Buenos Aires, septiembre de 2025.- El equipo de investigación de ESET Latinoamérica, compañía líder en detección proactiva de amenazas, identificó una campaña de phishing que utiliza documentos PDF maliciosos para distribuir Ratty, un troyano de acceso remoto (RAT) con múltiples funcionalidades. La operación apunta principalmente a usuarios de habla hispana, con un fuerte impacto en Perú, a través de técnicas de ingeniería social y archivos alojados en servicios en la nube como Google Drive, Dropbox y Mediafire.
¿Qué es Ratty y cómo actúa?
Ratty es un RAT escrito en Java que, aunque poco común en la región, se está usando en campañas maliciosas debido a su amplia capacidad de ataque. Entre sus funciones destacan:
- Captura de pantalla, audio y video desde la cámara y micrófono.
- Keylogging (registro de pulsaciones de teclado).
- Navegación y manipulación de archivos.
- Ejecución remota de comandos.
- Conexión a servidores de comando y control (C2).
- Persistencia en Windows al camuflarse como archivo PNG y generar claves de inicio automático.
De acuerdo con Fabiana Ramírez Cuenca, investigadora de Seguridad Informática de ESET, el malware “cuenta con diversas variantes y módulos que incluyen la exfiltración de datos, bloqueo de pantalla y control remoto del dispositivo, lo que representa una amenaza significativa para los usuarios afectados”.
El mecanismo de infección
La campaña inicia con un correo de phishing que incluye el archivo Factura.pdf, el cual redirige a la descarga de un archivo HTML que, a su vez, ejecuta un script VBS. Este script descarga un archivo comprimido con un ejecutable que activa el troyano Ratty, estableciendo conexión con un servidor de control identificado por ESET.
Recomendaciones
ESET aconseja a los usuarios estar atentos a correos sospechosos, evitar abrir adjuntos desconocidos y mantener sus sistemas y soluciones de seguridad actualizados.
Más información sobre este caso está disponible en el portal corporativo de ESET: https://www.welivesecurity.com/es/investigaciones/ratty-troyano-phishing-pdfs-latinoamerica/.
Además, la compañía invita a escuchar su podcast Conexión Segura, donde se abordan los temas más relevantes de la seguridad informática: Escuchar en Spotify.