El troyano DarkCore secuestra sesiones de Gmail y WhatsApp navegando desde la IP de la víctima

Un troyano de acceso remoto (RAT) llamado DarkCore se vende en un foro clandestino con un reclamo poco habitual: un navegador integrado que carga cookies de sesión robadas y saca su tráfico a través del equipo infectado. Para Gmail, WhatsApp Web o cualquier otro servicio, la actividad del atacante parece provenir del dispositivo y la red habituales de la víctima.

Qué ocurrió

El anuncio, publicado a mediados de agosto de 2026 y actualizado desde entonces, presenta a DarkCore como un RAT para Windows "de gama alta" pensado para operadores que priorizan el sigilo. La lista de funciones parece un kit completo: robo de credenciales y cookies, transferencia de archivos, proxy inverso, clipper, control remoto mediante escritorio oculto (HVNC) y transporte opcional por Tor. En el momento del anuncio la versión vigente era la 2.0.1.

La función estrella es el navegador dedicado. El material promocional lo muestra con sesiones de Gmail, WhatsApp, YouTube y MediaFire, con cookies extraídas de una víctima inyectadas directamente en la sesión de navegación del atacante. Según el registro de cambios del vendedor, esa sesión puede canalizarse a través de la dirección IP del equipo infectado, y el túnel se cierra cuando se cierra la última ventana del navegador asociada.

Estas afirmaciones sobre el navegador deben tomarse con cautela. El análisis de una muestra real confirmó cómo se configura el cliente y cómo carga sus módulos, pero las funciones del navegador siguen siendo descripciones del vendedor, no hallazgos validados de forma independiente. Una captura promocional con 118 filas de credenciales no dice nada fiable sobre cuántas víctimas existen realmente.

Cómo llega al equipo

La muestra llegó acompañada de un archivo de acceso directo de Windows disfrazado con un icono de PDF y con un nombre que sugiere un visor de informes. Al abrirlo, se lanza una ventana de comandos minimizada que hace dos cosas: descarga un informe auténtico del Banco Mundial para mostrárselo al usuario y, por separado, obtiene un ejecutable desde un servidor remoto. Los comandos están ofuscados mediante recorte de cadenas, eliminación de caracteres y expansión de CALL, e intentan borrar el flujo Zone.Identifier de ambas descargas para que Windows muestre menos advertencias.

Dos detalles llaman la atención. El ejecutable se descarga aunque el PDF señuelo falle, y el comando de lanzamiento nunca comprueba si la descarga tuvo éxito. Todavía se desconoce cómo llega el acceso directo a las víctimas y, como no fue posible obtener el payload remoto para calcular su hash, tampoco está confirmado que el archivo servido en vivo sea el mismo binario que la muestra analizada.

Qué reveló la muestra

El binario analizado es un ejecutable de Windows de 64 bits sin firmar. Su configuración está protegida con un esquema sencillo: una clave de 32 bytes se rota y se aplica con XOR sobre 758 bytes codificados. Una vez descodificados, los ajustes mostraban comunicación de mando y control directa por TCP, los transportes Tor y WebSocket desactivados y los indicadores de instalación y persistencia al inicio sin establecer. Los módulos adicionales pueden cargarse directamente en memoria o escribirse en disco como archivos DLL temporales.

Por qué importa

Una cookie de sesión es la prueba de un inicio de sesión que ya tuvo éxito. Reproducirla evita la contraseña y cualquier verificación en dos pasos aplicada al entrar. Si además el tráfico sale desde la propia IP de la víctima, desaparecen las dos señales en las que la mayoría de las organizaciones confían para detectar el robo de cuentas: una ubicación desconocida y un dispositivo inusual. Una dirección IP familiar no demuestra que el usuario legítimo esté al teclado.

Qué hacer

• Correlacione la telemetría del endpoint con la de las cuentas. Busque procesos de consola que inicien descargas, cadenas de procesos sospechosas bajo archivos de acceso directo, ejecutables sin firmar con nombres alusivos a PDF y conexiones TCP salientes a puertos inesperados. Los registros de cuentas por sí solos no detectarán este ataque.
• Trate los archivos .lnk como ejecutables. Bloquee o ponga en cuarentena los accesos directos recibidos por correo o descargados y genere alertas cuando cmd.exe se lance desde un acceso directo.
• Vigile la manipulación del Mark-of-the-Web. Borrar el flujo Zone.Identifier justo después de una descarga es una señal clara.
• Si sospecha robo de sesión, actúe sobre la cuenta, no solo sobre el equipo. Aísle el endpoint, preserve las evidencias, detenga cualquier transferencia de archivos y después revoque todas las sesiones activas y restablezca las credenciales afectadas. Cambiar la contraseña sin revocar las sesiones deja al atacante conectado.
• Acorte la duración de las sesiones en las cuentas críticas y vincule las sesiones a características del dispositivo donde su proveedor de identidad lo permita.

Las cookies y credenciales robadas con herramientas como DarkCore acaban justo en los mercados donde se vende este malware. El servicio de monitorización de la Deep/Dark Web de 4tify vigila esos canales en busca de los dominios, direcciones de correo y volcados de sesión de su organización, para que una cuenta comprometida pueda revocarse antes de ser revendida o utilizada.

Indicadores de compromiso

Los indicadores están desactivados (defanged). Reactívelos solo dentro de una plataforma de inteligencia de amenazas controlada o de su SIEM.