Cómo deshacerse del malware DarkTortilla RAT

¿Qué tipo de malware es DarkTortilla RAT?

DarkTortilla RAT es un troyano de acceso remoto con importantes capacidades de robo de información. Recopila silenciosamente contraseñas guardadas del navegador, cookies de sesión y detalles de tarjetas de pago de las máquinas infectadas sin mostrar ningún signo visible de actividad.

Según el análisis publicado por kaandemir993, el malware envía los datos robados al atacante a través de tres canales simultáneos: un bot de Telegram, correo electrónico y FTP. La presencia de código VBScript y VBA en la muestra sugiere claramente su distribución mediante documentos de Office con macros habilitadas enviados a través de campañas de phishing.

Descripción general de DarkTortilla RAT

Una vez activo en un sistema, DarkTortilla RAT accede a las bases de datos internas que los navegadores web utilizan para almacenar las credenciales de inicio de sesión. Aprovecha las claves de cifrado integradas del navegador para descifrar las contraseñas guardadas en Chrome y Edge, eludiendo la protección que normalmente mantendría privadas esas credenciales.

Más allá de las contraseñas, el malware recopila cookies de sesión y perfiles del navegador. Las cookies pueden utilizarse para iniciar sesión en cuentas en línea sin necesidad de una contraseña, lo que hace que este tipo de robo sea especialmente perjudicial incluso después de que la víctima cambie sus credenciales.

El RAT se comunica con un servicio externo de búsqueda de IP para identificar la dirección IP pública de la víctima, probablemente para que el operador pueda perfilar objetivos y rastrear las máquinas infectadas por ubicación.

Canales de exfiltración de datos

DarkTortilla RAT enruta los datos robados a través de tres métodos distintos. Un bot de Telegram recibe los datos casi en tiempo real, mientras que SMTP envía la misma información por correo electrónico. Un tercer canal sube archivos a un servidor remoto utilizando el File Transfer Protocol (FTP).

Ejecutar tres rutas de exfiltración a la vez significa que bloquear un canal no impide que los datos lleguen al atacante. Antes de enviar cualquier cosa, el malware almacena temporalmente los datos recopilados en un archivo de texto en una ruta de directorio de Windows con permisos de escritura públicos.

Navegadores objetivo y datos de tarjetas de pago

Se informa que DarkTortilla RAT ataca a más de 20 navegadores, incluidos Chrome, Edge, Firefox, Brave y Opera. Explota los mecanismos de cifrado del navegador, específicamente las claves que los navegadores utilizan para proteger los datos de inicio de sesión almacenados localmente, para leer credenciales que de otro modo parecerían seguras.

El módulo de robo de tarjetas de pago lee específicamente números de tarjeta, fechas de caducidad y nombres de los titulares. Las redes de tarjetas admitidas incluyen Visa, Mastercard, Discover, American Express, Union Pay, Diners Club y Carte Blanche.

Conclusión

DarkTortilla RAT es una amenaza sigilosa capaz de vaciar credenciales guardadas del navegador, cookies de sesión y datos de tarjetas de pago sin dejar signos evidentes de infección. Las víctimas corren el riesgo de sufrir acceso no autorizado a sus cuentas en línea, fraude financiero y robo de identidad.

El uso de tres canales de exfiltración simultáneos - Telegram, correo electrónico y FTP - hace que el robo de datos sea difícil de prevenir solo mediante controles a nivel de red. Cualquier ordenador infectado con DarkTortilla RAT debe limpiarse inmediatamente utilizando una herramienta de seguridad de confianza.

Más ejemplos de RAT son PollCat, NodeRabbit y SnakeBiteAgent.

¿Cómo se infiltró DarkTortilla RAT en mi ordenador?

El análisis de kaandemir993 identificó rutinas VBScript y VBA dentro de la muestra de DarkTortilla RAT. Estas tecnologías de scripting suelen estar integradas en documentos de Office y son un sello distintivo de la distribución basada en macros a través de campañas de phishing.

En un escenario típico, la víctima recibe un correo electrónico que finge provenir de un remitente de confianza, como un banco, un servicio de mensajería o un empleador, con un documento adjunto. Abrir el archivo y habilitar las macros activa el script oculto, que instala silenciosamente el troyano en segundo plano.

