Un troyano de acceso remoto denominado AsyncRAT, publicado inicialmente en GitHub en enero de 2019 por NYAN CAT, ha evolucionado hasta convertirse en una herramienta ampliamente utilizada en el mundo del malware. Desde su lanzamiento, se han desarrollado varias variantes basadas en su código abierto y arquitectura modular.
Características y funcionamiento
AsyncRAT está escrito en C# y permite a los atacantes realizar capturas de pantalla, registrar pulsaciones de teclas, robar credenciales y controlar sistemas infectados. Su naturaleza de código abierto y su arquitectura basada en complementos han facilitado la creación de múltiples bifurcaciones, lo que ha ampliado su alcance.
El malware se implementa comúnmente en campañas de phishing oportunistas y se integra con cargadores como GuLoader o SmokeLoader. Estos métodos permiten una rápida distribución mediante software pirateado, anuncios maliciosos o actualizaciones falsas, afectando tanto a usuarios corporativos como particulares.
Relación con otras herramientas
AsyncRAT se basa en la plataforma de código abierto Quasar RAT (también conocida como CinaRAT o Yggdrasil), disponible desde 2015. Aunque ambas herramientas están programadas en C#, las diferencias significativas sugieren que AsyncRAT fue una reescritura a fondo.
Desde su lanzamiento, AsyncRAT ha generado varias variantes, entre ellas DCRat y Venom RAT. DCRat incorpora técnicas de evasión para pasar desapercibido y aumenta su capacidad para recopilar datos de cámaras web, grabaciones de micrófono y tokens de Discord.
Venom RAT se inspira en DCRat pero incluye características únicas. Se considera una amenaza más sofisticada debido a sus técnicas de evasión avanzadas.
Variantes menos conocidas
Se han identificado otras variantes menos conocidas, como NonEuclid RAT, que incorpora complementos para forzar credenciales SSH y FTP, recopilar geolocalización y actuar como un clipper al sustituir los datos del portapapeles con las direcciones de la billetera de criptomonedas del atacante.
JasonRAT introduce cambios personalizados, como la capacidad de atacar sistemas según el país. XieBroRAT incluye un ladrón de credenciales de navegador y un complemento para interactuar con los servidores de Cobalt Strike mediante una conexión inversa.
Impacto y evolución
ESET ha señalado que el auge de AsyncRAT y sus bifurcaciones refleja los riesgos inherentes a los frameworks de malware de código abierto. Estas variantes amplían las capacidades técnicas del original, demostrando la rapidez con la que los actores de amenazas pueden adaptar y reutilizar el código abierto.
La disponibilidad de estos frameworks reduce las barreras de entrada para ciberdelincuentes en ciernes, permitiendo incluso a principiantes implementar malware sofisticado. Esta democratización del desarrollo de malware acelera la creación y personalización de herramientas maliciosas.
El aumento de la popularidad de los LLM (Large Language Models) y su potencial uso indebido también contribuye a un panorama de amenazas cada vez más complejo. Este cambio ha impulsado el auge del malware como servicio (MaaS), donde se venden constructores preconfigurados y módulos listos para usar en Telegram y foros de la dark web.
Para los equipos de seguridad, esto implica un mayor enfoque en la detección del comportamiento, el análisis de comando y control (C2) y la comprensión de cómo la persistencia sin archivos, el secuestro del portapapeles y el robo de credenciales convergen en las campañas de malware modernas.