Troyano de acceso remoto (RAT)

Malware que otorga a un atacante control no autorizado y persistente sobre un equipo, normalmente sin que el usuario lo advierta. Lo característico del RAT no es la infección puntual sino la permanencia: abre una puerta trasera por la que el atacante entra y sale durante días o semanas.

En el curso

Módulo 4 — es la pieza técnica del caso Lisa Mendez, gerente de RR. HH. en Midpoint Financial. Al abrir el Excel adjunto ("Lista final de asistentes de HR Connect.xlsx") y habilitar las macros para "ver la hoja completa", instala sin saberlo un RAT.

Su papel en la Cadena de ataque cibernético ocupa tres fases seguidas:

• Explotación (4): el acto de Lisa —habilitar las macros— dispara la carga.
• Instalación (5): el RAT queda residente y establece una puerta trasera con persistencia. La contramedida del curso son sistemas EDR (detección y respuesta en puntos finales) que señalen y aíslen la amenaza.
• Comando y control (6): los atacantes se conectan al equipo desde una IP extranjera a través del servidor C2 que usa el RAT. La defensa es vigilar el tráfico saliente y alertar por accesos externos anómalos.

Durante la semana siguiente los atacantes usan las credenciales comprometidas para moverse lateralmente por los sistemas internos, hasta lograr la Exfiltración de más de 4,3 millones de dólares.

Relacionado

Cadena de ataque cibernético · Armamentización · Exfiltración · Spoofing · Sandboxing · Acceso con privilegios mínimos · NIST CSF