DesckVB RAT (v2.9) — RAT .NET modular, entrega en múltiples etapas y ecosistema de plugins
Vinculación de cadena de herramientas a “Pjoao1578”
Autor: ShadowOpCode
X/Twitter: https://x.com/ShadowOpCode
Este repositorio acompaña un informe técnico completo que documenta un ecosistema de malware activo centrado en DesckVB RAT, un troyano de acceso remoto .NET modular observado en campañas activas a principios de 2026.
El análisis reconstruye el ciclo de vida completo de la infección, desde la entrega inicial de JavaScript hasta la ejecución en memoria, la comunicación C2 y el despliegue de plugins bajo demanda.
⚠️ Este repositorio no distribuye binarios maliciosos.
Solo contiene material de investigación, indicadores de compromiso y perspectivas defensivas.
- PDF:
DesckVB_RAT.pdf
- Temas principales cubiertos:
- Cadena de infección en múltiples etapas (WSH JavaScript → PowerShell → cargador .NET → RAT)
- Descifrado en tiempo de ejecución de la configuración C2 (host, puerto, mutex, banderas)
- Reconstrucción del protocolo C2 TCP personalizado utilizando datos históricos de PCAP
- Análisis en profundidad de plugins modulares (keylogger, webcam, enumeración AV, sonda de red)
- Análisis del builder (v2.6) en entorno aislado
- Análisis de vinculación de cadena de herramientas respaldado por OSINT
TL;DR (para los que “solo quieren el punto”)
- DesckVB RAT no es interesante porque sea nuevo, sino porque es estable, modular y operativamente maduro.
- La arquitectura basada en plugins permite a los atacantes desplegar capacidades de forma selectiva tras el compromiso.
- Incluso con infraestructura C2 inactiva, los datos históricos de PCAP permiten una reconstrucción confiable de:
- estructura del protocolo
- semántica de comandos
- mecanismos de entrega de plugins
- Las referencias repetidas a “Pjoao1578” en plugins, metadatos y rutas de compilación respaldan firmemente la vinculación de cadena de herramientas / entorno de compilación compartido (no atribución ciega).
🔗 Kill Chain observada (Alto nivel)
Etapa 1 – JavaScript WSH
- Ofuscación pesada de cadenas
- Autocopiado a
C:\Users\Public\
- Reinicio mediante
wscript.exe //nologo
- Reconstrucción dinámica de una carga útil de PowerShell (Base64)
Etapa 2/3 – PowerShell
- Reconstrucción de carga útil en tiempo de ejecución
- Verificaciones de conectividad (dominios de Google)
- Lógica antianálisis (verificaciones de proceso/depurador)
- Descarga de fragmentos de carga útil codificados en decimal
- Reconstrucción en memoria de un ensamblado .NET
Etapa 4 – Cargador .NET (Sin archivo)
Assembly.Load() con invocación reflectiva- Ejecución controlada por verificaciones de entorno
- Sin PE descargado en reposo
Etapa 5 – DesckVB RAT v2.9.0.0
- Descifrado en tiempo de ejecución de la configuración:
- dirección y puerto C2
- mutex
- banderas de capacidad
- contraseña de autenticación C2
- Baliza TCP persistente con bucle de reconexión
- C2 observado como inactivo (RST) durante el análisis en vivo
📡 Protocolo C2 y entrega de plugins
Reconstruido a partir de datos históricos de PCAP:
- Comando de ejecución de plugin:
RunBlugin||<BASE64_ENCODED_DLL>
- Elementos de protocolo consistentes:
- Delimitador de campo:
||
- Terminador de mensaje (usado por varios plugins):
#Sucess#
La consistencia del protocolo es crítica para la detección y búsqueda a nivel de red, incluso cuando la infraestructura cambia.
