El objetivo de la campaña es infectar a las víctimas con el troyano DCRat, una variante de AsyncRAT, un software usado en varias campañas maliciosas de la región. La cadena de infección inicia con archivos comprimidos que utilizan nombres que aparentan ser comunicaciones judiciales o gubernamentales como, por ejemplo, “Informe Especial Notificado Nro. 113510000548595265844”, lo cual según ESET deja pensar que se trata de una propagación a través de correo electrónico.

Este método de propagación de archivos comprimidos con malware vía correos electrónicos –malspam– coincide con investigaciones previas de ESET en la región, que ha advertido acompañamiento con el uso de temáticas que generan temor o urgencia en la víctima para aumentar la probabilidad de que el destinatario ejecute el archivo malicioso.

Metadatos del binario analizado: la amenaza presenta sus campos de metadatos configurados para aparentar ser una aplicación de Adobe

“Al analizar lo metadatos, se observa que los mismos buscan aparentar ser de la aplicación Adobe pero no cuentan con una firma digital válida ni certificado asociado, lo cual confirma que no se trata de un binario legítimo emitido por la compañía”, comenta Martina López, Investigadora de Seguridad informática de ESET Latinoamérica.

DCRat, es uno de los tantos forks existentes de AsyncRAT y uno de los más propagados mundialmente. DCRat incluye las funcionalidades típicas de un troyano de acceso remoto, entre las que se destacan:

• Captura de pantalla y webcam
• Registro de teclas (keylogger)
• Administración de archivos y procesos
• Ejecución remota de comandos (CMD/PowerShell)
• Carga y descarga de archivos
• Acceso a credenciales almacenadas (browsers, sistemas)
• Persistencia mediante modificaciones en el registro o carpetas de inicio
• Autoactualización del binario
• Plugins adicionales descargables desde el servidor de Comando y Control

Inicialmente, el código malicioso envía información básica del sistema al servidor C&C, que funciona tanto para identificar a la víctima como para la toma de decisiones por parte de los atacantes sobre ejecución de otras amenazas en el sistema.

Función del payload que recopila la información identificadora de la víctima. Así es como DCRat envía la información básica de la víctima hacia el servidor C&C

“Más allá de modificaciones estructurales, entre las ´mejoras´ -por así decirlo- más destacables que presenta DCRat con respecto a AsyncRAT es el robustecimiento de las capacidades anti-análisis. Esto se refleja en, por ejemplo, la inclusión de una función que aborta la ejecución de la amenaza si encuentra procesos relacionados con análisis dinámico de malware o de monitoreo del sistema. DCRat también implementa otras técnicas de evasión como la desactivación de componentes AMSI así como ETW patching, que funcionan desactivando las funciones de seguridad que detectan y registran comportamientos maliciosos”, complementa López de ESET.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

DOBLE LLAVE

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

Los infostealers son tipos de malware diseñados para robar información sensible de manera sigilosa, sin dejar rastro. Una vez que se infiltran en un sistema o red corporativa, capturan cualquier pieza de información que pueda ser útil para comprometer cuentas, escalar privilegios, facilitar otro ciberataque o comerciarla en mercados clandestinos. El mismo infostealer empaqueta la información robada y la envía a los servidores de los ciberatacantes, o a cuentas de mensajería instantánea con gran poder de anonimato como Discord o Telegram.

“La actividad de infostealers en América Latina no solo creció en volumen, sino también en diversidad. Algunas familias tienen años de presencia sostenida, otras surgieron recientemente y ganaron protagonismo por su velocidad de evolución o por su integración con otros componentes maliciosos. Desde troyanos bancarios, como Amavaldo o Guildma -con gran actividad en Brasil- hasta RATs avanzados utilizados en ciberataques de gran calibre como Agent Tesla, se destacan por operar de manera sigilosa, facilitando la monetización rápida de la información robada”, señala Martina López, Investigadora de Seguridad Informática de ESET Latinoamérica.

Se vuelve cada vez más evidente la necesidad de detección proactiva, inteligencia de amenazas y respuesta coordinada frente al robo de información sensible (Fuente de esta imagen referencial: Kevin Horvat en Unsplash)

ESET repasa las familias más detectadas en Latinoamérica durante la primera mitad de 2025 y destaca las 6 principales: LummaStealer, Amadey, Rozena, Guildma, Formbook y Xloader.

Infostealers: A continuación sus perfiles

LummaStealer

Es una amenaza surgida alrededor del 2022 que evolucionó rápidamente bajo el modelo Malware-As-A-Service. Además de ser el infostealer más detectado por los sistemas de ESET -con más de 4000 identificaciones únicas solamente en 2025 en la región-, es de los stealers más vendidos en los mercados clandestinos.

Al ser vendido como un “producto” que distintos atacantes pueden comprar, los posibles métodos de acceso inicial son altamente diversos. Su distribución suele ser a través de falsos instaladores de aplicaciones descargadas de sitios fraudulentos, malvertising, redes sociales y correos electrónicos infectados. Aunque, en campañas más complejas también se utilizó como payload final en equipos corporativos mediante loaders personalizados.

En la región, este código malicioso ha tenido alta actividad en México, Brasil y Argentina, participando en campañas contra empresas de todo tamaño y capacidad. Durante mayo de 2025, ESET participó en la operación global de disrupción de este malware, procesando una gran cantidad de muestras para extraer elementos como los servidores.

Lo que lo hace atractivo para los cibercriminales es su arquitectura modular, con un estilo plug-and-play, contiene un núcleo “base” con funciones esenciales, como la persistencia o comunicación con el servidor C&C, y luego módulos adicionales que se pueden agregar o quitar según la necesidad del actor malicioso. Entre los módulos más utilizados encontramos el keylogger, la exfiltración vía FTP, la ejecución de comandos remotos y más. Estos módulos pueden descargarse dinámicamente, activarse bajo ciertas condiciones o incluso cambiarse sin tener que recompilar toda la amenaza.

