Cómo eliminar PollCat RAT del sistema operativo

¿Qué tipo de malware es PollCat?

PollCat es un troyano de acceso remoto (RAT) escrito en JavaScript ofuscado. Otorga a los atacantes control remoto sobre los equipos infectados, permitiéndoles ejecutar comandos, robar archivos, gestionar procesos y ejecutar código adicional. PollCat es multiplataforma y funciona en Windows, Linux y macOS.

Los investigadores de Kaspersky descubrieron PollCat mientras investigaban a Mirage Kitten, un grupo de ciberespionaje vinculado a Irán, también conocido como UNC1549, Smoke Sandstorm y Nimbus Manticore. Según un resumen de PolySwarm, el grupo distribuye PollCat a los desarrolladores de software mediante ofertas de empleo falsas y retos de programación troyanizados.

Más información sobre PollCat

Mirage Kitten tiene una larga trayectoria atacando organizaciones estratégicamente importantes, especialmente en Oriente Medio y en los sectores aeroespacial, de aviación y de defensa. La campaña relacionada con PollCat se centró en las tecnologías financieras, la aviación y el sector aeroespacial, con objetivos en Oriente Medio y África, incluyendo Egipto, Etiopía y Afganistán.

PollCat y su hermano NodeRabbit son los primeros malware de Mirage Kitten documentados públicamente que se basan en JavaScript y Node.js. Dado que los desarrolladores ejecutan proyectos de JavaScript a diario, un RAT de JavaScript oculto en un proyecto de programación llama mucho menos la atención que un programa desconocido.

PollCat se registra con su servidor de Command and Control (C2) en cuanto se inicia la aplicación infectada y, a continuación, sigue consultando (polling) para recibir nuevos comandos. Su infraestructura se ejecuta en Microsoft Azure y en dominios controlados por los atacantes, y está diseñada para parecer tráfico organizacional legítimo.

Funciones de PollCat

PollCat declara 22 comandos, tres de los cuales no están implementados. Los que funcionan permiten a los operadores navegar por carpetas, leer, escribir y gestionar archivos, ejecutar comandos de shell, y listar o finalizar procesos en ejecución. El malware también puede transferir archivos entre el dispositivo de la víctima y los atacantes, y empaquetar archivos en archivos ZIP, lo que facilita el robo masivo de documentos.

En Windows, PollCat puede ejecutar archivos DLL e iniciar procesos ocultos al usuario. Además, un comando llamado EVAL_JS permite a los operadores ejecutar cualquier código JavaScript que deseen en la máquina infectada, de modo que la funcionalidad del RAT puede ampliarse en cualquier momento sin necesidad de entregar una nueva versión.

Comprobación de software de seguridad

PollCat incluye una función SYSTEM_CHECK que busca en el equipo carpetas pertenecientes a 24 proveedores de seguridad y tecnología. La lista incluye a Microsoft, Palo Alto Networks, Cisco, Fortinet, CrowdStrike, SentinelOne, Sophos, Symantec, McAfee, Kaspersky, ESET, Bitdefender y Malwarebytes.

Esta comprobación indica a los operadores qué productos de seguridad están presentes en el dispositivo. Con esta información, pueden decidir con qué cuidado proceder, o si la máquina merece la pena en absoluto.

Persistencia

Para sobrevivir a los reinicios, PollCat establece una persistencia que varía según el sistema operativo. En Windows, crea tareas programadas. En Linux, añade entradas de cron, y en macOS se basa tanto en cron como en mecanismos LaunchAgent. En cada caso, el malware se inicia de nuevo automáticamente, incluso después de que la víctima cierre el proyecto de programación.

Conclusión

PollCat permite a los atacantes tomar el control de los equipos infectados, ejecutar comandos, robar archivos y ejecutar código arbitrario, todo ello mientras comprueba qué productos de seguridad podrían detectarlo. Dado que se ejecuta en Windows, Linux y macOS y se reinicia a sí mismo mediante tareas programadas, cron o LaunchAgents, puede permanecer discretamente en la máquina de un desarrollador durante mucho tiempo. PollCat debe eliminarse de inmediato.

Más ejemplos de RATs son SnakeBiteAgent, PackClient y E4del.

¿Cómo se infiltró PollCat en mi equipo?

PollCat se distribuye mediante ofertas de trabajo falsas. Los atacantes se hacen pasar por reclutadores en LinkedIn y en plataformas de búsqueda de empleo, contactan con ingenieros de software para ofrecerles puestos de desarrollo y luego les envían una evaluación técnica para completar - un proyecto de programación que ha sido manipulado.