De forma más general, las amenazas de este tipo también llegan a las víctimas a través de páginas de descarga de software falsas, paquetes de software pirateados, redes P2P, anuncios maliciosos y herramientas ilegales de activación de software conocidas como cracks. Cualquier archivo obtenido de una fuente no verificada conlleva el riesgo de contener malware oculto.

¿Cómo evitar la instalación de malware?

Trate con precaución los correos electrónicos inesperados, especialmente aquellos que contienen archivos adjuntos o que le instan a habilitar macros o hacer clic en un enlace. Descargue software solo desde sitios web oficiales de desarrolladores o tiendas de aplicaciones consolidadas, y nunca utilice instaladores pirateados, generadores de claves o cracks de activación.

Mantenga actualizados su sistema operativo y todas las aplicaciones, y utilice un programa de seguridad de confianza que ofrezca protección en tiempo real. Si cree que su ordenador ya está infectado, recomendamos ejecutar un análisis con Combo Cleaner Antivirus para Windows para eliminar automáticamente el malware infiltrado.

Eliminación automática instantánea de malware:

La eliminación manual de amenazas puede ser un proceso largo y complicado que requiere conocimientos informáticos avanzados. Combo Cleaner es una herramienta profesional para eliminar malware de forma automática, que está recomendado para eliminar malware. Descárguelo haciendo clic en el siguiente botón:

Si decide descargar este programa, quiere decir que usted está conforme con nuestra Política de privacidad y Condiciones de uso. Para usar el producto con todas las funciones, debe comprar una licencia para Combo Cleaner. 7 días de prueba gratuita limitada disponible. Combo Cleaner es propiedad y está operado por RCS LT, la empresa matriz de PCRisk.

Menú rápido:

• ¿Qué es DarkTortilla RAT?
• PASO 1. Eliminación manual del malware DarkTortilla RAT.
• PASO 2. Compruebe si su ordenador está limpio.

¿Cómo eliminar el malware manualmente?

La eliminación manual de malware es una tarea complicada; normalmente es mejor permitir que los programas antivirus o antimalware lo hagan automáticamente. Para eliminar este malware recomendamos utilizar Combo Cleaner Antivirus para Windows.

Si desea eliminar el malware manualmente, el primer paso es identificar el nombre del malware que está intentando eliminar. Aquí tiene un ejemplo de un programa sospechoso que se ejecuta en el ordenador de un usuario:

Si revisó la lista de programas que se ejecutan en su ordenador, por ejemplo, utilizando el administrador de tareas, e identificó un programa que parece sospechoso, debe continuar con estos pasos:

Descargue un programa llamado Autoruns. Este programa muestra las aplicaciones de inicio automático, el Registro y las ubicaciones del sistema de archivos:

Reinicie su ordenador en Modo Seguro:

Usuarios de Windows XP y Windows 7: Inicie su ordenador en Modo Seguro. Haga clic en Inicio, haga clic en Apagar, haga clic en Reiniciar, haga clic en Aceptar. Durante el proceso de inicio de su ordenador, presione la tecla F8 en su teclado varias veces hasta que vea el menú de Opciones Avanzadas de Windows, y luego seleccione Modo Seguro con Funciones de Red de la lista.

Vídeo que muestra cómo iniciar Windows 7 en «Modo Seguro con Funciones de Red»:

Usuarios de Windows 8: Inicie Windows 8 en Modo Seguro con Funciones de Red - Vaya a la Pantalla de Inicio de Windows 8, escriba Avanzado, en los resultados de búsqueda seleccione Configuración. Haga clic en Opciones de inicio avanzadas, en la ventana «Configuración general del PC» abierta, seleccione Inicio avanzado.

Haga clic en el botón «Reiniciar ahora». Su ordenador ahora se reiniciará en el «menú de Opciones de inicio avanzadas». Haga clic en el botón «Solucionar problemas» y luego haga clic en el botón «Opciones avanzadas». En la pantalla de opciones avanzadas, haga clic en «Configuración de inicio».

Haga clic en el botón «Reiniciar». Su PC se reiniciará en la pantalla de Configuración de inicio. Presione F5 para arrancar en Modo Seguro con Funciones de Red.

Vídeo que muestra cómo iniciar Windows 8 en «Modo Seguro con Funciones de Red»:

Usuarios de Windows 10: Haga clic en el logotipo de Windows y seleccione el icono de Encendido. En el menú abierto haga clic en «Reiniciar» mientras mantiene presionado el botón «Shift» en su teclado. En la ventana «elegir una opción» haga clic en «Solucionar problemas», luego seleccione «Opciones avanzadas».

