{"id":178266,"date":"2025-09-30T11:41:05","date_gmt":"2025-09-30T14:41:05","guid":{"rendered":"https:\/\/nuevoitsitio1.wpenginepowered.com\/co\/sin-categoria\/eset-advierte-por-pdfs-maliciosos-que-circulan-en-latinoamerica\/"},"modified":"2025-11-21T21:22:07","modified_gmt":"2025-11-22T00:22:07","slug":"eset-advierte-por-pdfs-maliciosos-que-circulan-en-latinoamerica","status":"publish","type":"post","link":"https:\/\/www.itsitio.com\/co\/seguridad\/eset-advierte-por-pdfs-maliciosos-que-circulan-en-latinoamerica\/","title":{"rendered":"ESET advierte por PDFs maliciosos que circulan en Latinoam\u00e9rica"},"content":{"rendered":"

El equipo de investigaci\u00f3n de ESET<\/a>, compa\u00f1\u00eda l\u00edder en detecci\u00f3n proactiva de amenazas, descubri\u00f3 una reciente campa\u00f1a de phishing que distribuye Ratty, un troyano de acceso remoto (RAT). La campa\u00f1a utiliza documentos PDF maliciosos y t\u00e9cnicas de ingenier\u00eda social dirigidas a usuarios de habla hispana, principalmente de usuarios en Per\u00fa. Los cibercriminales han utilizado diferentes servicios de alojamiento en la nube como Google Drive, Dropbox y Mediafire para alojar y propagar diferentes c\u00f3digos maliciosos descriptos en este blog.<\/p>\n

Ratty es un troyano de acceso remoto que tiene diversas funciones como la captura de pantalla, acceso a la c\u00e1mara y al micr\u00f3fono,\u00a0keylogging,<\/a>\u00a0navegaci\u00f3n por archivos y ejecuci\u00f3n remota de comandos en el sistema infectado. \u201cEste RAT escrito en Java aunque no es habitual en la regi\u00f3n latinoamericana est\u00e1 siendo utilizado en campa\u00f1as maliciosas debido a la gran cantidad de funcionalidades con las que cuenta. Entre sus capacidades m\u00e1s relevantes se destaca la de recolecci\u00f3n de informaci\u00f3n mediante keylogging, capturas de pantalla y grabaci\u00f3n de audio, entre otros, as\u00ed como la exfiltraci\u00f3n de datos, conexi\u00f3n C2 y persistencia. Estas no son sus \u00fanicas funcionalidades y existen diversas variantes con distintos paquetes y m\u00f3dulos.\u201d, <\/em>comenta Fabiana Ram\u00edrez Cuenca, Investigadora de Seguridad Inform\u00e1tica de ESET Latinoam\u00e9rica.<\/p>\n

\"Ejemplo
Ejemplo del archivo adjunto de tipo PDF<\/figcaption><\/figure>\n

Cadena de infecci\u00f3n (flujo de ataque)<\/span><\/h2>\n

La campa\u00f1a maliciosa comienza con un correo de phishing que incluye un archivo adjunto llamado Factura.pdf que induce a la v\u00edctima a hacer clic en un enlace que produce la descarga de un archivo HTML (FACTURA-243240011909044.html), que a su vez descarga un script VBS (FA-45-04-25.vbs). Este script, al ser ejecutado, facilita la descarga de un archivo comprimido (InvoiceXpress.zip), dentro del cual se encuentra un archivo (InvoiceXpress.cmd) encargado de ejecutar InvoiceXpress.jar, identificado como el troyano de acceso remoto Ratty, que adem\u00e1s establece conexi\u00f3n con un servidor de comando y control.<\/p>\n

Acciones y funcionalidades observadas<\/span><\/h2>\n

Una vez ejecutado, Ratty realiza m\u00faltiples acciones, aunque no son las \u00fanicas, desde ESET destacan las siguientes:<\/p>\n