Positive Technologies detectó ataques masivos de Poco RAT en América Latina

El grupo cibercriminal Dark Caracal, activo desde 2012, ha modernizado sus tácticas y herramientas de ataque, según un análisis de Positive Technologies. Expertos en ciberseguridad han identificado una nueva campaña que utiliza Poco RAT, un malware que permite el control remoto de dispositivos comprometidos.

A lo largo de 2024, investigadores del PT Expert Security Center (PT ESC) detectaron ataques dirigidos a usuarios hispanohablantes mediante correos electrónicos fraudulentos. Los principales focos de actividad se identificaron en Chile, Colombia, República Dominicana y Venezuela, donde los atacantes subieron muestras de malware a sandboxes públicos.

Uno de los métodos más utilizados por Dark Caracal es el phishing financiero. Un caso detectado involucró un correo con un archivo adjunto disfrazado de factura. Al abrir el documento, el malware se descargaba sin ser detectado por el antivirus y ejecutaba automáticamente un dropper que iniciaba Poco RAT sin dejar rastros en el disco.

Históricamente, Dark Caracal ha sido vinculado al uso del troyano Bandook, empleado para espiar a gobiernos, militares, activistas y periodistas. Sin embargo, las detecciones de Bandook se redujeron justo cuando Poco RAT comenzó a aparecer en mayor número. Los expertos sugieren que esta transición responde a una necesidad de evadir nuevas medidas de seguridad y ampliar la escala de los ataques.

Desde junio de 2024, se han identificado 483 muestras de Poco RAT, superando las 355 detecciones de Bandook entre 2023 y 2024. Esto indica un cambio de estrategia del grupo, que ahora apuesta por campañas masivas de phishing en busca de nuevas víctimas.

Los sandboxes, las herramientas de seguridad de puntos de conexión como MaxPatrol EDR y la capacitación de los empleados sobre prácticas de correo electrónico seguras y técnicas de ingeniería social ayudan a las empresas a detectar y responder a las ciberamenazas de manera oportuna. El servicio en línea PT Knockin puede verificar de manera proactiva si las herramientas de seguridad del correo electrónico corporativo pueden manejar ataques que involucren a Poco RAT.