Una nueva amenaza diseñada para el acceso remoto persistente

Investigadores de Blackpoint Cyber identificaron un nuevo troyano de acceso remoto (RAT) denominado LabubaRAT, desarrollado en Rust y diseñado para infiltrarse en sistemas Windows haciéndose pasar por software legítimo de NVIDIA.

A diferencia de otros RAT tradicionales, LabubaRAT destaca por su arquitectura modular, múltiples canales de comunicación, configuración dinámica y capacidades avanzadas de reconocimiento del entorno, lo que le permite adaptarse a diferentes campañas y mantener acceso persistente incluso cuando algunos mecanismos de comunicación son bloqueados.

Las investigaciones sugieren además que podría estar siendo distribuido bajo un modelo Malware-as-a-Service (MaaS), permitiendo que distintos grupos de amenazas utilicen la misma plataforma con infraestructuras independientes.

Un falso software de NVIDIA como puerta de entrada

La infección comienza mediante un ejecutable denominado:

nvidia-sysruntime.exe

El nombre busca simular el componente NVIDIA Container Runtime Toolkit, una herramienta ampliamente utilizada en entornos de desarrollo e infraestructura con GPU.

Este tipo de suplantación aumenta considerablemente las probabilidades de que el archivo pase inadvertido tanto para usuarios como para administradores de sistemas.

Configuración dinámica para dificultar su detección

Uno de los aspectos más interesantes de LabubaRAT es que no incorpora direcciones de comando y control (C2) codificadas dentro del malware.

En cambio, recibe toda su configuración mediante parámetros al momento de ejecutarse.

Entre los datos configurables se encuentran:

• Dirección del servidor C2.
• Intervalos de comunicación.
• Infraestructura utilizada en cada campaña.
• Parámetros específicos para cada víctima.

Toda esta información es almacenada posteriormente en una base de datos SQLite local.

Este enfoque permite reutilizar exactamente el mismo binario en múltiples campañas sin necesidad de recompilar el malware, dificultando la creación de firmas estáticas y complicando el trabajo de los motores antivirus.

Reconocimiento completo del equipo comprometido

Antes de ejecutar acciones sobre el sistema, LabubaRAT realiza un reconocimiento exhaustivo del entorno.

Entre la información recopilada se encuentra:

• Nombre del equipo.
• Modelo del procesador.
• Memoria RAM instalada.
• Estado del UAC (User Account Control).
• Navegadores instalados.
• Productos de seguridad presentes.

El malware busca específicamente soluciones como:

• Microsoft Defender
• CrowdStrike
• SentinelOne
• Carbon Black
• Sophos
• Malwarebytes
• Bitdefender
• ESET
• Kaspersky
• McAfee
• Symantec
• Trend Micro

También identifica navegadores como:

• Google Chrome
• Microsoft Edge
• Firefox
• Brave

Esta información permite a los operadores adaptar sus acciones dependiendo de las defensas existentes en cada equipo.

Capacidades completas de administración remota

Una vez establecida la comunicación con el servidor de comando y control, LabubaRAT ofrece prácticamente todas las funcionalidades de un framework de administración remota.

Entre ellas destacan:

• Ejecución de comandos del sistema.
• Ejecución de PowerShell.
• Ejecución de JavaScript.
• Captura de pantallas.
• Descarga y carga de archivos.
• Compresión y extracción de archivos.
• Proxy SOCKS5.
• Movimiento de archivos.
• Persistencia automática.
• Control remoto interactivo.

Estas capacidades permiten a los atacantes utilizar el equipo comprometido como punto de apoyo para movimientos laterales, robo de información, espionaje o despliegue posterior de ransomware.

Múltiples canales de comunicación

Uno de los elementos más sofisticados de LabubaRAT es su capacidad para comunicarse utilizando diferentes protocolos.

Actualmente soporta:

• HTTPS
• Microsoft WebView2
• DNS Tunneling

Esto significa que si uno de los canales es bloqueado por controles de seguridad, el malware puede continuar comunicándose utilizando otra vía alternativa.

