Cómo deshacerse del malware msaRAT

¿Qué tipo de malware es msaRAT?

msaRAT es un troyano de acceso remoto (RAT) escrito en el lenguaje de programación Rust, vinculado al grupo del ransomware Chaos. Según una investigación publicada por Talos Intelligence, utiliza una técnica inusual de «vivir del navegador» para mantener ocultas sus comunicaciones con el servidor del atacante.

En lugar de establecer conexiones de red por sí mismo, msaRAT toma el control de un navegador Chrome o Edge ya instalado en el equipo de la víctima y enruta todo el tráfico del atacante a través de él. Esto hace que la actividad del malware parezca un uso normal del navegador, lo cual es considerablemente más difícil de detectar para las herramientas de seguridad.

El RAT se distribuye como un instalador MSI que se hace pasar por una actualización rutinaria de Windows. Las víctimas por lo general no notan nada inusual en el momento de la infección.

Descripción general de msaRAT

Una vez que se ejecuta el instalador, msaRAT carga su payload directamente en la memoria y busca un navegador Chrome o Edge en el sistema mediante comprobaciones de variables de entorno y consultas al Registro de Windows. Una vez localizado, el navegador se inicia de forma silenciosa en modo headless con la depuración remota habilitada.

Con el navegador bajo su control, msaRAT puede capturar capturas de pantalla del monitor de la víctima, ejecutar comandos en la máquina y enviar archivos de vuelta al atacante. La conexión es persistente, lo que significa que el atacante conserva el acceso a la máquina infectada y puede emitir nuevas instrucciones en cualquier momento.

La técnica de «vivir del navegador»

msaRAT se comunica con el servidor del atacante enviando instrucciones al navegador secuestrado mediante el Chrome DevTools Protocol (CDP), una interfaz de depuración integrada presente en Chrome y Edge. A continuación, el navegador inyecta JavaScript en su propia sesión y abre un canal de datos cifrado hacia el atacante.

El canal de datos se construye sobre WebRTC - una tecnología que los navegadores normalmente utilizan para videollamadas y para compartir archivos. msaRAT fuerza todo el tráfico a través de un servidor de retransmisión de Twilio, de modo que la dirección IP real del atacante nunca aparece directamente en los registros de red.

El tráfico también pasa a través de la infraestructura de Cloudflare, enmascarando aún más su origen. Las propias comunicaciones están protegidas por dos capas de cifrado: WebRTC proporciona una automáticamente, y msaRAT añade una segunda utilizando ChaCha20-Poly1305 con claves negociadas mediante Elliptic-curve Diffie-Hellman.

Cómo evita msaRAT la detección

Dado que todas las conexiones salientes parecen provenir del proceso del navegador y no del propio malware, las herramientas de seguridad que monitorean programas desconocidos que realizan conexiones externas no observarán a msaRAT directamente en la red. La verdadera infraestructura del atacante está oculta detrás de la red de distribución de contenidos de Cloudflare y de los servidores de retransmisión de Twilio.

msaRAT también deshabilita la Content Security Policy en la sesión del navegador que controla mediante un comando CDP, y falsifica los encabezados de las solicitudes HTTP para hacer que el tráfico parezca originarse en un servicio de Microsoft. El tráfico HTTP se envía a través del puerto 443, el puerto normalmente asociado con HTTPS, lo que puede ayudarle a pasar desapercibido ante los firewalls que verifican los números de puerto en lugar de los protocolos reales.

Conclusión

msaRAT es un RAT técnicamente sofisticado utilizado por el grupo de ransomware Chaos para mantener un acceso remoto encubierto a las máquinas infectadas. Su técnica de C2 basada en el navegador hace que sea considerablemente más difícil de detectar que los RAT convencionales, ya que todo el tráfico parece provenir de un navegador legítimo en lugar del propio malware.

Una infección pone a las víctimas en riesgo de robo de datos, vigilancia remota y la implementación de payloads adicionales, incluyendo ransomware. El malware debe eliminarse de cualquier sistema afectado sin demora. Más ejemplos de RAT son Dolphin X, MarkiRAT y Starland.

¿Cómo se infiltró msaRAT en mi ordenador?

Según Talos Intelligence, msaRAT se distribuye como un archivo instalador MSI llamado update_ms.msi. Se descarga mediante un comando curl a través de HTTP en el puerto 443 y se disfraza como una actualización rutinaria de Windows, lo que reduce las sospechas de la víctima en el momento de la instalación. Una vez que se ejecuta el instalador, el payload del RAT se carga directamente en la memoria.

