Investigadores que analizaron el malware Android conocido como RatHat han desvelado una infraestructura DNS amplia y activa vinculada a una campaña de smishing y malvertising. El trabajo, publicado por especialistas en inteligencia de dominios y DNS, agrupa 33 indicadores de compromiso (IoC) en forma de dominios y subdominios, y muestra cómo estas piezas de infraestructura se comunicaron con cientos de clientes únicos antes de ser señaladas como maliciosas.
Qué es RatHat y cómo se propaga
RatHat es un malware diseñado para Android que, según el informe, se distribuye principalmente a través de campañas de smishing (mensajes de texto fraudulentos) y anuncios maliciosos que redirigen a portales de descarga falsos. La muestra analizada emplea un canal de infección multietapa y aprovecha técnicas para persistir en el dispositivo, incluyendo abuso de las funciones de Accesibilidad y un emparejamiento local ADB que le permite ejecutar procesos nativos con privilegios de shell fuera del sandbox estándar de aplicaciones Android.
Hallazgos en la infraestructura DNS
Los investigadores comenzaron con una lista inicial de dominios y subdominios proporcionada por el hallazgo original. Mediante consultas en diversas API y fuentes de datos de dominios y DNS ampliaron esa lista: tras filtrar un dominio aparentemente legítimo, trabajaron con un conjunto final de 15 subdominios y 18 dominios (33 IoC en total) para su análisis detallado.
Entre los hallazgos relevantes están:
- Registro de 240 direcciones IP cliente únicas, distribuidas en dos sistemas autónomos (ASNs), que realizaron 297 consultas DNS a seis de los dominios IoC entre el 28 de julio y el 1 de septiembre de 2026.
- Detección de grupos de typo-squatting: tres dominios IoC formaron parte de grupos con cinco o seis variantes similares, registrados de forma masiva a comienzos de agosto de 2026.
- Registro histórico y resoluciones DNS: 13 de los IoC mostraron 138 resoluciones históricas dominio→IP en los registros consultados, lo que ayuda a trazar la evolución y posibles pivotajes de infraestructura.
Conexiones por correo y riesgos asociados
El análisis de la historia de WHOIS de los dominios reveló once emails históricos asociados a 12 dominios; ocho de esos correos eran públicos y se usaron para rastrear dominios relacionados. Una búsqueda posterior vinculó 8.461 dominios distintos a esos correos públicos, y al menos cuatro de esos dominios aparecieron ya asociados a actividades maliciosas en feeds de inteligencia (por ejemplo, distribución de malware en fechas previas).
Estos enlaces por correo ayudan a identificar redes de dominios operadas por los mismos actores o por terceros que reutilizan registros, y revelan que parte de la infraestructura ha estado activa y reutilizada durante meses o años.
Qué cambia y a quién afecta
Para administradores de servidores DNS, operadores de redes y responsables de seguridad de sitios web y apps móviles, el informe resalta varios riesgos prácticos: las campañas de smishing que conducen a descargas en portales no oficiales siguen siendo un vector eficaz para desplegar malware móvil; además, la existencia de conjuntos de dominios y subdominios interconectados facilita la resiliencia de la infraestructura maliciosa.
Recomendaciones prácticas
- Monitorizar las consultas DNS salientes desde redes y dispositivos móviles para detectar conexiones a los dominios y subdominios indicados, y bloquearlas en listas locales o en la resolución autoritativa si procede.
- Reforzar la vigilancia sobre registros WHOIS y alertas de typo-squatting para detectar registros masivos que puedan anticipar campañas de este tipo.
- En móviles, evitar instalar aplicaciones desde terceros no verificados; educar a usuarios sobre smishing y comprobación de enlaces y remitentes.
- Correlacionar tráfico DNS con feeds de inteligencia y registros internos para priorizar investigaciones cuando aparezcan resoluciones persistentes hacia direcciones o ASNs sospechosos.
El informe ofrece más artefactos y datos descargables para investigadores que deseen profundizar en las muestras y la lista completa de IoC. Dado que la pieza incluye análisis de registros históricos, DNS y relaciones por correo, constituye una referencia útil para equipos de detección y respuesta que trabajan contra campañas de distribución de malware móvil basadas en smishing.
Lee también:
- Fallo crítico en LXD y MicroCloud permite suplantar clientes de confianza sin la clave privada
- Fallas en Arista y Nextcloud: parches disponibles y alcance para administradores web
Fuente: CircleID
