Overlord RAT utiliza falsos avisos legales para infectar PCs con Windows en una nueva campaña.

⟫ 23/10/2026 ⟫ Deeba Ahmed

Fuente: HackRead

### La creciente amenaza del malware en Brasil: Análisis de las campañas de Overlord RAT y Lampion

La ciberseguridad es un tema de creciente relevancia en el contexto actual, donde las amenazas digitales se multiplican y sofisticadas tácticas de ataque emergen continuamente. En este escenario, dos campañas de malware recientemente documentadas por WatchGuard han captado la atención de la comunidad de seguridad informática. Estas campañas, que utilizan notificaciones legales fraudulentas de Brasil y otros métodos variados, representan un riesgo significativo no solo para los usuarios individuales, sino también para instituciones financieras y empresas en general. A medida que el malware se vuelve más persuasivo y enmascarado, la necesidad de una conciencia de seguridad robusta y medidas proactivas se vuelve imperativa.

### Detalles técnicos de las campañas de malware

La investigación realizada por el investigador Euler Neto de WatchGuard ha revelado una serie de dominios fraudulentos que imitan oficinas notariales en Brasil, específicamente ocho en total. Entre estos se encuentran **1protestorecife.com** y **cartorioquintela.com**. La campaña emplea correos electrónicos de phishing que pretenden ser notificaciones de protestas legales, utilizando números de CNPJ válidos, que son los registros nacionales de entidades legales en Brasil, para darles un aire de legitimidad.

Al hacer clic en los enlaces contenidos en estos correos, los usuarios descargan un VBScript ofuscado que, a su vez, extrae archivos adicionales de plataformas de almacenamiento en la nube como Dropbox o Google Cloud Storage. Los scripts hacen uso de herramientas de Windows, como PowerShell y curl, para obtener los payloads. Para eludir la detección, algunos scripts modifican las exclusiones de Microsoft Defender. Este enfoque no solo es ingenioso, sino que también dificulta la identificación de la actividad maliciosa en los sistemas afectados.

Además, la cadena de infección se nutre de aplicaciones legítimas. Por ejemplo, se utilizan componentes del **.NET Framework** de Microsoft y el reproductor multimedia VLC para cargar DLLs maliciosas. Una variante del malware establece tareas programadas bajo el nombre de "Windows Error Reporting" para asegurar su persistencia en el sistema infectado.

Uno de los elementos más preocupantes de esta campaña es un ejecutable basado en Go que descarga un archivo cifrado llamado **werdata.db**. Este archivo se descifra utilizando el cifrado Chaskey en modo contador, revelando código shell Donut x64. El malware entonces establece comunicación con la infraestructura de Overlord RAT en las direcciones IP **191.96.225.125** y **45.158.8.213**, asociadas con el puerto **5173**. Investigaciones adicionales han encontrado referencias a instituciones financieras brasileñas como **C6Bank**, **PicPay**, **Banco Inter** y **Caixa Econômica Federal**, lo que podría indicar un enfoque dirigido a robar información sensible de los usuarios.

### Impacto y consecuencias

La proliferación de estas campañas de malware tiene implicaciones serias para usuarios, empresas y el sector financiero en Brasil y otros países afectados. Los usuarios, al ser engañados por correos electrónicos que parecen legítimos, corren el riesgo de comprometer su información personal y financiera. Para las instituciones financieras, la utilización de sus nombres en campañas maliciosas podría erosionar la confianza del cliente y causar daños reputacionales significativos.

Además, la capacidad de los atacantes para utilizar aplicaciones y servicios en la nube legítimos aligera el trabajo de las defensas de ciberseguridad, ya que los equipos de seguridad deben investigar no solo archivos sospechosos, sino también actividad de scripts inesperada, cambios en las exclusiones de Defender y conexiones de red inusuales.

### Contexto histórico y tendencias

Este tipo de ataques no es aislado; en el pasado hemos visto incidentes similares donde las tácticas de phishing se han combinado con técnicas de ingeniería social para engañar a las víctimas. Las campañas de malware han evolucionado, pasando de simples correos electrónicos a complejas estrategias que involucran múltiples vectores de ataque. En este sentido, se observa una tendencia creciente hacia el uso de técnicas de ofuscación y el aprovechamiento de servicios en la nube, lo que complica aún más la labor de detección y mitigación.

