Un RAT es un Remote Access Trojan: malware diseñado para darle control remoto a un atacante sobre un equipo comprometido. En una empresa, ese control puede convertirse en vigilancia, robo de información, movimiento lateral, persistencia o preparación para un incidente mayor.
El punto clave es operativo: un RAT no siempre se presenta como una alerta evidente. Puede verse como un proceso raro, una conexión saliente persistente, una herramienta de acceso remoto no aprobada o una cadena de eventos que empieza con phishing y termina con control del endpoint.
Por eso conviene tratarlo como un problema de visibilidad y respuesta, no solo como “un virus que hay que borrar”.
Qué hace peligroso a un RAT
Un RAT busca darle al atacante una sesión de control. Dependiendo de la familia de malware y del entorno, puede habilitar acciones como captura de pantalla, robo de archivos, ejecución remota, registro de teclas, exploración del sistema o conexión con infraestructura de comando y control.
Microsoft describe variantes de AsyncRAT como troyanos de acceso remoto que han sido reutilizados por actores criminales, con cadenas de infección que suelen iniciar con phishing y que pueden incluir persistencia mediante tareas programadas o claves de ejecución automática. MITRE ATT&CK también documenta capacidades asociadas a AsyncRAT, como entrega por adjuntos maliciosos, persistencia y captura de pantalla.
La lectura defensiva es simple: si un atacante consigue mantener control remoto, ya no estás viendo solo un archivo malicioso. Estás frente a una sesión activa o latente que puede cambiar de objetivo.
RAT no es lo mismo que herramienta remota legítima
Las empresas usan herramientas remotas legítimas para soporte, administración y mantenimiento. Eso no las vuelve maliciosas por sí mismas.
El riesgo aparece cuando:
- una herramienta remota no está autorizada;
- se instala fuera del proceso normal de TI;
- aparece en un equipo que no debería tenerla;
- se conecta a cuentas, dominios o servidores desconocidos;
- genera persistencia sin justificación;
- se usa después de phishing, robo de credenciales o explotación de una vulnerabilidad.
CISA, NSA y MS-ISAC han advertido sobre el abuso de software legítimo de monitoreo y administración remota como canal de persistencia o comando y control. MITRE ATT&CK ubica el abuso de herramientas de acceso remoto en la técnica T1219 y recomienda controles como deshabilitar funciones innecesarias, usar control de aplicaciones y filtrar tráfico saliente.
En otras palabras: la defensa no debe limitarse a bloquear una lista de nombres. Debe distinguir entre uso autorizado, uso riesgoso y uso claramente malicioso.
Señales que deben activar revisión
Un RAT puede variar mucho entre familias, pero hay patrones que vale la pena monitorear:
- procesos nuevos que se ejecutan desde rutas temporales o perfiles de usuario;
- conexiones salientes largas hacia destinos no documentados;
- herramientas de acceso remoto instaladas sin ticket, responsable o aprobación;
- tareas programadas, servicios o claves de arranque creadas recientemente;
- procesos que generan hijos inusuales, por ejemplo shells, herramientas de scripting o utilidades de red;
- actividad de pantalla, teclado, archivos o credenciales fuera del patrón normal;
- intentos de desactivar antivirus, EDR o políticas de seguridad;
- autenticaciones desde ubicaciones, horarios o dispositivos no habituales;
- alertas de EDR que no se investigan porque el equipo “sigue funcionando”.
Una señal aislada puede ser ruido. Una cadena de señales sí merece investigación. Por ejemplo: correo sospechoso, ejecución de adjunto, proceso nuevo, tarea programada y conexión saliente persistente.
Por dónde suele entrar
Las rutas comunes son conocidas:
- Phishing con adjuntos o enlaces maliciosos.
- Descarga de instaladores falsos.
- Abuso de credenciales robadas.
- Software remoto legítimo instalado con engaño.
- Vulnerabilidades sin parche en servicios expuestos.
- Paquetes o scripts descargados desde fuentes no verificadas.
No necesitas perseguir cada familia de RAT para reducir el riesgo. Conviene fortalecer controles que cortan varias rutas a la vez: correo, navegación, identidad, endpoints, permisos, parches y monitoreo.
Si el problema empieza con correo, revisa también la guía de cómo proteger tu empresa contra ataques de phishing. Si empieza con identidad, un siguiente paso práctico es evaluar MFA resistente al phishing para cuentas críticas.
Controles preventivos que sí ayudan
La prevención efectiva combina capas:
- Control de aplicaciones: permite solo software aprobado en equipos sensibles.