El grupo Chaos, activo desde febrero de 2025, tiene como objetivo grandes organizaciones y amenaza con cifrar sus datos y filtrarlos públicamente a menos que se pague un rescate. Se ha observado que el grupo obtiene acceso inicial a través de correos electrónicos de spam y llamadas de phishing de voz, utilizando herramientas de administración remota para mantener la persistencia y servicios legítimos de intercambio de archivos para exfiltrar los datos robados.

De forma más general, los RAT y amenazas similares llegan a las víctimas a través de correos electrónicos de phishing con archivos adjuntos maliciosos, páginas falsas de descarga de software, software pirateado y «cracks» de software, anuncios maliciosos y dispositivos de almacenamiento extraíbles infectados. Descargar software únicamente de fuentes oficiales reduce significativamente el riesgo de infección.

¿Cómo evitar la instalación de malware?

Tenga cuidado con cualquier correo electrónico inesperado, especialmente uno que contenga un archivo adjunto o un enlace. Incluso los mensajes que parecen provenir de un remitente de confianza pueden estar falsificados. Descargue programas únicamente de sitios web oficiales de los desarrolladores o de tiendas de aplicaciones de confianza, y evite el software pirateado, los «cracks» y los generadores de claves.

Mantenga actualizados su sistema operativo y todas las aplicaciones instaladas para cerrar vulnerabilidades de seguridad conocidas. Utilice software de seguridad de buena reputación y ejecute análisis periódicos. Si cree que su ordenador ya está infectado, recomendamos ejecutar un análisis con Combo Cleaner Antivirus para Windows para eliminar automáticamente el malware infiltrado.

Eliminación automática instantánea de malware:

La eliminación manual de amenazas puede ser un proceso largo y complicado que requiere conocimientos informáticos avanzados. Combo Cleaner es una herramienta profesional para eliminar malware de forma automática, que está recomendado para eliminar malware. Descárguelo haciendo clic en el siguiente botón:

Si decide descargar este programa, quiere decir que usted está conforme con nuestra Política de privacidad y Condiciones de uso. Para usar el producto con todas las funciones, debe comprar una licencia para Combo Cleaner. 7 días de prueba gratuita limitada disponible. Combo Cleaner es propiedad y está operado por RCS LT, la empresa matriz de PCRisk.

Menú rápido:

• ¿Qué es msaRAT?
• PASO 1. Eliminación manual del malware msaRAT.
• PASO 2. Compruebe si su ordenador está limpio.

¿Cómo eliminar malware manualmente?

La eliminación manual de malware es una tarea complicada; normalmente es mejor permitir que los programas antivirus o antimalware lo hagan automáticamente. Para eliminar este malware recomendamos utilizar Combo Cleaner Antivirus para Windows.

Si desea eliminar el malware manualmente, el primer paso es identificar el nombre del malware que está intentando eliminar. Aquí hay un ejemplo de un programa sospechoso que se ejecuta en el ordenador de un usuario:

Si revisó la lista de programas que se ejecutan en su ordenador, por ejemplo, utilizando el administrador de tareas, e identificó un programa que parece sospechoso, debe continuar con estos pasos:

Descargue un programa llamado Autoruns. Este programa muestra las aplicaciones de inicio automático, el Registro y las ubicaciones del sistema de archivos:

Reinicie su ordenador en Modo Seguro:

Usuarios de Windows XP y Windows 7: Inicie su ordenador en Modo Seguro. Haga clic en Inicio, haga clic en Apagar, haga clic en Reiniciar, haga clic en Aceptar. Durante el proceso de inicio de su ordenador, presione la tecla F8 en su teclado varias veces hasta que vea el menú de Opciones Avanzadas de Windows, y luego seleccione Modo Seguro con Funciones de Red de la lista.

Vídeo que muestra cómo iniciar Windows 7 en «Modo Seguro con Funciones de Red»:

Usuarios de Windows 8: Inicie Windows 8 en Modo Seguro con Funciones de Red - Vaya a la pantalla de inicio de Windows 8, escriba Avanzado, en los resultados de búsqueda seleccione Configuración. Haga clic en Opciones de inicio avanzadas, en la ventana «Configuración general del PC» que se abre, seleccione Inicio avanzado.

Haga clic en el botón «Reiniciar ahora». Su ordenador ahora se reiniciará en el «menú de opciones de inicio avanzadas». Haga clic en el botón «Solucionar problemas», y luego haga clic en el botón «Opciones avanzadas». En la pantalla de opciones avanzadas, haga clic en «Configuración de inicio».

Haga clic en el botón «Reiniciar». Su PC se reiniciará en la pantalla de Configuración de inicio. Presione F5 para arrancar en Modo Seguro con Funciones de Red.