Amadey

Una amenaza activa desde al menos 2018 que sigue siendo relevante en 2025 por su capacidad de cumplir un doble rol, funciona tanto como infostealer básico como también loader de otras amenazas más destructivas. Con casi 2500 detecciones únicas en la región es muy importante en el ecosistema del malware.

Funciona como eslabón clave en cadenas de infección multi-etapa ya que su punto fuerte está en su utilidad como paso intermedio en cadenas de infección complejas. Durante 2025 actuó con frecuencia como “puerta de entrada” en campañas donde luego se descargan familias de ransomware o troyanos bancarios, aprovechando su ligereza y bajo nivel de detección para abrir el camino sin levantar sospechas.

Su distribución suele estar vinculada al malspam: correos electrónicos que intentan engañar al usuario con señuelos de tipo factura, multa o aviso bancario, para inducirlo a descargar un adjunto malicioso o cliquear en enlaces a documentos infectados. También aparece como payload secundario, descargado por otros troyanos que comprometen inicialmente al sistema y luego lo utilizan como puente para nuevos ataques.

Rozena

Una amenaza activa desde al menos 2015, que combina funciones de infostealer y backdoor. Se destaca por su versatilidad y por su uso en campañas localizadas con objetivos específicos. Su distribución se da principalmente a través de archivos “benignos” descargables vía phishing en formato de documentos maliciosos de Office (habitualmente con macros o exploits) o ejecutables falsos.

Entre sus capacidades se incluye el robo de información sensible, como credenciales y datos del sistema, además de la posibilidad de establecer shells inversas utilizando PowerShell, lo que le permite al atacante tomar control remoto del sistema comprometido.

Uno de los aspectos más relevantes en la actividad reciente de Rozena es su comportamiento file-less, lo que implica que el código malicioso no necesariamente se guarda como archivo en el disco, sino que puede ejecutarse directamente en memoria, ya sea a través de macros, scripts o shellcode inyectado. Este enfoque reduce la huella en el sistema, lo que lo convierte en una opción atractiva para campañas que priorizan el sigilo y la persistencia.

Guildma

Forma parte del ecosistema de troyanos bancarios originados en Brasil y ha estado activo durante varios años, con una evolución constante tanto en capacidades como en técnicas de distribución. Es una de las amenazas más representativas del malware financiero en América Latina, si bien Brasil es su territorio principal, en los últimos años se han observado campañas dirigidas a usuarios en casi todos los países latinoamericanos.

A nivel funcional, Guildma captura credenciales, monitoriza el teclado, toma capturas de pantalla y es capaz de interferir con sesiones bancarias en tiempo real. Su objetivo es robar información financiera y credenciales que permitan el acceso a cuentas bancarias de los usuarios afectados. Simula clics, manipulando formularios y adaptándose a las interfaces de entidades bancarias locales.

Su distribución es a través de campañas masivas por correo electrónico, donde utilizan señuelos variados: multas o facturas, hasta excusas que buscan generar curiosidad en la víctima. Los mensajes suelen incluir archivos adjuntos maliciosos o enlaces que conducen a la descarga de la amenaza.

Formbook y XLoader

En el contexto regional, tanto Formbook como XLoader han sido detectados en campañas contra usuarios particulares y organizaciones por igual, muchas veces mediante campañas de malspam con archivos adjuntos ofuscados o enlaces a descargas directas. Su bajo perfil y facilidad de uso hacen que siga siendo una herramienta vigente para atacantes menos sofisticados, pero igualmente efectivos.

Formbook es una familia de malware con fines comerciales que circula desde 2016 con fuerte presencia global, incluyendo campañas activas en América Latina. Originalmente distribuido como malware-as-a-service en foros clandestinos, se caracterizó desde el inicio por ser liviano, accesible y eficaz, atractivo para atacantes que participan en la compraventa de amenazas. Su modo de distribución depende de sus compradores aunque las campañas de correos con adjuntos son las más vistas.

Su enfoque principal es el robo de información, particularmente credenciales a través de formularios web, capturas de teclado, y exfiltración de datos desde navegadores y clientes de correo electrónico. También tiene capacidades para realizar capturas de pantalla y recolectar detalles del sistema comprometido.

Destaca de esta amenaza su evolución directa en la forma de XLoader, una versión actualizada que amplía sus funcionalidades y cambia la estrategia de distribución. A diferencia de Formbook, que se dirigía sistemas Windows, XLoader sumó variantes capaces de atacar sistemas macOS, ampliando el espectro de objetivos. Además, XLoader añade mejoras en persistencia y técnicas anti-defensas. XLoader se ha comercializado como un sucesor más robusto, con mayor foco en campañas distribuidas a través de correos maliciosos, documentos infectados y sitios fraudulentos.

“La evolución y proliferación de los infostealers reflejan el panorama global de amenazas, cada vez más sofisticado y con alta capacidad de adaptación. Su operación bajo modelos como Malware-as-a-Service (MaaS) los convierte en un riesgo constante para usuarios y empresas, el cual se amplifica cuando son utilizados como vectores iniciales en ataques más complejos -como ransomware o espionaje corporativo-. Ante este escenario, se vuelve cada vez más evidente la necesidad de detección proactiva, inteligencia de amenazas y respuesta coordinada”, concluye Martina López, de ESET Latinoamérica.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener más datos preventivos y protegerse se encuentra disponible en Venezuela: https://www.eset.com/ve/ y en sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

DOBLE LLAVE

Con información e imagen referencial suministrada por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en Twitter e Instagram puedes conocer