PureRAT

PureRAT es un troyano de acceso remoto (RAT) escrito en .NET para sistemas Windows, comercializado bajo un modelo de Malware-as-a-Service (MaaS) por el desarrollador conocido como PureCoder . Este malware destaca por su naturaleza modular y su capacidad de ejecución sin archivos (fileless), empleando técnicas avanzadas como esteganografía en imágenes PNG, process hollowing en procesos legítimos como msbuild.exe, y ofuscación multicapa para evadir la detección de soluciones de seguridad tradicionales . Su arquitectura le permite operar como una plataforma dinámica: el implant principal permanece a la espera de instrucciones, mientras que los operadores pueden desplegar plugins bajo demanda para ampliar sus funcionalidades, que incluyen desde keylogging y captura de pantalla hasta control remoto de escritorio (HVNC) y robo de información de carteras de criptomonedas .

La cadena de infección de PureRAT es notablemente versátil y ha evolucionado en múltiples campañas documentadas. Se ha observado su distribución a través de correos de phishing con archivos RAR disfrazados de documentos financieros o laborales, utilizando dobles extensiones como .pdf.rar para engañar a las víctimas . Otras campañas han empleado archivos LNK maliciosos que ejecutan comandos PowerShell ocultos para descargar imágenes PNG con payloads embebidos mediante esteganografía , así como el abuso de ejecutables legítimos como FoxitPDFReader.exe para realizar DLL sideloading y cargar bibliotecas maliciosas . La campaña también ha explotado técnicas de ingeniería social como ClickFix —páginas falsas de verificación que muestran instrucciones para ejecutar comandos— y señuelos dirigidos a buscadores de empleo, con nombres de archivo como Candidate_Skills_Assessment_Test.rar o Compensation_Benefits_Commission.exe .

Una vez establecido, PureRAT establece una conexión cifrada con su servidor C2, a menudo utilizando certificados X.509 auto-firmados para TLS pinning y comunicándose mediante datos en formato protobuf a través de puertos no estándar . Tras una fase inicial de fingerprinting que recopila exhaustivamente información del sistema —incluyendo identificadores de hardware, software de seguridad instalado, presencia de carteras de criptomonedas y datos de navegadores— el RAT entra en un bucle persistente de recepción de comandos . Los módulos documentados incluyen PluginPcOption (para autodestrucción o reinicio), PluginWindowNotify (que monitoriza ventanas en busca de palabras clave como "password" o "bank" y toma capturas de pantalla) y PluginClipper (que secuestra el portapapeles reemplazando direcciones de criptomonedas) . Además, el atacante ha sido observado utilizando herramientas de IA para generar scripts y código, como lo evidencian comentarios detallados, instrucciones paso a paso e incluso emojis en el código, lo que sugiere que la tecnología está siendo empleada para automatizar y agilizar el desarrollo de malware .

Funcionamiento de PureRAT (técnico y extenso)

1. Cadena de Infección y Distribución

Las campañas de PureRAT se caracterizan por su diversidad de vectores de entrada, todos ellos centrados en la ingeniería social:

