Malware EndRAT

Una sofisticada campaña cibernética atribuida al grupo de amenazas Konni demuestra una estrategia calculada para la infiltración a largo plazo, la exfiltración de datos y la propagación lateral. En el centro de esta operación se encuentra el malware EndRAT, un potente troyano de acceso remoto diseñado para mantener la persistencia y extraer silenciosamente información confidencial, aprovechando los canales de comunicación de confianza para ampliar su alcance.

Punto de entrada engañoso: tácticas de spear-phishing utilizadas como arma

La intrusión comienza con un correo electrónico de spear-phishing cuidadosamente elaborado, disfrazado de notificación oficial que nombra al destinatario como profesor de derechos humanos en Corea del Norte. Esta táctica de ingeniería social está diseñada para explotar la credibilidad y la curiosidad.

Una vez que el destinatario abre el archivo ZIP adjunto, se ejecuta un archivo de acceso directo de Windows (LNK) malicioso. Esta acción inicia una cadena de infección en varias etapas:

• El archivo LNK recupera una carga útil secundaria de un servidor remoto.
• La persistencia se establece mediante tareas programadas para garantizar el acceso a largo plazo.
• Se muestra un documento PDF falso para distraer a la víctima mientras se ejecutan procesos maliciosos en segundo plano.

Este compromiso inicial permite el despliegue de EndRAT sin despertar sospechas inmediatas.

EndRAT desatado: Control persistente y exfiltración de datos

EndRAT (también conocido como EndClient RAT), desarrollado con AutoIt, constituye la base operativa del ataque. Una vez integrado en el sistema, permite el control remoto total del equipo comprometido.

Las principales capacidades de EndRAT incluyen:

• Acceso remoto a la consola para la ejecución de comandos.
• Manipulación del sistema de archivos y exfiltración de datos
• Transferencia segura de datos entre la víctima y el atacante.
• Posicionamiento persistente mediante mecanismos de sigilo

El software malicioso permanece oculto durante largos períodos, lo que permite la vigilancia continua y la extracción de documentos internos y datos confidenciales.

Despliegue de amenazas por capas: Múltiples RAT para la resiliencia

Un análisis forense más detallado revela que EndRAT no se implementa de forma aislada. En el entorno comprometido se introducen componentes maliciosos adicionales, incluidos scripts basados en AutoIt vinculados a RftRAT y RemcosRAT.

Esta estrategia de despliegue por capas indica que los objetivos de alto valor están sujetos a mecanismos de control redundantes, lo que garantiza la continuidad operativa incluso si se detecta o elimina una variante de malware. La presencia de múltiples familias de RAT mejora significativamente la capacidad del atacante para mantener el acceso y adaptarse a las medidas defensivas.

Utilizar la confianza como arma: KakaoTalk como canal de distribución de malware

Una característica distintiva de esta campaña es el abuso de la aplicación de escritorio KakaoTalk instalada en los sistemas infectados. Aprovechando las sesiones de usuario autenticadas, los atacantes convierten a las víctimas en distribuidores involuntarios de malware.

Utilizando la cuenta comprometida, se envían selectivamente archivos ZIP maliciosos a contactos dentro de la red de la víctima. Estos archivos suelen estar disfrazados como contenido relacionado con Corea del Norte, lo que aumenta la probabilidad de interacción y ejecución.

Esta táctica aprovecha las relaciones de confianza ya establecidas, mejorando significativamente las tasas de éxito de la infección y permitiendo el movimiento lateral dirigido a través de redes sociales y profesionales.

Evolución de las tácticas: del abuso de mensajes al sabotaje de dispositivos.

Esta campaña se basa en la actividad observada previamente en noviembre de 2025, cuando el mismo grupo de ciberdelincuentes utilizó sesiones de KakaoTalk para distribuir archivos maliciosos. Durante esa operación, los atacantes también aprovecharon las credenciales de Google robadas para borrar de forma remota los datos de los dispositivos Android de las víctimas.

El uso continuado de plataformas de mensajería pone de manifiesto una estrategia en evolución centrada en el secuestro de cuentas y los canales de comunicación de confianza, en lugar de las técnicas tradicionales de distribución masiva.

Evaluación estratégica: un modelo de amenazas persistente y adaptativo.

Esta operación ejemplifica un marco de ataque multifase altamente coordinado que va mucho más allá del compromiso inicial. Al combinar spear-phishing, persistencia sigilosa, acceso remoto avanzado mediante EndRAT y propagación basada en cuentas, el atacante logra una estrategia de intrusión tanto profunda como amplia.

La selección de contactos, combinada con contenido señuelo cuidadosamente elaborado, pone de manifiesto un enfoque deliberado y basado en la inteligencia. El uso de EndRAT como mecanismo de control central refuerza su papel como herramienta fundamental en las operaciones modernas de ciberespionaje, permitiendo el acceso sostenido, el robo de datos y cadenas de infección escalables a través de redes de confianza.