Dentro de mi camino hacia el pentesting (eJPT primero, OSCP después), entender el malware no es solo cultura general — muchas herramientas que un pentester usa de forma legal y autorizada funcionan con la misma lógica que un RAT malicioso. La diferencia no está en la técnica, está en el permiso. Vamos a entender de verdad qué hace un RAT, no solo la definición de manual.
Qué es un RAT
RAT son las siglas de Remote Access Trojan — un troyano de acceso remoto. Como todo troyano, se hace pasar por algo legítimo (un programa pirata, un archivo adjunto, una herramienta “gratis”) para conseguir que la víctima lo ejecute voluntariamente. Lo que lo distingue de otros troyanos es el nivel de control que da una vez dentro: no se limita a robar un archivo o una contraseña puntual — le da al atacante control interactivo y continuo sobre el equipo, como si estuviera sentado delante de él.
Qué puede hacer de verdad un RAT
Esto es lo que sorprende a quien lo ve por primera vez: no es solo “leer archivos a escondidas”. Un RAT típico permite:
- Mover el ratón y el teclado, como control remoto directo.
- Ver la pantalla de la víctima en tiempo real.
- Activar la cámara y el micrófono sin ningún aviso visible.
- Navegar por el sistema de archivos completo, no solo una carpeta.
- Instalar más malware una vez dentro, usando el equipo comprometido como punto de partida.
- Registrar las teclas pulsadas, capturando contraseñas según se escriben.
La clave está en que todo esto puede ocurrir sin ninguna ventana visible, sin ningún proceso con nombre sospechoso a la vista. Muchos RATs están diseñados específicamente para funcionar en segundo plano de forma indefinida, no para hacer algo puntual y desaparecer.
Por qué se parece tanto a una herramienta de pentesting legítima
Aquí está la parte que más me interesa de este tema, y es donde conecta con lo que quiero hacer profesionalmente. Cuando un pentester obtiene acceso a un sistema durante una auditoría autorizada, lo habitual es desplegar un agente de post-explotación — herramientas como Meterpreter (parte de Metasploit) o los beacons de Cobalt Strike — que hacen, técnicamente, lo mismo que un RAT: dan control remoto interactivo sobre la máquina comprometida, permiten navegar el sistema de archivos, escalar privilegios, moverse a otros equipos de la red.
La diferencia entre un RAT malicioso y un agente de post-explotación de pentesting no es técnica, es de autorización y alcance:
| RAT malicioso | Herramienta de pentesting | |
|---|---|---|
| Consentimiento de la víctima | Ninguno | Contrato firmado (alcance definido) |
| Objetivo | Beneficio del atacante (robo, espionaje, extorsión) | Encontrar y reportar vulnerabilidades |
| Duración | Indefinida, sin control | Limitada al periodo de la auditoría |
| Qué pasa al terminar | Sigue ahí hasta que lo detectan | Se retira y se documenta todo lo hecho |
Entender esto pronto, según empiezas en el mundo del pentesting, evita un error de perspectiva habitual: pensar que “hacking ético” es una técnica distinta al malware. No lo es — es la misma técnica, con permiso y con un objetivo distinto.
RAT vs otros troyanos: no todos dan el mismo nivel de acceso
Es fácil mezclar un RAT con otro malware que también roba información, así que merece la pena marcar la diferencia. Un keylogger, por ejemplo, solo registra las teclas que pulsas — es un tipo de spyware centrado en un único objetivo (capturar contraseñas y texto escrito), sin control interactivo del equipo. Un RAT puede incluir esa misma función de keylogger como una capacidad más, pero va mucho más allá: no se limita a observar, actúa sobre el sistema en tiempo real. Es la diferencia entre alguien que lee tu correspondencia a escondidas y alguien que tiene una copia de las llaves de tu casa y puede entrar cuando quiera.
Cómo suele entrar un RAT en la práctica
La vía de entrada casi siempre depende de ingeniería social, no de una vulnerabilidad técnica sofisticada:
- Software pirata o “cracks” descargados de páginas no oficiales.
- Archivos adjuntos en correos que parecen legítimos (facturas, currículums, documentos).
- Herramientas gratuitas de dudosa procedencia que prometen algo demasiado bueno (generadores de contenido, cracks de videojuegos).
El patrón se repite siempre: el usuario ejecuta algo voluntariamente pensando que es inofensivo, y ese acto de ejecutar es lo que abre la puerta. Ningún RAT se instala solo sin que nadie haga clic en nada — necesita esa cooperación involuntaria de la víctima, que es precisamente lo que lo distingue de un worm.
Cómo se detecta (y por qué a veces no se detecta)
Los síntomas que delatan un RAT activo no siempre son evidentes, pero hay señales:
- El cursor se mueve sin que lo toques.
- La luz de la webcam se enciende sin que hayas abierto ningún programa que la use.
- El equipo tiene actividad de red constante incluso sin que estés usando nada.
- El administrador de tareas muestra procesos desconocidos con nombres genéricos, intentando camuflarse entre procesos legítimos del sistema.
Un antivirus actualizado detecta la mayoría de RATs conocidos por firma, pero los RATs hechos a medida o poco extendidos pueden pasar desapercibidos durante mucho tiempo, precisamente porque no hacen nada “ruidoso” que llame la atención.
Pon a prueba lo que has entendido
¿Cuál es la diferencia real entre un RAT malicioso y una herramienta de post-explotación de pentesting como Meterpreter?
Resumen rápido
Un RAT da a un atacante control remoto e interactivo completo sobre un equipo — ratón, teclado, pantalla, cámara, micrófono, sistema de archivos — normalmente instalado por la propia víctima al ejecutar algo que parecía legítimo. La técnica es esencialmente la misma que usan los pentesters de forma autorizada; lo que separa a ambos mundos es el consentimiento y el alcance, no la herramienta. Una vez que un atacante tiene ese nivel de acceso, uno de los siguientes pasos habituales es ocultar su presencia todo lo posible — que es exactamente de lo que trata rootkits y backdoors: por qué a veces la única solución es reinstalar el sistema entero.