Este mecanismo incrementa significativamente su resiliencia frente a herramientas EDR y sistemas de monitoreo de red.

Persistencia sin herramientas adicionales

A diferencia de muchas familias de malware, LabubaRAT incorpora internamente sus propios mecanismos de persistencia.

No necesita descargar herramientas adicionales para mantenerse activo después del reinicio del sistema.

Según Blackpoint Cyber, esto convierte al malware en una plataforma completa de acceso remoto, eliminando la dependencia de cargadores (loaders) u otros componentes auxiliares.

Posible operación bajo un modelo Malware-as-a-Service

Los investigadores encontraron referencias a un panel denominado LabubaPanel, además de infraestructura preparada para administrar múltiples víctimas.

Este diseño sugiere que LabubaRAT podría estar siendo comercializado como un servicio para distintos actores de amenazas.

En este modelo:

• Los desarrolladores mantienen el malware.
• Los afiliados ejecutan las campañas.
• Cada operador utiliza su propia infraestructura C2.
• El mismo binario sirve para múltiples organizaciones objetivo.

Este enfoque recuerda a otras plataformas MaaS utilizadas por grupos especializados en espionaje y ransomware.

¿Qué hace diferente a LabubaRAT?

Aunque existen numerosos RAT disponibles actualmente, LabubaRAT incorpora varias características modernas:

• Desarrollado completamente en Rust, un lenguaje cada vez más utilizado por actores maliciosos debido a su portabilidad y menor detección.
• Configuración completamente dinámica.
• Persistencia integrada.
• Infraestructura reutilizable.
• Reconocimiento avanzado del entorno.
• Múltiples canales de comunicación.
• Arquitectura preparada para campañas masivas.

Todo ello convierte al malware en una plataforma flexible y difícil de detectar mediante mecanismos tradicionales.

Recomendaciones para las organizaciones

Los especialistas recomiendan fortalecer especialmente los controles relacionados con estaciones de trabajo de usuarios y equipos administrativos.

Entre las principales medidas se incluyen:

• Verificar la autenticidad de ejecutables que aparenten pertenecer a fabricantes reconocidos.
• Restringir la ejecución de software no autorizado mediante listas blancas (Application Control).
• Monitorear el uso inusual de PowerShell y JavaScript.
• Detectar conexiones DNS anómalas y túneles DNS.
• Supervisar cambios en mecanismos de persistencia del sistema.
• Mantener soluciones EDR correctamente configuradas y actualizadas.
• Aplicar monitoreo continuo sobre procesos firmados que presenten comportamientos anómalos.

Conclusión

LabubaRAT demuestra la evolución del malware moderno hacia plataformas altamente configurables, persistentes y orientadas a operaciones de largo plazo.

Su capacidad para adaptarse dinámicamente, identificar productos de seguridad, utilizar múltiples canales de comunicación y operar bajo un posible modelo Malware-as-a-Service lo convierte en una amenaza significativa para organizaciones que dependen de entornos Windows.

Más allá del malware en sí, este caso confirma una tendencia creciente: los atacantes ya no buscan únicamente comprometer un equipo, sino desplegar herramientas flexibles capaces de mantenerse ocultas, adaptarse al entorno y servir como plataforma para futuras operaciones ofensivas.

LabubaRAT: New Rust-Based Remote Access Trojan Disguises Itself as NVIDIA Software to Compromise Windows Systems

A New Persistent Remote Access Threat

Security researchers at Blackpoint Cyber have uncovered a previously undocumented Rust-based Remote Access Trojan (RAT) called LabubaRAT, designed to infiltrate Windows systems while impersonating legitimate NVIDIA software.

Unlike traditional RATs, LabubaRAT features a modular architecture, multiple communication channels, dynamic runtime configuration, and advanced host reconnaissance capabilities, allowing it to adapt to different campaigns and maintain persistent access even if one communication method is blocked.