### Recomendaciones para la protección

Para mitigar el riesgo de estas campañas de malware, es crucial que tanto usuarios como organizaciones implementen medidas de seguridad robustas. Se recomienda la educación constante sobre ciberseguridad, fomentando la conciencia sobre los métodos de phishing y las señales de advertencia de correos electrónicos fraudulentos. La utilización de soluciones de seguridad que incluyan análisis de comportamiento y detección de anomalías puede proporcionar una capa adicional de defensa.

Asimismo, se aconseja mantener actualizados todos los sistemas y aplicaciones, así como realizar auditorías regulares de seguridad para identificar y corregir vulnerabilidades. En un entorno donde las amenazas son cada vez más sofisticadas, la proactividad y la preparación son fundamentales para proteger la integridad de los sistemas y la información.

En conclusión, las campañas de Overlord RAT y Lampion no solo subrayan la necesidad de una vigilancia constante en el ámbito de la ciberseguridad, sino que también destacan la importancia de la colaboración entre usuarios, empresas y las autoridades para combatir eficazmente estas amenazas emergentes.

◢ MALWARE ◣

Overlord RAT Uses Fake Legal Notices to Infect Windows PCs in New Campaign

⟫ 23/10/2026 ⟫ Deeba Ahmed

Source: HackRead

WatchGuard details Overlord RAT attacks using fake Brazilian legal notices, plus Lampion malware and a separate remote access campaign targeting users in Portugal. Overlord RAT has surfaced in a newly documented malware campaign discovered by WatchGuard that uses fake Brazilian legal notices to trick victims into downloading malicious files. The RAT has previously been reported by Hackread.com in campaigns involving a fakeZoom installertargeting Windows and macOS, and maliciousnpm packagesused to distribute it alongside an information stealer. Inresearchshared with Hackread.com, WatchGuard Red Cell researcher Euler Neto identified eight fraudulent domains impersonating Brazilian notary offices. The campaign uses obfuscated VBScript, trusted cloud storage services and legitimate Windows applications to deliver the remote access trojan (RAT), while the wider investigation examines two other malware campaigns targeting users in Portugal. The campaign uses phishing emails posing as Brazilian protest notary offices. The eight domains include1protestorecife.comandcartorioquintela.com. Links in the emails incorporate valid CNPJ numbers, Brazil’s national registry numbers for legal entities, to make the notices appear legitimate. Clicking a link downloads an obfuscated VBScript that retrieves additional files from Dropbox or Google Cloud Storage. The scripts use Windows tools such as PowerShell and curl to download payloads, while some modifyMicrosoft Defenderexclusions to reduce the likelihood of detection. The infection chain also abuses legitimate applications, including Microsoft’s .NET Framework executablengentask.exeand the VLC media player, to load malicious DLLs. Another variant creates scheduled tasks named “Windows Error Reporting” to maintain persistence. A Go-based executable downloads an encrypted file named werdata.db and decrypts its contents using the Chaskey cipher in counter mode. Researchers identified the decrypted content as Donut x64 shellcode. The malware then communicates with Overlord RAT infrastructure at191.96.225.125and45.158.8.213, which the report associates with port 5173. The researchers also found references to Brazilian financial institutions, including C6Bank, PicPay, Banco Inter and Caixa Econômica Federal, in the malware. The second campaign delivers the Lampion banking trojan through phishing emails containing ZIP attachments with HTML files. These files retrieve additional scripts hosted on services such asAWS S3orGoogle Drive. The heavily obfuscated VBScript stages contain junk code that complicates analysis, while the observed command-and-control infrastructure includes Russian-based IP addresses. The third campaign uses a Portuguese-language website titled “Download Seguro – Factura” and a fakeCAPTCHAto distribute an ISO file. The ISO contains a VBScript, VMware’s legitimatevnetlib.exeand a maliciousnewdev.dll. Whenvnetlib.exeloads the DLL, the malicious code decrypts another 64-bit DLL payload written in Pascal. The payload can execute commands, transfer files, control the mouse and keyboard, and stream the victim’s screen. It also adds a Windows registry entry to maintain access after a system restart. Although the three campaigns use different infection methods, they rely on familiar tricks to get malware onto victims’ systems, from fake legal notices and phishing emails carrying financial or administrative lures to a bogus invoice-download page. The use of cloud storage and legitimate applications also gives security teams more than suspicious files to investigate, including unexpected script activity, changes to Defender exclusions and unusual network connections.

← VOLVER A CIBERSEGURIDAD