Triton es un artefacto de acceso remoto (RAT) desarrollado en Python. Este tipo de malware ha sido identificado como una amenaza de nivel APT (Advanced Persistent Threat). El código malicioso emplea la plataforma Telegram como infraestructura de C2 (Comando y Control).
Capacidades de post-explotación avanzadas
Triton habilita capacidades de post-explotación avanzadas, incluyendo keylogging, credential dumping, screen scraping, webcam hijacking y clipboard monitoring. El código malicioso se enfoca especialmente en la exfiltración de credenciales de Roblox y cookies de autenticación persistente.
Técnicas de extracción de datos
Triton utiliza técnicas de API abuse para extraer la cookie .ROBLOSECURITY de Roblox. El ciclo de vida del RAT inicia con la extracción de su token de bot de Telegram y el chat ID desde Pastebin, mediante URLs ofuscadas con codificación Base64.
Vector inicial basado en ingeniería social
El vector inicial se basa en técnicas de ingeniería social (pishing/lure delivery). El RAT implementa mecanismos de ofuscación de defensas para garantizar persistencia.
Generación de scripts y despliegue de binarios
Triton genera un script VBS (updateagent.vbs) que deshabilita Windows Defender mediante regedit y crea tareas programadas (Windows Task Scheduler). Triton ejecuta un script BAT (check.bat) que despliega un binario (ProtonDrive.exe) desde Dropbox, almacenado en una ruta ofuscada con atributos sistema/oculto.
Elevación de privilegios y técnicas anti-forense
La elevación de privilegios se logra mediante UAC bypass para ejecución en contexto NT AUTHORITY\SYSTEM. El artefacto incorpora técnicas anti-forense, incluyendo process hollowing, heuristic evasion y code obfuscation.
Riesgos asociados
Triton representa un riesgo crítico debido a su enfoque en el robo de identidades digitales, capacidades de evasión avanzada y arquitectura multiplataforma. Su integración con servicios legítimos (Telegram, Dropbox) para C2 dificulta la atribución y detección.
Contramedidas recomendadas
Contramedidas basadas en análisis de comportamiento (EDR/XDR). Hardening de endpoints.