NjRAT
Qué es
njRAT es un troyano de acceso remoto (RAT) para Windows observado por primera vez en 2012. Los atacantes lo utilizan para registrar pulsaciones de teclas, acceder a la cámara, robar credenciales de navegadores y abrir una shell inversa. También permite manipular procesos, archivos y el registro, así como actualizar o desinstalar la herramienta.
Cómo llega
Puede propagarse por unidades USB, una opción que el atacante configura desde su servidor de comando y control.
Qué hace una vez dentro
Permite ver el escritorio de la víctima, subir y descargar archivos, y actualizar, reiniciar o desinstalar el RAT desde el servidor de comando y control.
A quién ataca
Ataca equipos Windows y se ha usado por actores de amenazas en Medio Oriente.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Ejecución | PowerShell | T1059.001 |
| Ejecución | Windows Command Shell | T1059.003 |
| Ejecución | Native API | T1106 |
| Persistencia | Registry Run Keys / Startup Folder | T1547.001 |
| Sigilo | Compile After Delivery | T1027.004 |
| Sigilo | Encrypted/Encoded File | T1027.013 |
| Sigilo | File Deletion | T1070.004 |
| Sigilo | Clear Persistence | T1070.009 |
| Debilitamiento de defensas | Modify Registry | T1112 |
| Debilitamiento de defensas | Windows Host Firewall | T1686.003 |
| Acceso a credenciales | Credentials from Web Browsers | T1555.003 |
| Descubrimiento | Application Window Discovery | T1010 |
| Descubrimiento | Query Registry | T1012 |
| Descubrimiento | Remote System Discovery | T1018 |
| Descubrimiento | System Owner/User Discovery | T1033 |
| Descubrimiento | Process Discovery | T1057 |
| Descubrimiento | System Information Discovery | T1082 |
| Descubrimiento | File and Directory Discovery | T1083 |
| Descubrimiento | Peripheral Device Discovery | T1120 |
| Movimiento lateral | Remote Desktop Protocol | T1021.001 |
| Movimiento lateral | Replication Through Removable Media | T1091 |
| Recolección | Data from Local System | T1005 |
| Recolección | Keylogging | T1056.001 |
| Recolección | Screen Capture | T1113 |
| Recolección | Video Capture | T1125 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Comando y control | Standard Encoding | T1132.001 |
| Comando y control | Fast Flux DNS | T1568.001 |
| Comando y control | Non-Standard Port | T1571 |
| Exfiltración | Exfiltration Over C2 Channel | T1041 |
Fuente: MITRE ATT&CK v20 (S0385).
Grupos que la usan
Group5Gorgon GroupAPT41APT-C-36Transparent TribeLazyScripterAquatic PandaTA2541
Uso documentado por MITRE ATT&CK, o por Malpedia confirmado con AlienVault OTX. Que un grupo use un arma no quiere decir que todo ataque con ella sea suyo.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 14 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 49 |
En seguimiento desde el 10-oct-2026; último indicador nuevo el 21-oct-2026. Fuente: ThreatFox y URLhaus de abuse.ch.
Fuentes
← Todo el catálogo de armamento