Vídeo que muestra cómo iniciar Windows 8 en «Modo Seguro con Funciones de Red»:

Usuarios de Windows 10: Haga clic en el logotipo de Windows y seleccione el icono de Encendido. En el menú que se abre, haga clic en «Reiniciar» mientras mantiene presionado el botón «Shift» en su teclado. En la ventana «elegir una opción», haga clic en «Solucionar problemas», luego seleccione «Opciones avanzadas».

En el menú de opciones avanzadas, seleccione «Configuración de inicio» y haga clic en el botón «Reiniciar». En la siguiente ventana debe hacer clic en el botón «F5» en su teclado. Esto reiniciará su sistema operativo en modo seguro con funciones de red.

Vídeo que muestra cómo iniciar Windows 10 en «Modo Seguro con Funciones de Red»:

Extraiga el archivo descargado y ejecute el archivo Autoruns.exe.

En la aplicación Autoruns, haga clic en «Opciones» en la parte superior y desmarque las opciones «Ocultar ubicaciones vacías» y «Ocultar entradas de Windows». Después de este procedimiento, haga clic en el icono «Actualizar».

Revise la lista proporcionada por la aplicación Autoruns y localice el archivo de malware que desea eliminar.

Debe anotar su ruta y nombre completos. Tenga en cuenta que algún malware oculta los nombres de sus procesos bajo nombres de procesos legítimos de Windows. En esta etapa, es muy importante evitar eliminar archivos del sistema. Después de localizar el programa sospechoso que desea eliminar, haga clic con el botón derecho del ratón sobre su nombre y elija «Eliminar».

Después de eliminar el malware a través de la aplicación Autoruns (esto asegura que el malware no se ejecutará automáticamente en el próximo inicio del sistema), debe buscar el nombre del malware en su ordenador. Asegúrese de habilitar los archivos y carpetas ocultos antes de continuar. Si encuentra el nombre del archivo del malware, asegúrese de eliminarlo.

Reinicie su ordenador en modo normal. Seguir estos pasos debería eliminar cualquier malware de su ordenador. Tenga en cuenta que la eliminación manual de amenazas requiere conocimientos informáticos avanzados. Si no tiene estos conocimientos, deje la eliminación de malware a los programas antivirus y antimalware.

Es posible que estos pasos no funcionen con infecciones de malware avanzadas. Como siempre, es mejor prevenir la infección que intentar eliminar el malware más tarde. Para mantener su ordenador seguro, instale las últimas actualizaciones del sistema operativo y utilice software antivirus. Para asegurarse de que su ordenador esté libre de infecciones de malware, recomendamos analizarlo con Combo Cleaner Antivirus para Windows.

Preguntas Frecuentes (FAQ)

Mi ordenador está infectado con el malware msaRAT, ¿debo formatear mi dispositivo de almacenamiento para deshacerme de él?

Formatear su dispositivo de almacenamiento eliminará a msaRAT, pero también borrará todos los archivos de la unidad. Ejecutar un programa de seguridad de confianza como Combo Cleaner es el mejor primer paso, ya que puede eliminar la infección sin borrar sus datos.

¿Cuáles son los mayores problemas que puede causar el malware msaRAT?

msaRAT otorga a los atacantes el control remoto sobre la máquina infectada, permitiéndoles capturar capturas de pantalla, ejecutar comandos y robar archivos. Dado que opera dentro del ecosistema del ransomware Chaos, una infección también puede servir como precursor de la implementación de ransomware, poniendo en riesgo todos los datos almacenados.

¿Cuál es el propósito del malware msaRAT?

msaRAT está diseñado para dar al grupo de ransomware Chaos acceso remoto encubierto a los ordenadores infectados. Los operadores pueden ejecutar comandos, capturar capturas de pantalla y exfiltrar archivos, y la conexión persistente puede utilizarse para entregar payloads adicionales en cualquier momento.

¿Cómo se infiltró el malware msaRAT en mi ordenador?

Se ha observado que msaRAT se propaga como una actualización falsa de Windows - un archivo instalador MSI enviado mediante un comando curl. El grupo Chaos también utiliza correos electrónicos de spam y phishing de voz para obtener acceso inicial. De forma más general, las amenazas de este tipo llegan a las víctimas a través de correos electrónicos de phishing, sitios de descarga falsos y software pirateado.

¿Me protegerá Combo Cleaner del malware?

Sí. Combo Cleaner puede detectar y eliminar la mayoría del malware conocido, incluyendo los troyanos de acceso remoto. Debido a que las amenazas sofisticadas pueden incrustarse profundamente en un sistema, ejecutar un análisis completo es la mejor manera de garantizar que la infección se elimine por completo.