El 14 de julio de 2026, los investigadores de Blackpoint Cyber revelaron LabubaRAT, un troyano de acceso remoto escrito en Rust que se disfraza del toolkit de runtime de contenedores de NVIDIA. El nombre viene de un favicon con temática Labubu — uno de esos juguetes de diseñador coleccionables con su propia legión de seguidores y teorías conspirativas. La yuxtaposición es deliberada y tiene un humor oscuro: una mascota adorable encubriendo un framework de intrusión modular.
Pero quita el branding y lo que queda es ingeniería genuinamente sólida. Esto no es un juguete de script kiddie. Es una implementación de referencia de cómo se ve el malware moderno cuando lo construyen profesionales, para profesionales, y lo venden como servicio.
1. Un Rolls-Royce entre los RAT
La elegancia de LabubaRAT está en su flexibilidad operativa. Escrito en Rust, hereda seguridad de memoria y rendimiento sin las pausas del garbage collection. Pero la verdadera victoria de diseño es la configuración dinámica en tiempo de ejecución: el binario acepta la dirección del servidor C2, el intervalo de polling y otros parámetros como argumentos de línea de comandos en el lanzamiento — opcionalmente empaquetados en una sola cadena Base64. Sin recompilación. Sin infraestructura hard-coded. El mismo ejecutable compilado puede redistribuirse en distintas campañas, objetivos y grupos de operadores simplemente cambiando los argumentos de lanzamiento. La configuración se persiste luego en una base de datos SQLite local.
Antes de ejecutar cualquier comando del operador, el RAT perfila el host. Inventario de navegadores instalados y — de forma crítica — comprueba la presencia de 16 productos de seguridad concretos: Defender, CrowdStrike, SentinelOne, Carbon Black, Sophos, Malwarebytes, Bitdefender, ESET, Kaspersky, McAfee, Symantec, Trend Micro, entre otros. También recoge hostname, RAM, modelo de CPU y estado del UAC. Esto no es reconocimiento por curiosidad; es selección de payload consciente del entorno. El RAT adapta su comportamiento de siguiente fase en función de las defensas presentes.
La comunicación es multicanal: HTTPS, WebView2 y túnel DNS. Si una vía se quema, las otras mantienen vivo el foothold. El malware también soporta ejecución de comandos, PowerShell, JavaScript, captura de pantalla, subida y descarga de archivos, manejo de archivos comprimidos y proxy SOCKS5. Eso es un toolkit completo de operador, no un loader estrecho.
2. El Malware-as-a-Service ya es un modelo de negocio maduro
El branding "LabubaPanel" en la infraestructura C2 es la pista de nombre más clara, pero el detalle más revelador es la estructura tipo framework. Este RAT está construido para ser enrolado, configurado y operado en múltiples despliegues. Así no se comporta la herramienta privada de un actor individual — así se comporta un producto.
Los indicadores apuntan a una operación de Malware-as-a-Service (MaaS). El cibercrimen se ha industrializado. Los proveedores de MaaS funcionan ya como proveedores legítimos de SaaS: suscripciones por niveles, soporte al cliente, add-ons modulares, expectativas de uptime y sistemas de reputación en foros de la dark web. El desarrollador del malware ya no es el atacante — es el vendor. Los atacantes son los afiliados y clientes que compran acceso.
Esto importa a los defensores porque cambia el cálculo de la amenaza. Ya no estás haciendo reverse engineering de la herramienta bespoke de un actor. Estás defendiéndote de una cadena de suministro en la que el mismo framework mantenido profesionalmente puede estar apuntando a tu red por parte de docenas de operadores distintos, cada uno con objetivos diferentes y distintos niveles de disciplina operativa.
• Control de rutas de ejecución: el RAT necesita dropear y ejecutar
nvidia-sysruntime.exe. Aplica políticas WDAC o AppLocker que bloqueen el lanzamiento de ejecutables desde directorios escribibles por el usuario, como Temp y AppData. Si el binario no puede ejecutarse desde su ubicación de dropeo, los argumentos de línea de comandos se vuelven irrelevantes.• Allowlisting estricto de egress: no persigas el túnel DNS con inspección costosa de NGFW. Más simple y más efectivo: default-deny en el tráfico de salida. Los servidores y puestos de trabajo solo deben alcanzar destinos explícitamente aprobados. Si el RAT intenta comunicarse con un dominio desconocido por cualquier protocolo — HTTPS, WebView2 o DNS — el perímetro lo descarta.
• Alertas de suplantación de vendor: ajusta tu EDR para marcar binarios que dicen ser NVIDIA en sus metadatos pero carecen de una firma digital válida y encadenada de NVIDIA Corporation, o que se ejecutan fuera de la ruta estándar
C:\Program Files\NVIDIA Corporation\. El masquerading es el truco central del RAT; haz que suplantar identidad sea caro.
4. Especulación: interrumpe el negocio, no solo el binario
Intentar desmantelar el MaaS mediante disrupción financiera es un callejón sin salida. Ya lo sabes. Las vías de pago en criptomonedas son resilientes — mixers, chain-hopping y privacy coins las usan no solo los criminales, sino también estados sancionados para evadir controles financieros occidentales. Los criminales usan exactamente el mismo playbook. Atacar el dinero no funciona a la escala que los defensores necesitan.
Así que ataca lo que realmente sostiene a un negocio: la confianza del cliente y la fiabilidad del producto.
Considera despliegues coordinados de honeypots que se infecten intencionalmente con LabubaRAT y luego devuelvan telemetría basura, capturas de pantalla falsas y tráfico dummy en bucle al panel C2 del operador. Esto desperdicia el tiempo del atacante, consume los recursos de su servidor y corrompe la "calidad de producto" que el vendor de MaaS vende a sus afiliados. Si los compradores no pueden confiar en los datos del panel, dejan de pagar.
O considera infiltrar los propios programas de afiliados. Las firmas de seguridad tienen la capacidad de identificar y exponer a los clientes — los script kiddies y brokers de acceso inicial — en lugar de limitarse a bloquear el payload. Los ecosistemas MaaS sobreviven gracias a la reputación en la dark web. Destruye la reputación del vendor y el modelo de negocio colapsa sin una sola orden de derribo.
Si el Malware-as-a-Service opera como un negocio, los defensores necesitan tratarlo como tal. Bloquear payloads es prevención de pérdidas — necesario, pero no decisivo. La palanca estratégica está en interrumpir la relación con el cliente y la reputación del vendor. Así es como realmente se daña un modelo de negocio.