El malware como servicio que roba datos, controla equipos y molesta a las víctimas con prankware

En los últimos meses ha surgido un actor nuevo en el panorama de las amenazas: un servicio de malware ofrecido como producto, promovido en canales públicos como Telegram y YouTube y diseñado para convertir a cualquiera con intención delictiva en un operador capaz de espiar, robar credenciales y controlar equipos a distancia. Se trata de una oferta de tipo "malware-as-a-service" (MaaS) que combina funciones serias de info‑stealing con una colección de trucos provocadores pensados para molestar o confundir a la víctima.

Los investigadores de seguridad que han analizado esta familia de amenazas han documentado que el proyecto se lanzó a principios de año y funciona con un sistema de suscripciones por niveles, lo que facilita el acceso a distintos grados de funcionalidad según lo pagado. En su análisis técnico, los especialistas de Kaspersky describen que la pieza maliciosa comparte numerosos elementos de diseño con otra amenaza conocida (a menudo referida como WebRAT o Salat Stealer), desde la interfaz de control hasta la base en el lenguaje Go y el modelo de comercialización basado en bots y canales automatizados. Puedes leer el informe técnico de Kaspersky aquí: Kaspersky — CrystalX RAT.

En el plano funcional, el malware ofrece varias capacidades típicas de los troyanos de acceso remoto y los info‑stealers: ejecución remota de comandos, transferencia de archivos, navegación por el sistema de ficheros y control remoto de la pantalla mediante VNC incorporado. También incorpora módulos de espionaje que permiten capturar audio y vídeo del equipo infectado, así como un registrador de teclas que transmite pulsaciones en tiempo real al servidor de control. Para los usuarios de criptomonedas, incluye además un clipper: detecta direcciones de cartera copiadas al portapapeles mediante expresiones regulares y las sustituye por direcciones controladas por el atacante.

Desde el punto de vista técnico, los creadores han puesto atención en proteger su cadena de distribución y la comunicación con sus servidores. El generador de payloads permite personalizar ejecutables y aplicar geobloqueos, y el malware incorpora mecanismos anti‑análisis como detección de entornos virtualizados, comprobación de proxies y anti‑depuración. Los archivos generados se comprimen con zlib y se cifran con el cifrado de flujo ChaCha20 para dificultar su inspección y la detección por firmas; más información sobre estas tecnologías está disponible en los artículos técnicos sobre zlib y ChaCha20.

La comunicación con el panel de control de los operadores se realiza sobre WebSocket, un canal que facilita conexiones persistentes y bidireccionales entre el malware y su infraestructura, y que permite al operador conocer el perfil del sistema comprometido y llevar un registro de las infecciones. Para el robo de información en navegadores, el proyecto utiliza herramientas especializadas para extraer datos de navegadores basados en Chromium, como Chrome, Yandex y Opera, y también recopila credenciales y datos de aplicaciones de escritorio populares entre usuarios y gamers, como Steam, Discord y el propio cliente de Telegram.

Más allá de las funciones clásicas de un RAT, este producto destaca por añadir un paquete de "prankware": comandos cuyo objetivo es provocar molestias o interrumpir el trabajo de la víctima. Entre las acciones documentadas por los analistas están cambiar el fondo de pantalla, forzar apagados, invertir o rotar la orientación de la pantalla, desactivar entradas del teclado o el ratón, ocultar elementos de la interfaz como iconos o la barra de tareas, bloquear el Administrador de tareas, y mostrar notificaciones falsas o ventanas de chat para engañar o distraer al usuario. Aunque estas características no incrementan directamente la capacidad de monetizar la intrusión, sí la hacen más llamativa para usuarios con escasa formación técnica y pueden usarse para distraer a la víctima mientras los módulos de robo de datos actúan en segundo plano.

Según los analistas, la combinación de una interfaz accesible, un constructor automatizado y opciones de personalización atrae a actores de baja experiencia técnica que de otra forma no podrían operar este tipo de herramientas. El peligro real es que el modelo MaaS reduce la barrera de entrada y multiplica el número de individuos capaces de ejecutar campañas de robo de datos y fraude, algo que venimos viendo desde hace años con otras variantes de servicios ilícitos en la dark web y canales de mensajería.

Para entender mejor el contexto y las técnicas que emplean este tipo de amenazas, es útil remitirse a marcos de referencia públicos que catalogan tácticas y técnicas de intrusión. El marco ATT&CK de MITRE ofrece un inventario de técnicas utilizadas por adversarios, desde captura de entradas hasta exfiltración y técnicas de evasión, y puede servir como guía para profesionales de seguridad: MITRE ATT&CK.

¿Qué pueden hacer los usuarios y las organizaciones para reducir el riesgo? Los principios básicos de higiene digital siguen siendo los más efectivos: desconfiar y no abrir adjuntos o ejecutables procedentes de fuentes no verificadas, mantener el sistema operativo y las aplicaciones actualizados, utilizar soluciones antivirus y de detección de endpoints reconocidas, y aplicar autenticación multifactor en servicios críticos. En el caso de usuarios que manejan criptomonedas, conviene verificar siempre manualmente las direcciones antes de realizar transferencias y considerar el uso de carteras de hardware para mitigar el riesgo de clippers en el portapapeles.

Desde la perspectiva organizativa, conviene invertir en soluciones que detecten comportamiento anómalo (por ejemplo, conexiones WebSocket sospechosas salientes desde estaciones de trabajo, procesos que acceden a múltiples aplicaciones de mensajería o navegador, o actividad de keylogging), así como políticas de segmentación de red y control de aplicaciones para limitar la exposición. Los equipos de respuesta a incidentes deben mantener procedimientos para aislar máquinas comprometidas y analizar los artefactos con herramientas forenses que puedan lidiar con cargas comprimidas y cifradas.

La aparición de servicios que empaquetan funcionalidades avanzadas en herramientas fáciles de usar es una tendencia preocupante porque democratiza la capacidad para delinquir en el ciberespacio. La prevención y la educación continúan siendo la primera línea de defensa: un usuario informado y unas políticas de seguridad razonables complican en gran medida el éxito de estos ataques.

Para quienes quieran profundizar en el análisis técnico del caso descrito, el informe de Kaspersky ofrece una descripción detallada de las capacidades, la telemetría y las pantallas del panel que los operadores utilizan, y constituye un buen punto de partida: Kaspersky — análisis de CrystalX. Asimismo, la documentación pública sobre los métodos de cifrado y compresión citados en el análisis ayuda a entender por qué las cargas útiles pueden ser más difíciles de inspeccionar: ChaCha20 y zlib.

En definitiva, la combinación de funciones de robo de datos y elementos de “broma” convierte a esta familia de RAT en una amenaza versátil: capaz de espiar y exfiltrar información, y a la vez de causar interrupciones o confusión. La mejor respuesta sigue siendo una mezcla de controles técnicos, formación continua y una actitud preventiva a la hora de tratar contenidos y descargas desde fuentes no verificadas.