh0st RAT).
* Monitoreo de Integridad de Archivos (FIM): Alertar sobre la creación de archivos DLL en ubicaciones sensibles o con nombres inusualmente aleatorios.

== Referencias y Fuentes ==

* Dutta, T. S. (2026, 20 de abril). *Gh0st RAT and CloverPlus Adware Delivered Together in New Dual-Payload Malware Campaign*. (Artículo proporcionado por el usuario).
* Splunk Threat Research Team (STRT). (2026). *Dual-Payload Malware Analysis: Gh0st RAT and CloverPlus*. (Análisis citado en el artículo).
* MITRE ATT&CK Framework. Enterprise Matrix. (Para mapeo de TTPs).

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-04-23
|1.0
|Fernando Vargas
|Creación inicial de la entrada basada en el análisis de Splunk sobre la campaña de doble payload Gh0st RAT + CloverPlus.
|}

== Indicadores de Compromiso (IOCs) ==
{| class="wikitable"
!Tipo
!Valor
|-
|Nombre de la Campaña
|Gh0st RAT & CloverPlus Dual-Payload Campaign
|-
|Tipo de Malware
|Loader ofuscado (entrega dual) + Gh0st RAT + CloverPlus Adware
|-
|Adware
|AdWare.Win32.CloverPlus (ejecutable: <code>wiseman.exe</code>)
|-
|RAT
|Gh0st RAT (DLL con nombre de archivo y carpeta aleatorios)
|-
|Técnica de Ejecución
|<code>rundll32.exe</code> cargando DLL maliciosa (T1218.011)
|-
|Ruta de Auto-copia
|<code>%temp%</code> (loader se copia a sí mismo si no está allí)
|-
|Ruta de Guardado de DLL
|Carpeta con nombre aleatorio en la raíz de <code>C:\</code>
|-
|Persistencia (Registro)
|Clave <code>Windows Run</code> (T1547.001)
|-
|Persistencia (Servicio)
|<code>SYSTEM\CurrentControlSet\Services\RemoteAccess\RouterManagers\Ip</code> (T1543.003)
|-
|Recopilación de Información
|Dirección MAC del sistema, número de serie del disco duro
|-
|Técnicas MITRE ATT&CK
|T1134, T1033, T1070.004, T1547.001, T1021, T1543.003, T1056.001, T1071.004
|-
|Comportamiento Anómalo (Ejecución)
|<code>rundll32.exe</code> cargando DLLs desde <code>%temp%</code> o desde carpetas aleatorias en <code>C:\</code>
|-
|Comportamiento Anómalo (Registro)
|Modificaciones en claves <code>Run</code> o en la ruta del servicio <code>RemoteAccess</code>
|-
|Comportamiento Anómalo (Archivos)
|Creación de DLLs con nombres aleatorios en la raíz de <code>C:\</code>
|-
|Comportamiento Anómalo (Red)
|Tráfico DNS o HTTP/HTTPS a C2 desconocido
|-
|Comportamiento Anómalo (Navegador)
|Cambios no autorizados en páginas de inicio y presencia de anuncios emergentes
|}

== Etiquetas / Categorías ==
<code>gh0st-rat</code> <code>cloverplus</code> <code>adware</code> <code>dual-payload</code> <code>splunk</code> <code>strt</code> <code>rundll32</code> <code>living-off-the-land</code> <code>persistence</code> <code>registry-run</code> <code>remoteaccess-service</code> <code>keylogging</code> <code>c2-dns</code> <code>malware-campaign</code> <code>multi-payload</code> <code>monetization</code> <code>cybersecurity</code> <code>ciberwiki</code> <code>tushar-subhra-dutta</code> <code>windows-malware</code>

[[Categoría:CAMPAÑAS|CAMPAÑAS]]