Archivos RAR con doble extensión: El vector más comúnmente documentado. Correos de phishing enviados a organizaciones rusas desde marzo de 2023 contienen archivos RAR con nombres como doc_054_[redacted].pdf.rar. Al abrir el archivo, la víctima ejecuta un binario que inicia la cadena de infección .
Archivos LNK y esteganografía en PNG: El ataque comienza con un acceso directo .lnk que, al ser ejecutado, lanza un comando PowerShell oculto. Este script descarga una imagen PNG del servidor del atacante. La imagen contiene, incrustado mediante esteganografía, un payload PE codificado en Base64. El script localiza los índices de inicio y fin del payload, aplica reemplazo de caracteres, invierte los datos, lo decodifica en Base64 y lo convierte en un array de bytes. Este array se carga directamente en memoria como un ensamblado .NET usando System.Reflection.Assembly.Load(). Esta técnica de carga en memoria (fileless) evita que el payload malicioso sea escrito en disco .
DLL Sideloading abusando de Foxit PDF Reader: En una campaña de diciembre de 2025, los atacantes distribuyeron archivos comprimidos que contenían una versión renombrada de FoxitPDFReader.exe (por ejemplo, Compensation_Benefits_Commission.exe) junto con una DLL maliciosa oculta (msimg32.dll). Al ejecutar el falso ejecutable de Foxit, la DLL maliciosa es cargada debido al orden de búsqueda de DLL de Windows, dando inicio a la infección. Para hacer el engaño más creíble, el archivo muestra un documento PDF legítimo con ofertas de trabajo para distraer al usuario .
ClickFix y campañas contra el sector hotelero: Una campaña activa desde al menos abril de 2025 utiliza páginas de phishing que imitan a Booking.com. Estas páginas incluyen un temporizador y un video, y después de un tiempo, muestran instrucciones (ClickFix) que llevan a la víctima a ejecutar comandos para resolver un supuesto problema de verificación, iniciando la descarga de PureRAT .

2. Ofuscación y Evasión de Defensas

PureRAT emplea múltiples capas de ofuscación y técnicas de evasión a lo largo de su cadena de infección para dificultar el análisis estático y dinámico:

Ofuscación del script PowerShell: El script de segunda etapa utilizado en la variante de esteganografía PNG está fuertemente ofuscado. Se ha observado la adición de datos basura en ambos extremos de las cadenas para confundir a los analistas y evitar la detección automatizada .
Detección de entornos virtuales: El malware verifica la presencia de entornos de virtualización como VMware y QEMU y, si los detecta, se termina inmediatamente para evitar ser analizado en sandboxes .
Bypass de UAC y Process Hollowing: Para elevar privilegios, PureRAT abusa de cmstp.exe, un binario legítimo de Windows. Una vez con privilegios, utiliza process hollowing para inyectar y ejecutar su código malicioso en el proceso legítimo msbuild.exe. Esto permite que el código malicioso se ejecute bajo la firma de un proceso de confianza, mientras que el msbuild.exe original en disco permanece intacto y con su firma válida .
Ofuscación .NET Reactor: El payload .NET que se carga después de la fase de esteganografía está protegido con el ofuscador comercial .NET Reactor, que hace que el desensamblado y la ingeniería inversa del código sean mucho más difíciles .
Generación de código con IA: Se ha documentado que los operadores de PureRAT están utilizando herramientas de inteligencia artificial para escribir scripts y código. Esto se evidencia por la presencia de comentarios detallados, instrucciones paso a paso, y emojis en el código, características típicas de la salida de modelos de IA entrenados con datos de plataformas como Reddit .

3. Comunicación C2 y Fingerprinting del Host

Una vez establecido el backdoor en el sistema, PureRAT se conecta a su servidor de Comando y Control:

Conexión Cifrada: El malware establece una conexión SSL/TLS con su C2, utilizando certificados X.509 auto-firmados y una técnica de TLS pinning para evitar la inspección de tráfico por parte de proxies o firewalls . Las comunicaciones emplean el protocolo protobuf para estructurar los datos .
Fingerprinting del host: Inmediatamente después de conectar, PureRAT envía un paquete de "hello" que contiene un extenso perfil de la máquina víctima . Este perfil incluye:
- Identificador único del host: Generado mediante un hash MD5 que combina el ID del procesador, el número de serie del disco duro, el número de serie de la memoria física y el nombre de dominio del usuario .
- Presencia de carteras de criptomonedas: El malware escanea en busca de extensiones de navegador y rutas de sistema para identificar la presencia de docenas de carteras de criptomonedas, aunque en esta fase solo reporta su existencia, no roba los fondos directamente .
- Información de seguridad: Detecta el software antivirus instalado, el nombre del equipo y el tiempo de actividad del sistema .
Bucle de tareas: Una vez completado el handshake, el RAT entra en un bucle de espera. Lee los primeros 4 bytes de la comunicación para determinar la longitud del payload, luego lee esa cantidad de bytes y deserializa el mensaje protobuf. Finalmente, se genera un nuevo hilo para ejecutar el comando recibido. Esto convierte a PureRAT en un cargador dinámico que puede recibir e instalar módulos (plugins) bajo demanda, ampliando sus capacidades sin necesidad de ser recompilado .

