El cargador AHK RAT ofrece una gran cantidad de RAT
Los scripts AutoHotKey (AHK) están destinados a ayudar a los usuarios a automatizar ciertas tareas con el uso de scripts prefabricados. Estos scripts vienen en forma de un archivo '.ahk' y se ejecutan con el uso de un intérprete llamado AutoHotKey. Sin embargo, parece que los ciberdelincuentes han comenzado a abusar de esta útil función para implementar y ejecutar software malicioso. Desde febrero de 2021, los expertos en ciberseguridad han estado observando una campaña en curso, que aprovecha los scripts AHK maliciosos para implementar una amplia gama de troyanos de acceso remoto (RAT).
Los scripts AHK abusados por los delincuentes vienen con algunas características sofisticadas, como la capacidad de omitir el Control de cuentas de usuario (UAC), deshabilitar Windows Defender, omitir máquinas virtuales y más. No está claro cómo se entrega el archivo AHK final a las víctimas, pero existe la posibilidad de que los operadores de la campaña estén abusando de más de una estrategia de propagación. Por ejemplo, podrían estar cargando scripts AHK maliciosos en repositorios legítimos, aprovechando así a víctimas aleatorias. También es posible que se estén acercando a las víctimas a través de descargas falsas, archivos adjuntos de correo electrónico fraudulentos y otro contenido sospechoso que ofrece tanto el intérprete AHK como el propio script malicioso.
Algunas de las familias RAT que ha estado utilizando la campaña AHK RAT Loader son Vjw0rm, WSHRAT, AsyncRAT y LimeRAT. Lo peculiar del método de entrega es que el ejecutable malicioso a menudo estaba empaquetado con múltiples instaladores legítimos; este es probablemente un intento básico de deshacerse de las herramientas antioxidantes y los servicios de seguridad. Además de las cargas útiles, AHK RAT Loader también ejecuta scripts AHK dedicados a apagar Windows Defender. Un cargador similar también fue noticia recientemente: el cargador Snip3 potencia las campañas de ataque RAT a gran escala .
Si bien las bandas de delincuencia cibernética se basan en varios métodos para eludir UAC, Windows Defender y otras medidas de seguridad simples, esta es una de las primeras campañas en hacerlo con el abuso de los scripts de AHK. El AHK RAT Loader es detectado actualmente por un software antivirus de buena reputación, y puede estar seguro de que su sistema no está en peligro si lo ha protegido con un software anti-malware actualizado.
