Dominio legítimo como señuelo: la campaña de malspam que despliega DesckVB RAT con redirecciones y evasión de seguridad

Investigadores en ciberseguridad han identificado una campaña de malspam que aprovecha la reputación de un dominio legítimo para ponerse entre el usuario y la infraestructura del atacante, y así entregar un troyano de acceso remoto (.NET) llamado DesckVB RAT. En lugar de enviar enlaces directos a servidores maliciosos, los atacantes comienzan con un archivo HTML adjunto que redirige mediante el sistema de seguimiento de clics de Google DoubleClick y, desde allí, encadena otros redireccionamientos que incorporan la dirección de correo de la víctima codificada en Base64 para armar una página de engaño muy convincente. La consecuencia técnica y práctica es que muchas herramientas de seguridad confían implícitamente en la legitimidad de dominios como DoubleClick y pueden dar menos alarma ante estas cadenas de redirección.

El flujo de infección está pensado para evadir controles básicos: un ZIP descargado desde la página de engaño contiene un cargador en JavaScript que descomprime y ejecuta un script PowerShell; ese script descarga un cargador .NET que actúa como staging, hace comprobaciones anti-análisis, desactiva o degrada controles de seguridad, establece persistencia y finalmente inyecta el RAT en procesos con firma de Microsoft mediante una técnica de “process hollowing”. El malware también modifica el entorno para cegar la telemetría de Windows parchando AMSI y ETW a nivel de API, configura exclusiones en Microsoft Defender y usa sockets TCP crudos para comunicarse con su servidor de comando y control. Es una cadena completa diseñada para permanecer silenciosa y persistente, con capacidades de exfiltración, ejecución remota y despliegue de cargas adicionales.

Más allá de la mecánica, el aspecto estratégico es lo que hace peligrosa esta campaña: al usar un redireccionador legítimo y una plantilla que se personaliza automáticamente con la dirección de correo y branding de la víctima, los operadores no necesitan crear cebos a mano para cada objetivo. Eso baja costos y multiplica el alcance de la operación, aumentando el riesgo para organizaciones de cualquier tamaño. Además, el empleo de técnicas como la inyección en procesos firmados y el blindaje del AMSI/ETW complica la detección tradicional basada en firmas y en alertas estáticas.

Las medidas defensivas deben combinar prevención, detección y respuesta. En el frente del correo electrónico, implementar y garantizar la correcta configuración de autenticación de remitentes con SPF, DKIM y DMARC reduce la probabilidad de spoofing; la guía de referencia sobre DMARC es un buen punto de partida en https://dmarc.org/. Además, las pasarelas de correo que sandboxean adjuntos y enlaces antes de entregarlos añaden una capa crítica que puede bloquear paquetes ZIP que contienen loaders JavaScript o HTA maliciosos.

En endpoints y redes, conviene aplicar principios de lista blanca de aplicaciones (AppLocker, WDAC), políticas de restricción para la ejecución de scripts (forzar que .vbs, .hta y .js se abran en editores de texto mediante GPO, tal y como recomiendan varios equipos de respuesta), y control de egress con inspección de TLS para detectar comunicaciones con C2. Las soluciones EDR modernas que monitorizan comportamiento —por ejemplo, APIs usadas para manipulaciones de memoria, hooks sobre AmsiScanBuffer o modificaciones en ETW— son cruciales dado que técnicas como el “process hollowing” se detectan mejor por anomalías comportamentales que por firmas estáticas (puede consultarse la categorización de técnicas de inyección en la base de MITRE ATT&CK en https://attack.mitre.org/techniques/T1055/).

También es importante instrumentar detecciones específicas: alertas sobre la creación de claves Run/RunOnce, colocación de ejecutables en Carpetas de Inicio, llamadas a APIs que parchapan AMSI/ETW, procesos de Windows que cargan código inusual o spawn de procesos con argumentos PowerShell codificados en Base64. Tener playbooks de respuesta que incluyan aislamiento de hosts, captura de memoria y análisis forense para identificar stagers y C2 es imprescindible para contener un compromiso de este tipo antes de que prospere.

Para usuarios finales y administradores: no abrir archivos .html, .zip o ejecutables procedentes de correos no solicitados; verificar remitentes y enviar reportes internos cuando exista la menor sospecha; y reducir privilegios de cuentas para limitar lo que un RAT puede hacer si logra ejecutarse. La combinación de control de correo, políticas de ejecución, monitorización de comportamiento y planes de respuesta rápidas es la defensa más efectiva ante campañas que explotan confianza en servicios legítimos y automatizan el engaño.

Si quieres profundizar en cómo funciona la protección a nivel de Windows contra inyecciones y escaneo antimalware, la documentación técnica sobre AMSI y APIs relacionadas ofrece contexto útil para equipos defensores: https://learn.microsoft.com/en-us/windows/win32/api/amsi/. Implementar estas recomendaciones reduce la superficie explotada por campañas que se apoyan en dominios reputados para esconder su infraestructura maliciosa.