Uno de esos señuelos, RankChallenge-react, era un ejercicio de corrección de código de React protegido por autenticación de contraseña de un solo uso (OTP) controlada por los atacantes. El paso de inicio de sesión es solo para aparentar. PollCat se registra con su servidor C2 y comienza a sondear en busca de comandos en cuanto se inicia la aplicación, incluso antes de que la víctima introduzca la OTP.

Para meter prisa a las víctimas, los falsos reclutadores utilizaban ventanas de evaluación de una hora, y la campaña también indicaba a los candidatos que no usaran asistentes de IA, probablemente para que ninguna herramienta de IA revisara el código y detectara la parte maliciosa. La misma campaña distribuyó el RAT NodeRabbit a través de paquetes npm maliciosos ocultos en otros proyectos de programación.

Tenga en cuenta que los RATs también se propagan comúnmente a través de correos electrónicos de phishing, archivos adjuntos y enlaces maliciosos, sitios web de descarga falsos, anuncios maliciosos, software pirata y cracks de software.

¿Cómo evitar la instalación de malware?

Trate con precaución las ofertas de trabajo no solicitadas, especialmente cuando un «reclutador» le envía un proyecto para descargar y ejecutar bajo un límite de tiempo estricto. Revise el código desconocido antes de ejecutarlo, y considere usar una máquina virtual aislada para las pruebas de programación de empresas desconocidas en lugar de su equipo de trabajo principal.

En general, no abra archivos adjuntos ni enlaces en correos electrónicos y mensajes inesperados, descargue software solo desde fuentes oficiales, y evite los programas pirateados y los cracks. Mantenga su sistema operativo y sus aplicaciones actualizados, y utilice software de seguridad de confianza. Si cree que su equipo ya está infectado, le recomendamos ejecutar un análisis con Combo Cleaner Antivirus para Windows para eliminar automáticamente el malware infiltrado.

Eliminación automática instantánea de malware:

La eliminación manual de amenazas puede ser un proceso largo y complicado que requiere conocimientos informáticos avanzados. Combo Cleaner es una herramienta profesional para eliminar malware de forma automática, que está recomendado para eliminar malware. Descárguelo haciendo clic en el siguiente botón:

Si decide descargar este programa, quiere decir que usted está conforme con nuestra Política de privacidad y Condiciones de uso. Para usar el producto con todas las funciones, debe comprar una licencia para Combo Cleaner. 7 días de prueba gratuita limitada disponible. Combo Cleaner es propiedad y está operado por RCS LT, la empresa matriz de PCRisk.

Menú rápido:

• ¿Qué es PollCat?
• PASO 1. Eliminación manual del malware PollCat.
• PASO 2. Compruebe si su equipo está limpio.

¿Cómo eliminar malware manualmente?

La eliminación manual de malware es una tarea complicada - normalmente es mejor permitir que los programas antivirus o antimalware lo hagan automáticamente. Para eliminar este malware, recomendamos usar Combo Cleaner Antivirus para Windows.

Si desea eliminar el malware manualmente, el primer paso es identificar el nombre del malware que está intentando eliminar. A continuación se muestra un ejemplo de un programa sospechoso ejecutándose en el equipo de un usuario:

Si comprobó la lista de programas que se ejecutan en su equipo, por ejemplo, usando el administrador de tareas, e identificó un programa que parece sospechoso, debe continuar con estos pasos:

Descargue un programa llamado Autoruns. Este programa muestra las aplicaciones de inicio automático, el Registro y las ubicaciones del sistema de archivos:

Reinicie su equipo en Modo Seguro:

Usuarios de Windows XP y Windows 7: Inicie su equipo en Modo Seguro. Haga clic en Inicio, haga clic en Apagar, haga clic en Reiniciar, haga clic en Aceptar. Durante el proceso de inicio de su equipo, presione la tecla F8 de su teclado varias veces hasta que vea el menú de Opciones Avanzadas de Windows, y luego seleccione Modo Seguro con funciones de red de la lista.

Vídeo que muestra cómo iniciar Windows 7 en «Modo Seguro con funciones de red»:

Usuarios de Windows 8: Inicie Windows 8 en Modo Seguro con funciones de red - Vaya a la Pantalla de Inicio de Windows 8, escriba Avanzado, en los resultados de búsqueda seleccione Configuración. Haga clic en Opciones de inicio avanzado, en la ventana «Configuración general del PC» que se abre, seleccione Inicio avanzado.

Haga clic en el botón «Reiniciar ahora». Su equipo se reiniciará ahora en el «menú de opciones de inicio avanzado». Haga clic en el botón «Solucionar problemas» y, a continuación, haga clic en el botón «Opciones avanzadas». En la pantalla de opciones avanzadas, haga clic en «Configuración de inicio».

