La Agencia Tributaria trae un troyano
Los ciberdelincuentes han empezado a distribuir PackClient, un troyano de acceso remoto (RAT) multifuncional capaz de convertir, en la práctica, un ordenador infectado en un dispositivo controlado a distancia. Según los investigadores de Proofpoint, los ataques llevan casi tres meses y ya han afectado a organizaciones de China continental e India.
PackClient puede robar archivos y controlarlos a distancia, ejecutar comandos a través de una consola, hacer capturas de pantalla, conectarse al escritorio, acceder a la cámara web e interceptar las pulsaciones del teclado. Además, el programa malicioso puede intentar elevar los privilegios del usuario y realizar operaciones administrativas en el sistema. En otras palabras, a la víctima no le piden simplemente que abra un archivo sospechoso: le ofrecen entregar voluntariamente a los atacantes la llave remota de su ordenador de trabajo.
El programa malicioso se vende activamente a través de canales de Telegram. Por ahora, los investigadores solo han observado su uso por parte de un grupo: TA4922. No es una organización de piratas informáticos al servicio de un Estado, sino un grupo criminal que actúa por lucro.
Desde finales de mayo de 2026, TA4922 ha enviado correos a organizaciones, primero centradas en China y después también en India. Los remitentes se hacían pasar por autoridades tributarias locales y comunicaban a los destinatarios que debían completar una «autoevaluación». Para ello, les proponían descargar y rellenar los documentos adjuntos.
Como era de esperar, los documentos no eran documentos. El adjunto contenía el instalador de PackClient: el clásico caso en que se usa el miedo a la burocracia como botón de «Abrir archivo».
Proofpoint no ha revelado cuántas organizaciones resultaron afectadas ni qué sectores fueron los principales objetivos. En informes anteriores, los investigadores señalaban que TA4922 suele atacar a pequeñas y medianas empresas, sobre todo en Japón. El grupo también había mostrado interés por organizaciones de Taiwán, Corea del Sur, Singapur e India. Más adelante, su lista incluyó empresas europeas y organizaciones del Reino Unido.
Los expertos advierten de que PackClient se vende a través de Telegram, así que no está al alcance de un solo grupo. Gracias a su amplia variedad de funciones, otros atacantes podrían empezar a utilizarlo, también en campañas contra organizaciones de países occidentales. Proofpoint ha publicado una lista completa de indicadores de compromiso, es decir, señales técnicas que permiten a los especialistas comprobar si puede haber habido una infección.
PEREC.RU
La historia de PackClient es un ejemplo de cómo los ciberdelincuentes convierten un trámite administrativo habitual en un señuelo para infectar ordenadores corporativos. PackClient es un RAT, o troyano de acceso remoto. Una vez instalado, ofrece al atacante un amplio abanico de posibilidades: controlar archivos a distancia, robar datos, ejecutar comandos mediante una consola, hacer capturas de pantalla, controlar el escritorio remoto, acceder a la cámara web e interceptar las pulsaciones del teclado. También permite elevar privilegios y realizar tareas de administración del sistema. Por eso, la infección puede acabar no solo en el robo de algunos documentos, sino también en el control del equipo de trabajo.
Los investigadores de Proofpoint afirman que PackClient lleva casi tres meses distribuyéndose. Los principales objetivos de la campaña han sido organizaciones de China continental e India. Los correos se hacían pasar por mensajes de las autoridades tributarias locales. Se convencía a los destinatarios de que debían completar una «autoevaluación», descargar el adjunto y rellenar unos documentos. En realidad, el adjunto no contenía formularios, sino el instalador del troyano.
PackClient se vende a través de canales de Telegram. Hasta ahora, se ha observado su uso en un solo grupo: TA4922. Según los investigadores, se trata de una organización criminal motivada por el lucro, no de piratas informáticos que trabajen para un Estado.
En informes anteriores, Proofpoint indicaba que TA4922 suele elegir pequeñas y medianas organizaciones de Japón. Entre los demás objetivos mencionaba Taiwán, Corea del Sur, Singapur e India. Más adelante, el grupo amplió su alcance geográfico y empezó a atacar organizaciones de Europa y el Reino Unido.
Proofpoint no comunicó cuántas empresas resultaron afectadas ni qué sectores fueron los más atacados. Sin embargo, los investigadores creen que la amenaza puede crecer rápidamente: la venta de PackClient a través de Telegram lo pone al alcance de otros grupos. Estos podrían utilizar la herramienta ya preparada en nuevas campañas, sobre todo contra organizaciones de países occidentales. Para detectar posibles infecciones, Proofpoint ha elaborado una lista de IoC, indicadores de compromiso, es decir, señales técnicas de la actividad del programa malicioso.