En el menú de opciones avanzadas seleccione «Configuración de inicio» y haga clic en el botón «Reiniciar». En la siguiente ventana debe hacer clic en el botón «F5» de su teclado. Esto reiniciará su sistema operativo en modo seguro con funciones de red.

Vídeo que muestra cómo iniciar Windows 10 en «Modo Seguro con Funciones de Red»:

Extraiga el archivo descargado y ejecute el archivo Autoruns.exe.

En la aplicación Autoruns, haga clic en «Options» en la parte superior y desmarque las opciones «Hide Empty Locations» y «Hide Windows Entries». Después de este procedimiento, haga clic en el icono «Refresh».

Revise la lista proporcionada por la aplicación Autoruns y localice el archivo de malware que desea eliminar.

Debe anotar su ruta y nombre completos. Tenga en cuenta que algunos malware ocultan los nombres de procesos bajo nombres de procesos legítimos de Windows. En esta etapa, es muy importante evitar eliminar archivos del sistema. Después de localizar el programa sospechoso que desea eliminar, haga clic con el botón derecho del ratón sobre su nombre y elija «Delete».

Después de eliminar el malware a través de la aplicación Autoruns (esto garantiza que el malware no se ejecute automáticamente en el próximo inicio del sistema), debe buscar el nombre del malware en su ordenador. Asegúrese de habilitar los archivos y carpetas ocultos antes de continuar. Si encuentra el nombre de archivo del malware, asegúrese de eliminarlo.

Reinicie su ordenador en modo normal. Seguir estos pasos debería eliminar cualquier malware de su ordenador. Tenga en cuenta que la eliminación manual de amenazas requiere conocimientos informáticos avanzados. Si no cuenta con estos conocimientos, deje la eliminación de malware en manos de programas antivirus y antimalware.

Es posible que estos pasos no funcionen con infecciones de malware avanzadas. Como siempre, es mejor prevenir la infección que intentar eliminar el malware más tarde. Para mantener su ordenador seguro, instale las últimas actualizaciones del sistema operativo y utilice software antivirus. Para asegurarse de que su ordenador esté libre de infecciones de malware, recomendamos analizarlo con Combo Cleaner Antivirus para Windows.

Preguntas Frecuentes (FAQ)

Mi ordenador está infectado con el malware DarkTortilla RAT, ¿debo formatear mi dispositivo de almacenamiento para deshacerme de él?

Formatear eliminará DarkTortilla RAT, pero también borra todo lo almacenado en la unidad. Ejecutar una herramienta de seguridad de confianza como Combo Cleaner es el mejor primer paso, ya que puede eliminar la infección sin destruir sus archivos.

¿Cuáles son los mayores problemas que puede causar el malware DarkTortilla RAT?

Las consecuencias más graves incluyen la pérdida de contraseñas guardadas, el secuestro de cuentas y el robo de datos de tarjetas de pago. Los atacantes pueden usar cookies de sesión robadas para acceder a cuentas en línea incluso si más tarde cambia su contraseña.

El fraude financiero y el robo de identidad son resultados realistas para las víctimas cuyas credenciales bancarias o datos de tarjeta fueron recopilados por esta amenaza.

¿Cuál es el propósito del malware DarkTortilla RAT?

El propósito principal de DarkTortilla RAT es robar datos confidenciales de los ordenadores infectados. Ataca las contraseñas guardadas del navegador, las cookies de sesión, los perfiles del navegador y los datos de tarjetas de pago, y luego envía todo al atacante a través de Telegram, correo electrónico y FTP.

¿Cómo se infiltró el malware DarkTortilla RAT en mi ordenador?

DarkTortilla RAT probablemente llega a través de correos electrónicos de phishing que transportan documentos de Office habilitados para macros. Abrir el archivo adjunto y habilitar las macros ejecuta un script oculto que instala el malware sin ningún aviso visible.

Las amenazas de este tipo también se propagan a través de sitios de descarga falsos, software pirateado y cracks de software obtenidos de fuentes no oficiales.

¿Me protegerá Combo Cleaner del malware?

Sí. Combo Cleaner puede detectar y eliminar la mayoría del malware conocido, incluidas amenazas como DarkTortilla RAT. Se recomienda ejecutar un análisis completo del sistema para asegurarse de que no se pase nada por alto, ya que algunas amenazas avanzadas pueden colocar componentes en múltiples ubicaciones.