- ESET identifica una campaña que distribuye el RAT Ratty mediante PDF maliciosos y una cadena escalonada de descarga.
- El foco principal son usuarios hispanohablantes, con especial incidencia en Perú, aunque el riesgo se extiende por Latinoamérica.
- Los atacantes abusan de Google Drive, Dropbox y Mediafire para alojar archivos y evadir sospechas.
- Ratty permite espionaje, persistencia y control remoto; se recomiendan medidas como EDR, copias de seguridad y verificación de adjuntos.
Investigadores de ESET han identificado una campaña de phishing que difunde un troyano de acceso remoto a través de archivos PDF que parecen legítimos. El operativo se dirige principalmente a usuarios de habla hispana con énfasis en Perú, aunque, por la naturaleza del vector, podría replicarse en otros países de Latinoamérica.
El gancho más habitual llega por correo con un adjunto llamado «Factura.pdf». Tras abrirlo, un enlace interno conduce a la descarga de un HTML que dispara un script VBS, descomprime un ZIP y acaba lanzando un JAR camuflado: una variante del RAT Ratty que establece contacto con un servidor de mando y control.
Cómo opera la campaña
El ataque arranca con un correo que aparenta ser una factura o documento contable e incluye un PDF. Al interactuar con los enlaces del documento, la víctima es redirigida a un archivo HTML (ej. «FACTURA-243240011909044.html») alojado en servicios de la nube para otorgarle apariencia de legitimidad.
Ese HTML ejecuta un VBS (por ejemplo, «FA-45-04-25.vbs») que descarga un paquete comprimido («InvoiceXpress.zip«) con más componentes. En su interior se encuentra un CMD («InvoiceXpress.cmd») cuyo cometido es lanzar el JAR malicioso («InvoiceXpress.jar»), identificado como Ratty.
En algunos casos, los criminales comprueban el idioma del navegador y solo continúan la secuencia si detectan español u otro idioma distinto del inglés, acotando mejor a su público objetivo.
El uso de plataformas de almacenamiento como Google Drive, Dropbox o Mediafire facilita que las descargas pasen inadvertidas, ya que se apoyan en servicios conocidos para evadir sospechas y ciertos controles automáticos.
- Correo inicial con PDF de “factura” u otro documento creíble.
- Descarga de HTML a través de un enlace incrustado en el PDF.
- Ejecución de VBS que baja y descomprime el paquete con el malware.
- Lanzamiento del JAR (Ratty) desde un script de comandos.
- Conexión al C2 y activación de módulos de control y espionaje.
Qué puede hacer Ratty en el equipo
Una vez en ejecución, Ratty ofrece a los atacantes una amplia gama de funciones de vigilancia y control del sistema comprometido, lo que eleva sustancialmente el riesgo para las víctimas.
- Recolección de información: capturas de pantalla, grabación por micrófono, uso de la cámara e incluso keylogging para registrar pulsaciones.
- Persistencia: se copia en el sistema con extensión PNG para camuflarse y crea una entrada en el registro («AutorunKey«) que le permite iniciarse automáticamente.
- Ocultamiento y sabotaje: puede bloquear la pantalla, congelar el ratón o impedir pulsaciones para obstaculizar la reacción del usuario.
- Transferencia de archivos: subida y bajada entre el equipo y el C2, e interacción por HTTP mediante componentes como «HTTPUtil.java».
El troyano está escrito en Java, algo menos común en campañas regionales, pero su amplio repertorio de módulos ayuda a explicar su adopción reciente. ESET advierte que existen variantes con diferentes niveles de sofisticación.
Infraestructura y comunicaciones del C2
Según el análisis, Ratty se conecta a un servidor de comando y control alojado en infraestructura identificada como EQUINIX-CONNECT-EMEAGB, utilizando el puerto TCP 8911 para sostener el enlace con los operadores.
Entre los módulos observados destacan PacketLogin (autenticación), PacketKeepAlive (mantener la sesión) y PacketDisconnect (desconexión), que articulan la comunicación con el servidor y mejoran la estabilidad del control remoto.
Alcance y tácticas de distribución
El foco de la campaña está en Perú y usuarios de habla hispana, aunque el vector empleado —PDF con enlaces a descargas encadenadas— es replicable en otros países de la región, por lo que el riesgo es transfronterizo.
Los delincuentes abusan de servicios en la nube para alojar componentes maliciosos y recurren a ofuscación de scripts en HTML y VBS, lo que complica su detección en fases tempranas y favorece la entrega escalonada del RAT.
Más allá de este caso, se han visto campañas que emplean PDFs fraudulentos para robar credenciales o datos financieros, un patrón que refuerza la necesidad de desconfiar de adjuntos inesperados y de enlaces con urgencias poco justificadas.
Impacto potencial para personas y empresas
El objetivo principal es robar información sensible (credenciales, claves bancarias, documentos privados) y facilitar el espionaje o el uso del equipo comprometido en otras actividades ilícitas.
En entornos corporativos, la intrusión puede abrir la puerta a movimientos laterales, secuestro de cuentas y filtraciones de datos que derivan en fraude o pérdida reputacional, con impacto económico considerable.
Señales de alerta en PDFs maliciosos
Detectar una amenaza en un PDF no siempre es evidente, pero hay pistas que conviene revisar con detenimiento antes de abrir o hacer clic en cualquier enlace.
- Adjuntos comprimidos (ZIP/RAR) que buscan saltarse filtros de correo.
- Nombres genéricos o engañosos como «Factura.pdf» o dobles extensiones («documento.pdf.exe»).
- Remitentes desconocidos o dominios extraños, sin relación con la actividad del usuario.
- Mensajes con urgencia fuera de contexto o instrucciones poco habituales dentro del PDF.
Medidas de protección recomendadas
Adoptar una estrategia defensiva por capas reduce el riesgo de infección y mejora la capacidad de respuesta ante incidentes de este tipo.
- Evitar abrir adjuntos de remitentes desconocidos; comprobar enlaces antes de pulsar y validar su legitimidad.
- Deshabilitar la ejecución automática de scripts VBS o ejecutables descargados desde documentos.
- Actualizar sistema operativo y soluciones de seguridad con firmas recientes; en empresas, implantar EDR para detectar comportamientos anómalos.
- Copias de seguridad periódicas en medios no conectados de forma continua.
- Fortalecer filtros de correo y políticas internas de verificación de adjuntos y enlaces.
Implicaciones para organismos y colaboración regional
Las entidades públicas y privadas deberían monitorear campañas similares, compartir inteligencia y coordinar prácticas de ciberdefensa a nivel regional para frenar su expansión entre países.
La combinación de ingeniería social y entrega por etapas mediante PDF, HTML, VBS, ZIP y JAR hace que esta operación sea especialmente escurridiza; extremar la vigilancia y reforzar procesos es clave para minimizar el riesgo.
La operación descubierta ilustra cómo un PDF aparentemente inocuo puede desencadenar una serie de descargas encubiertas que terminan en el despliegue de Ratty, con capacidades de espionaje y control total. Aunque el foco esté en Perú, el método es replicable en la región; conviene elevar las precauciones, mejorar los controles y consolidar hábitos seguros en torno a los adjuntos y los enlaces recibidos por correo.