Researchers also believe it may be offered under a Malware-as-a-Service (MaaS) model, enabling multiple threat actors to deploy the same malware framework using independent infrastructure.

Disguised as Legitimate NVIDIA Software

The infection begins with an executable named:

nvidia-sysruntime.exe

The filename mimics NVIDIA Container Runtime Toolkit, making it appear legitimate and significantly increasing the chances of evading user suspicion.

Dynamic Configuration Makes Detection Harder

Instead of embedding hardcoded command-and-control servers, LabubaRAT receives its entire configuration at launch.

Operators can dynamically define:

• Command-and-control servers
• Polling intervals
• Campaign-specific infrastructure
• Victim-specific parameters

The malware stores this information locally inside a SQLite database, allowing attackers to reuse the exact same binary across multiple campaigns without recompiling it.

This approach greatly complicates static detection and signature-based defenses.

Comprehensive Host Profiling

Before executing attacker commands, LabubaRAT performs extensive reconnaissance.

It collects:

• Hostname
• CPU model
• Installed RAM
• User Account Control (UAC) status
• Installed browsers
• Installed security products

The malware specifically checks for solutions such as:

• Microsoft Defender
• CrowdStrike
• SentinelOne
• Carbon Black
• Sophos
• Malwarebytes
• Bitdefender
• ESET
• Kaspersky
• McAfee
• Symantec
• Trend Micro

Browser detection includes Chrome, Edge, Firefox, and Brave.

This intelligence allows attackers to tailor their operations to the victim’s security posture.

Full Remote Administration Capabilities

Once connected to its command-and-control server, LabubaRAT provides operators with a comprehensive remote administration toolkit, including:

• System command execution
• PowerShell execution
• JavaScript execution
• Screenshot capture
• File upload and download
• Archive management
• SOCKS5 proxy
• Persistent access
• Interactive remote control

These capabilities allow attackers to perform espionage, data theft, lateral movement, or deploy additional payloads such as ransomware.

Multiple Communication Channels

One of LabubaRAT’s strongest features is its resilience.

It supports communication over:

• HTTPS
• Microsoft WebView2
• DNS tunneling

If one communication channel is blocked, operators can continue interacting with compromised hosts through alternative methods.

Built-in Persistence

Unlike many malware families, LabubaRAT includes its own persistence mechanisms.

It does not rely on additional loaders or secondary malware to survive system reboots, making it a fully self-contained remote access framework.

Likely Malware-as-a-Service Platform

Researchers identified references to LabubaPanel, suggesting the malware is managed through a centralized administration panel.

This architecture strongly indicates a Malware-as-a-Service operation where:

• Developers maintain the malware.
• Affiliates conduct campaigns.
• Each operator uses independent infrastructure.
• A single binary supports multiple victims and organizations.

What Makes LabubaRAT Different?

LabubaRAT combines several modern malware characteristics:

• Written entirely in Rust.
• Dynamic runtime configuration.
• Integrated persistence.
• Reusable infrastructure.
• Advanced host reconnaissance.
• Multiple communication protocols.
• Scalable campaign architecture.

Together, these capabilities make it significantly more difficult to detect and disrupt.

Recommendations

Organizations should:

• Validate executables claiming to originate from trusted vendors.
• Implement application allowlisting.
• Monitor unusual PowerShell and JavaScript execution.
• Detect abnormal DNS tunneling activity.
• Monitor persistence mechanisms.
• Keep EDR platforms fully updated.
• Hunt for suspicious behavior from signed processes.

Conclusion

LabubaRAT demonstrates how modern malware is evolving into highly configurable, persistent frameworks designed for long-term operations.

Its ability to profile victims, evade detection, leverage multiple communication channels, and potentially operate under a Malware-as-a-Service model makes it a significant threat to Windows environments.

Rather than simply compromising endpoints, attackers are increasingly deploying adaptable platforms capable of supporting espionage, credential theft, ransomware deployment, and prolonged access to enterprise networks.