Memoria como arma: Lazarus y el nuevo dominio de los ataques financieros que no dejan rastro en disco

La investigación publicada por Fox-IT sobre RemotePE, un troyano de acceso remoto (RAT) empleado por el grupo Lazarus, confirma una tendencia crítica en la ciberamenaza dirigida a las finanzas y las criptomonedas: ataques cada vez más diseñados para permanecer en memoria y evitar dejar huella en disco. Aunque la ejecución en memoria no es nueva, la combinación de cargadores encadenados, el uso de DPAPI para desencriptar payloads y técnicas de evasión como Hell's Gate y el parcheo de ETW muestran un desarrollo deliberado orientado a la sigilosidad a largo plazo.

RemotePE no actúa solo: forma parte de un conjunto de herramientas donde DPAPILoader inicializa el proceso al desencriptar y cargar RemotePELoader, que a su vez descarga y ejecuta RemotePE únicamente en memoria. Ese diseño reduce significativamente las evidencias forenses en disco y obliga a las defensas a centrarse en la memoria, la telemetría de procesos y el tráfico de red.

Para las organizaciones financieras y de criptomonedas, la implicación práctica es doble. Por un lado, la presencia de una cadena de intrusión donde el actor interactúa con la víctima (social engineering vía Telegram y dominios falsos de Calendly/Picktime) subraya que la seguridad técnica debe complementarse con controles humanos y procesos verificables para reuniones, onboarding y solicitudes de acceso. Por otro lado, la capacidad de mantener acceso prolongado sin detección incrementa el riesgo de operaciones finales de alto impacto como fraude financiero, extracción de claves o vaciado de bóvedas de criptoactivos.

Desde la perspectiva técnica, hay señales concretas a vigilar: uso abusivo de DPAPI para almacenar o recuperar cargas útiles, conexiones salientes a dominios sospechosos como "aes-secure[.]net", modificaciones en la instrumentación de eventos de Windows (ETW) y técnicas de inyección avanzadas tipo Hell's Gate. La detección eficaz exige correlacionar telemetría de endpoints, registros de red y capturas de memoria antes de que el actor ejecute acciones de alto impacto.

En cuanto a las capacidades del malware, RemotePE implementa comandos para gestión de archivos, manipulación de DLLs en memoria, control de procesos, persistencia en el directorio de trabajo y una orden de borrado que sobrescribe ficheros repetidamente antes de eliminarlos. Este patrón de eliminación, visto también en PondRAT y POOLRAT, sugiere una intención de frustrar el análisis forense después de la fase de exfiltración o cuando finaliza la operación.

Para defensores y equipos de respuesta, las prioridades operativas deben incluir la instrumentación de la memoria de los endpoints, el bloqueo de canales de exfiltración conocidos y la capacidad de adquirir volcado de memoria rápido. Herramientas como Volatility y marcos de análisis de memoria se vuelven cruciales para identificar artefactos que nunca llegaron a disco (más información en Volatility Foundation).

También es recomendable enriquecer las reglas de detección con indicadores de comportamiento: procesos que cargan módulos desconocidos en memoria, procesos que realizan llamadas atípicas a DPAPI, anomalías en el uso de ETW y patrones de comunicación a servidores de comando y control. Complementar la telemetría de endpoints con monitoreo eBPF o agentes de memoria puede marcar la diferencia frente a técnicas de ejecución en memoria.

La respuesta ante una infección sospechada por RemotePE debe priorizar la contención y la preservación de la evidencia en memoria: aislar el host, volcar memoria y recopilar tráfico de red, bloquear dominios y direcciones IP identificadas, y rotar credenciales y claves que pudieran haber sido comprometidas. La detección tardía obliga a asumir compromiso de cuentas y credenciales; por tanto, la rotación y la verificación de integridad son pasos imprescindibles.

En el plano organizacional, este caso refuerza la necesidad de adoptar modelos de defensa en profundidad: autenticación multifactor fuerte, políticas de mínimo privilegio, segmentación de redes para infraestructuras críticas y procesos rígidos para la aceptación de reuniones o solicitudes de acceso externas. La capacitación recurrente en ingeniería social específica para canales populares entre el sector cripto, como Telegram, debe ser parte de cualquier programa de concienciación.

Finalmente, comprender al adversario importa: Lazarus ha mostrado un enfoque persistente sobre objetivos financieros y de criptomonedas. Recursos de inteligencia de amenazas como las fichas técnicas en MITRE permiten contextualizar tácticas y técnicas conocidas del grupo y ajustar las defensas en consecuencia (ver perfil en MITRE ATT&CK - Lazarus). Compartir información con peers del sector y con proveedores de seguridad también acelera la identificación de campañas dirigidas y el bloqueo de infraestructura maliciosa.

La lección clave para organizaciones en riesgo es clara: la era del malware que no deja rastro en disco exige visibilidad sobre la memoria, respuesta rápida y controles humanos que prevengan el acceso inicial. Sin esos elementos, incluso defensas aparentemente robustas pueden ser el entorno en el que actores con recursos sostienen operaciones silenciosas hasta ejecutar un golpe de alto impacto.