🧩 Plugins analizados (Resumen)
-
DetectarAntivirus.dll
- Enumera productos de seguridad instalados
- Envía los resultados de vuelta al C2
-
Keylogger.dll
- Hook de teclado de bajo nivel (
SetWindowsHookEx)
- Seguimiento de ventana activa
- Intercepción del portapapeles
- Exfiltración mediante protocolo TCP personalizado
-
Webcam.dll
- Usa DirectShow (AForge)
- Transmite fotogramas JPEG prefijados con
Cam||
- Intenta suprimir el LED de la cámara mediante clave de registro (el efecto depende del OEM/controlador)
-
Ping_Net.dll
- Sonda RTT ICMP (predeterminado:
www.google.com.br)
- El comando opcional
mapa realiza una obtención HTTP(S) de URLs proporcionadas por el atacante
🧪 Validación del Builder (v2.6)
Se ejecutó una versión crackeada del builder de DesckVB RAT (v2.6) en un entorno de laboratorio completamente aislado para comparar:
- estructura de configuración
- nombres y disposición de plugins
- semántica del protocolo
- convenciones de versionado
La superposición entre la salida del builder y las muestras en vivo muestra una fuerte continuidad entre versiones, respaldando la agrupación a nivel de ecosistema.
🕵️ Vinculación de cadena de herramientas a “Pjoao1578”
El identificador “Pjoao1578” aparece repetida e independientemente en:
- Metadatos
CompanyName en múltiples plugins (Pjoao1578Developer)
- Rutas de depuración como:
...\DesckVB Rat\V2.9.0.0\DLL\Blugin Stub\
- Informes públicos anteriores relacionados con cargadores y herramientas similares
Conclusión correcta
- Fuerte evidencia de cadena de herramientas / entorno de compilación / marca compartidos
- Útil para agrupación y búsqueda de amenazas
- No suficiente para atribución personal definitiva
El informe evita intencionalmente la sobre-atribución y trata estos indicadores con el rigor analítico apropiado.
Tablas completas disponibles en el apéndice del informe.
C2
manikandan83[.]mysynology[.]net:7535
URLs de staging (ejemplos)
hxxps://andrefelipedonascime1768785037020[.]1552093[.]meusitehostgator[.]com[.]br/.../01.txt.../02.txt.../03.txt.../PeYes
SHA256 (ejemplos)
- JS de Etapa 1:
9d9cfe5b31a3b020e3c65d440d8355e33f7c056b087ec6aba3093ae1a099ac0
- PowerShell:
347621f7a3392939d9bdbe8a6c9fda30ba9d3f23cb6733484da8e2993772b7f3
- Cargador:
a675f5a396de1fa732a9d83993884b397f02921bbcf34346fbed32c8f4053064
- RAT:
affb29980bc9564f1b03fe977e9ca5c7adf254656d639632c4d14e34aa4fdff6
- Plugin de cámara web:
ff051dde71487ea459899920ef7014dad8eee4df308eb360555f3e22232c9367
🛡️ Guía de detección y búsqueda
Señales en endpoints
- JavaScript WSH ofuscado copiado a
C:\Users\Public\
- Ejecución mediante
wscript.exe //nologo
- PowerShell construyendo matrices de bytes decimales +
Assembly.Load()
- Mutex:
nozgrb6ev4t4c7sc2hz7iwnnmmwahj54
- Suplantación de procesos (
Update.exe, directorios Microsoft)
Señales de red
- Formato de baliza que contiene:
Desk||<machine>||<user>||<locale>||2.9.0.0||
- Entrega de plugins mediante
RunBlugin||
- Delimitador estable
|| y terminador #Sucess#
📚 Metodología
- Análisis estático (cadenas, IL, metadatos)
- Ejecución dinámica en laboratorio aislado
- Reconstrucción de tráfico de red utilizando PCAP histórico
- Ejecución del builder para comparación estructural
⚠️ Aviso legal
Esta investigación se publica solo con fines defensivos y analíticos.
- No se distribuyen binarios maliciosos
- Los indicadores pueden ser reutilizados o degradarse con el tiempo
- La atribución se maneja de manera conservadora:
- la evidencia respalda la vinculación de cadena de herramientas y agrupación
- no identificación definitiva de un operador individual
📎 Citación
Si hace referencia o reutiliza esta investigación, por favor enlace:
- este repositorio
- el informe PDF completo
- la cuenta X del autor (@ShadowOpCode)
shadowopcode/desckvb-rat