Haga clic en el botón «Reiniciar». Su PC se reiniciará en la pantalla de Configuración de inicio. Presione F5 para arrancar en Modo Seguro con funciones de red.

Vídeo que muestra cómo iniciar Windows 8 en «Modo Seguro con funciones de red»:

Usuarios de Windows 10: Haga clic en el logotipo de Windows y seleccione el icono de Encendido. En el menú que se abre haga clic en «Reiniciar» mientras mantiene presionado el botón «Shift» de su teclado. En la ventana «elegir una opción» haga clic en «Solucionar problemas», luego seleccione «Opciones avanzadas».

En el menú de opciones avanzadas seleccione «Configuración de inicio» y haga clic en el botón «Reiniciar». En la siguiente ventana debe hacer clic en el botón «F5» de su teclado. Esto reiniciará su sistema operativo en modo seguro con funciones de red.

Vídeo que muestra cómo iniciar Windows 10 en «Modo Seguro con funciones de red»:

Extraiga el archivo descargado y ejecute el archivo Autoruns.exe.

En la aplicación Autoruns, haga clic en «Opciones» en la parte superior y desmarque las opciones «Ocultar ubicaciones vacías» y «Ocultar entradas de Windows». Después de este procedimiento, haga clic en el icono «Actualizar».

Compruebe la lista proporcionada por la aplicación Autoruns y localice el archivo de malware que desea eliminar.

Debe anotar su ruta completa y su nombre. Tenga en cuenta que algunos malware ocultan sus nombres de proceso bajo nombres de procesos legítimos de Windows. En esta etapa, es muy importante evitar eliminar archivos del sistema. Después de localizar el programa sospechoso que desea eliminar, haga clic derecho con el ratón sobre su nombre y elija «Eliminar».

Después de eliminar el malware a través de la aplicación Autoruns (esto garantiza que el malware no se ejecutará automáticamente en el próximo inicio del sistema), debe buscar el nombre del malware en su equipo. Asegúrese de habilitar los archivos y carpetas ocultos antes de continuar. Si encuentra el nombre de archivo del malware, asegúrese de eliminarlo.

Reinicie su equipo en modo normal. Seguir estos pasos debería eliminar cualquier malware de su equipo. Tenga en cuenta que la eliminación manual de amenazas requiere conocimientos informáticos avanzados. Si no tiene estos conocimientos, deje la eliminación de malware a los programas antivirus y antimalware.

Es posible que estos pasos no funcionen con infecciones de malware avanzadas. Como siempre, es mejor prevenir la infección que intentar eliminar el malware más tarde. Para mantener su equipo seguro, instale las últimas actualizaciones del sistema operativo y utilice software antivirus. Para asegurarse de que su equipo esté libre de infecciones de malware, le recomendamos analizarlo con Combo Cleaner Antivirus para Windows.

Preguntas Frecuentes (FAQ)

Mi equipo está infectado con el malware PollCat, ¿debo formatear mi dispositivo de almacenamiento para deshacerme de él?

Reformatear eliminaría PollCat, pero también borra todos los datos de la unidad. Es mejor comenzar con un análisis usando una herramienta de seguridad de confianza como Combo Cleaner y dejar el formateo como último recurso.

¿Cuáles son los mayores problemas que puede causar el malware PollCat?

PollCat permite a los atacantes ejecutar comandos, robar archivos y ejecutar cualquier código que elijan en el equipo infectado. Esto puede resultar en el robo de documentos de trabajo y código fuente, cuentas comprometidas, infecciones adicionales de malware y una brecha más amplia en la red del lugar de trabajo de la víctima.

¿Cuál es el propósito del malware PollCat?

El propósito de PollCat es dar al grupo Mirage Kitten el control remoto sobre los equipos de los desarrolladores para el espionaje, lo que les permite recopilar archivos, ejecutar comandos y desplegar cargas útiles adicionales sin que la víctima lo note.

¿Cómo se infiltró el malware PollCat en mi equipo?

PollCat se ha propagado a través de ofertas de trabajo falsas en LinkedIn y en plataformas de búsqueda de empleo. A las víctimas se les enviaban retos de programación de React troyanizados, como RankChallenge-react, que ejecutaban el RAT en cuanto se iniciaba el proyecto, incluso antes de que la víctima iniciara sesión con la contraseña de un solo uso proporcionada.

¿Me protegerá Combo Cleaner del malware?

Combo Cleaner puede detectar y eliminar la mayoría de las infecciones de malware conocidas. Dicho esto, las amenazas sofisticadas como PollCat pueden ocultarse en las profundidades del sistema, por lo que es importante ejecutar un análisis completo del sistema.