- EDR bien operado: no basta con instalarlo; hay que revisar alertas, aislar equipos y documentar hallazgos.
- Filtro de salida: servidores y estaciones críticas no deberían conectarse libremente a cualquier destino.
- Mínimo privilegio: reduce el impacto si una cuenta o endpoint cae.
- MFA fuerte: dificulta que el atacante reutilice credenciales robadas.
- Parcheo: cierra rutas de entrada conocidas en sistemas expuestos.
- Inventario de acceso remoto: define qué herramientas se permiten, quién las administra y dónde pueden ejecutarse.
- Capacitación breve y repetible: ayuda a detectar instaladores falsos, adjuntos sospechosos y solicitudes de soporte no verificadas.
Para empresas que no tienen equipo interno dedicado, un servicio de seguridad gestionada MSSP puede ayudar a convertir estas capas en operación continua: monitoreo, revisión de alertas, priorización y respuesta.
Qué debe registrar tu monitoreo
Para detectar RATs necesitas telemetría de endpoint y red. Como base, registra:
- creación de procesos;
- conexiones salientes por proceso;
- instalación de servicios;
- cambios en arranque automático;
- ejecución de scripts;
- creación de tareas programadas;
- cambios en políticas de seguridad;
- inicios de sesión y uso de privilegios;
- eventos de EDR, antivirus, firewall y proxy;
- actividad de DNS hacia dominios nuevos o raros.
No todos los eventos requieren una alerta. Pero sí deben estar disponibles cuando el equipo investiga. Una alerta sin contexto obliga a adivinar; una alerta con proceso, usuario, destino, hash, hora y equipo permite decidir.
Esto conecta directamente con monitoreo y análisis de seguridad y con una implementación práctica de Endpoint Detection and Response.
Cómo responder si sospechas de un RAT
La respuesta debe evitar dos errores: ignorar la señal porque “el equipo funciona” o borrar rápido sin conservar evidencia.
Una ruta razonable:
- Aísla el equipo de la red sin apagarlo de inmediato si necesitas preservar evidencia.
- Registra usuario, hora, procesos, conexiones, archivos recientes y alertas relacionadas.
- Revoca sesiones y cambia credenciales de cuentas usadas en el equipo.
- Revisa otros equipos con indicadores parecidos.
- Valida persistencia: servicios, tareas, arranque, extensiones, herramientas remotas y cuentas nuevas.
- Erradica, reinstala o reconstruye según criticidad y confianza en la limpieza.
- Reintegra el equipo solo después de corregir la ruta de entrada.
- Documenta causa probable, alcance, datos potencialmente expuestos y controles pendientes.
Si no existe un flujo definido, conviene apoyarse en un plan de respuesta a incidentes antes de que la presión obligue a improvisar.
Checklist rápido para tu empresa
Revisa estos puntos:
- ¿Sabes qué herramientas remotas están aprobadas?
- ¿Puedes ver qué proceso abre una conexión saliente?
- ¿Tienes EDR en equipos críticos?
- ¿Bloqueas software remoto no autorizado?
- ¿Las cuentas administrativas usan MFA fuerte?
- ¿Tus servidores tienen reglas de salida justificadas?
- ¿Hay alertas por tareas programadas o servicios nuevos?
- ¿El equipo sabe cómo reportar un correo o instalador sospechoso?
- ¿Existe un proceso de aislamiento de endpoint?
- ¿Se documentan incidentes y lecciones aprendidas?
Si varias respuestas son “no”, el riesgo no está en una sola máquina. Está en la falta de visibilidad para saber qué está pasando.
Cómo puede apoyar Syscore
Syscore puede ayudarte a revisar exposición, endpoints, controles de acceso, monitoreo, respuesta y operación de seguridad. El objetivo es bajar el riesgo sin frenar la operación diaria: identificar brechas reales, priorizar controles y dejar procesos que tu equipo pueda sostener.
Puedes empezar por ciberseguridad, servicios de ciberseguridad para empresas o gestión de incidentes si ya tienes una alerta que requiere contención.
Referencias útiles
- CISA: 2021 Top Malware Strains
- CISA: Protecting Against Malicious Use of Remote Monitoring and Management Software
- MITRE ATT&CK: Remote Access Tools, T1219
- MITRE ATT&CK: AsyncRAT, S1087
- Microsoft Security Intelligence: AsyncRAT
Un RAT no se controla con una sola herramienta. Se controla con visibilidad de endpoint, reglas claras de acceso remoto, monitoreo de salida, identidad fuerte y un proceso de respuesta que el equipo pueda ejecutar sin improvisar.