4. Módulos (Plugins) y Capacidades

La verdadera potencia de PureRAT reside en su arquitectura modular. Aunque la funcionalidad base incluye el fingerprinting y el establecimiento del C2, los operadores pueden desplegar una serie de plugins para tareas específicas, documentados en varios informes:

Plugin de ejecución y control del sistema: (PluginPcOption) permite al malware eliminarse a sí mismo, reiniciar sus procesos, o forzar el apagado o reinicio del sistema de la víctima .
Plugin de monitorización de ventanas: (PluginWindowNotify) monitoriza las ventanas activas. Si detecta palabras clave como "password" o "bank", captura una captura de pantalla y la envía a los operadores .
Plugin Clipper: (PluginClipper) es un secuestrador del portapapeles (clipboard hijacker) especializado en criptomonedas. Cuando el usuario copia una dirección de billetera, este plugin la reemplaza silenciosamente con una dirección controlada por el atacante, redirigiendo los fondos durante las transacciones .
Keylogger y Remote Desktop: Se ha documentado que PureRAT puede incluir módulos para el registro de pulsaciones de teclas (keylogging) y para ofrecer acceso remoto a la pantalla, incluyendo la técnica HVNC (Hidden Virtual Network Computing), que permite controlar el escritorio de forma invisible para el usuario .
PureLogs (Stealer): Aunque técnicamente es una carga útil separada desplegada a través de PureCrypter, con frecuencia acompaña a PureRAT. Este potente ladrón de información extrae datos de navegadores, clientes de correo, aplicaciones de mensajería, VPNs, gestores de contraseñas y carteras de criptomonedas .

5. Persistencia

PureRAT asegura su permanencia en el sistema infectado a través de varios mecanismos:

Tarea programada: Crea una tarea en el Programador de Tareas de Windows para ejecutar el malware de forma recurrente, incluso después de reinicios .
Copias en el directorio de inicio: En algunas variantes, el malware se copia en %AppData% como task.exe o Action.exe y crea un script VBS en la carpeta de inicio (Startup) para garantizar su ejecución en cada inicio de sesión del usuario .
Entradas de registro: Modifica las claves de registro Run para iniciar automáticamente el malware o sus scripts asociados al arrancar el sistema .

Impacto y consecuencias de PureRAT (técnico y extenso)

1. Impacto en las Organizaciones y Víctimas

El alcance de las campañas de PureRAT ha sido significativo, afectando a múltiples sectores y regiones:

Sector Financiero y Empresas Rusas: Desde marzo de 2023, una campaña sostenida ha atacado a organizaciones en Rusia, con un aumento cuádruple en los incidentes en 2025 en comparación con 2024 . Los sectores objetivo incluyen banca, finanzas, educación, gobierno, energía, construcción, manufactura y comercio electrónico .
Sector Hotelero: Una campaña de ClickFix activa desde abril de 2025 ha comprometido cuentas de empleados de hoteles, quienes gestionan plataformas como Booking.com y Expedia, utilizando sus credenciales para perpetrar fraudes y, en algunos casos, extender el ataque a los clientes de los hoteles .
Buscadores de Empleo: Los atacantes han explotado la vulnerabilidad emocional de las personas que buscan trabajo, enviando archivos con nombres como Candidate_Skills_Assessment_Test.rar y Compensation_Benefits_Commission.exe. Al abrir estos archivos, se inicia la descarga e instalación de PureRAT, que puede operar en estaciones de trabajo personales o corporativas .
Comercio Minorista y Juegos: Se ha observado el despliegue de PureRAT junto con otros malware como SilentCryptoMiner y PureLogs en campañas que, tras ofrecer software pirata, instalan el kit malicioso .

2. Consecuencias para la Ciberseguridad y la Defensa

Evolución de la Amenaza con IA: La confirmación de que los operadores de PureRAT utilizan IA para generar código y scripts representa un cambio cualitativo en el panorama de amenazas . Al automatizar tareas complejas y reducir la barrera de entrada para atacantes menos calificados, esta tecnología facilita la creación de malware más sofisticado y la rápida adaptación de campañas . La presencia de emojis y comentarios detallados son firmas claras de código generado por IA .
Aumento de Ataques Fileless: La técnica de ejecución sin archivos (fileless) mediante esteganografía en PNG y process hollowing es particularmente peligrosa. Al evitar escribir código malicioso en el disco, el malware elude a la mayoría de las soluciones antivirus tradicionales basadas en firmas y a los escáneres de archivos. Su detección requiere herramientas más avanzadas como EDR (Endpoint Detection and Response) que monitoricen el comportamiento de procesos y la memoria .
Campañas de Spear-Phishing Avanzadas: Las campañas de phishing han evolucionado en sofisticación, desde correos con archivos RAR y dobles extensiones hasta páginas ClickFix interactivas. Las técnicas como el DLL sideloading (abusando de Foxit PDF Reader), el uso de PowerShell, y el secuestro del portapapeles (clipper) demuestran un alto nivel de planificación y conocimiento técnico por parte de los operadores .
Erosión de la Confianza: El abuso de marcas conocidas como Booking.com para phishing mina la confianza de los usuarios en las plataformas digitales, especialmente en sectores como el turismo donde la comunicación entre cliente y hotel es crucial.

3. Recomendaciones para la Defensa

Las organizaciones deben implementar una estrategia defensiva multicapa para mitigar el riesgo de PureRAT:

Segmentación de Red: Aislar los dispositivos Android TV y otros dispositivos IoT de las redes corporativas para contener el impacto de una posible infección .
Deshabilitar ADB: En dispositivos Android TV, desactivar Android Debug Bridge o restringir su acceso a conexiones USB únicamente .
Monitoreo de Red: Vigilar la red en busca de tráfico anómalo hacia endpoints Ethereum RPC, conexiones Tor y conexiones al puerto 23075 en localhost .
Auditoría de Procesos: Identificar procesos con nombres no estándar que se hacen pasar por servicios del sistema (por ejemplo, netd_service) .
Políticas de Ejecución Restrictiva: Configurar políticas estrictas para la ejecución de PowerShell y VBS, bloqueando la ejecución de scripts no firmados .
Monitoreo de Procesos y Memoria: Utilizar soluciones EDR capaces de detectar actividades en memoria como Process Hollowing y Reflective Code Loading .
Actualizaciones y Parches: Aplicar parches de seguridad de manera oportuna para cerrar vulnerabilidades conocidas que podrían ser explotadas durante el acceso inicial .
Formación de Usuarios: Capacitar a los empleados para reconocer los riesgos de abrir archivos .lnk inesperados, archivos con dobles extensiones, y para verificar la autenticidad de ofertas de trabajo o comunicaciones de plataformas de terceros .

Origen y motivación de PureRAT (un solo párrafo)

PureRAT es un troyano de acceso remoto (RAT) comercializado bajo un modelo Malware-as-a-Service (MaaS) y desarrollado por un cibercriminal conocido como "PureCoder" . Se ha atribuido con alta confianza la operación de las campañas a un actor de amenazas con sede en Vietnam, como lo demuestra el uso del idioma vietnamita en los scripts, referencias a la ciudad de Hanoi, y una infraestructura C2 ubicada en el país . La motivación principal es financiera, ya que el desarrollador monetiza el malware a través de su venta, y los operadores lo utilizan para robar criptomonedas (mediante clipper y robo de carteras), vender acceso a redes comprometidas y desplegar cargas útiles como el ladrón de información PureLogs . Un aspecto que distingue a PureRAT es el uso documentado de herramientas de inteligencia artificial (IA) para generar su código y scripts, lo que demuestra cómo la tecnología está siendo adoptada por actores de amenazas para reducir la barrera de entrada y automatizar la creación de malware