Resumen ejecutivo

Netryx RAT comenzó a adquirir visibilidad pública como una nueva amenaza de acceso remoto desarrollada en Rust que combina capacidades tradicionales de RAT con robo de información, HVNC, persistencia, ejecución remota y una integración experimental con modelos de lenguaje IA.

Según el registro de publicaciones analizado por iQBlack, el primer release observable corresponde a Netryx RAT v0.2.2, publicado el 4 de noviembre, que ya anunciaba extracción y descifrado de passwords, cookies y tarjetas de navegadores, soporte para Chrome App-Bound Encryption, keylogging, shell, clipper y hidden desktop.

Cuatro días después, se distribuía v0.3.5, con una arquitectura basada en panel de operador, agente y relay, soporte para relay Linux mediante Docker y nuevas capacidades para organizar, buscar y administrar clientes comprometidos.

El 9 de noviembre apareció además una primera referencia técnica pública independiente. Joe Security analizó un sample identificado como DeviceSync.exe y lo clasificó como NETRYX RAT, confirmando una implementación en Rust, funcionalidad de backdoor, mecanismos de persistencia y código asociado con un workflow LLM. El análisis asignó al sample una clasificación de backdoor y un score de 94/100.

Ese mismo día se obtuvo código fuente atribuido a Netryx v0.3.8, distribuido en varias partes y acompañado por documentación del agente y un registro de cambios, que amplía sustancialmente la visibilidad sobre la arquitectura interna del proyecto.

De stealer a plataforma de acceso remoto

La cronología del proyecto muestra una expansión rápida. Netryx v0.3.1 incorporó un builder de payloads, persistencia mediante diferentes mecanismos de Windows, ejecución de scripts Python y Lua y mejoras en HVNC y transferencia de archivos. El propio desarrollador reconocía además múltiples fallos funcionales y publicaba correcciones a medida que eran reportados por usuarios.

Con v0.3.3, publicada el 6 de noviembre dentro de la secuencia observada en Telegram, la propuesta amplió sustancialmente el componente de robo de información. Sus responsables afirmaron haber llevado el stealer hasta 53 clases de objetivos, incluyendo clientes FTP, herramientas de desarrollo, aplicaciones de acceso remoto, servicios de correo, plataformas de gaming, mensajería, VPN, gestores de contraseñas y wallets de criptomonedas.

La misma versión incorporó además generación de payloads en formatos .bat, .ps1, .vbs y .hta, controles de energía y gestión del agente, así como nuevas funciones del panel. El código posteriormente difundido refuerza esa caracterización. El README del agente describe una aplicación Windows sin interfaz visible con módulos dedicados a HVNC, keylogging, captura de pantalla, administración y descarga de archivos, robo de credenciales, webcam, persistencia, control de procesos y reverse proxy.

Su superficie de comandos incluye además shell interactiva, administración de procesos, inyección, HVNC, captura de webcam y operaciones sobre archivos y persistencia. Todo indica que Netryx intenta reunir recolección de información, persistencia, control remoto, administración de víctimas y ejecución interactiva dentro de una misma plataforma.

Un desarrollo acelerado, inestable y ahora reactivo

La velocidad de evolución también aporta información sobre la madurez de la amenaza. Entre el 4 y el 8 de noviembre se observaron sucesivamente versiones v0.2.2, v0.3.0 “Initial public release (Skidrat rebrand)”, v0.3.1, v0.3.2, v0.3.3 y v0.3.5, acompañadas por correcciones frecuentes sobre relay, builder, HVNC, panel y administración de agentes. Los propios mensajes reconocen componentes que no funcionaban correctamente, resultados que no eran almacenados, errores de conexión y funcionalidades inicialmente anunciadas pero posteriormente corregidas.

Al mismo tiempo, el proyecto promueve una dinámica de desarrollo abierta a su comunidad: existe un bot para reportar bugs y sugerencias, tutoriales de instalación y sucesivos paquetes de código fuente. La nueva entrega atribuida a v0.3.8 agrega otra dimensión a este proceso.

Su UPDATE_LOG.md documenta versiones v0.3.4 a v0.3.8 publicadas el 9 de noviembre y describe la incorporación o restauración de módulos relacionados con elevación de privilegios, persistencia, edición del registro, anti-analysis y técnicas orientadas a interferir con soluciones EDR/AV.

Particularmente relevante es v0.3.7 que denomina explícitamente una parte de los cambios como “Joe Sandbox hardening”. El desarrollador afirma haber aplicado información obtenida del análisis de DeviceSync.exe para modificar el nombre de instalación, el transporte de red, la ofuscación de cadenas, el comportamiento frente a sandboxes y debuggers y la variabilidad entre builds.

La integración LLM ya existe en código

La característica que probablemente diferencie más a Netryx dentro de su etapa inicial es la incorporación de un asistente basado en modelos de lenguaje.

Joe Security identificó dentro de DeviceSync.exe un workflow que permite al operador proporcionar un prompt, utilizar una API key, seleccionar un modelo y construir una solicitud destinada a un servicio LLM. El análisis recuperó además un modelo predeterminado y estructuras necesarias para enviar la petición y devolver el contenido de la respuesta al canal de resultados del RAT. Esto aporta evidencia independiente de que la capa LLM no existe solamente como referencia promocional dentro del ecosistema del proyecto.

Joe Security no observó consultas LLM ejecutadas exitosamente ni encontró evidencia de que las respuestas generadas sean enviadas automáticamente hacia el mecanismo de ejecución de comandos. También identificó una posible deficiencia en el procesamiento de respuestas HTTP que podría afectar el funcionamiento de la implementación actual.

Por ahora, por tanto, Netryx no debería describirse como un RAT que permite a una IA controlar autónomamente sistemas comprometidos. Aunque la evidencia disponible sostiene algo más preciso: existe una integración LLM compilada y accesible al operador, pero su uso operacional completo continúa en desarrollo o, al menos, no ha sido demostrado públicamente.

Cierre analítico

Netryx RAT todavía se encuentra en una etapa temprana y presenta signos claros de desarrollo incompleto. En pocos días, el proyecto ha avanzado públicamente desde funciones principalmente asociadas con robo de información hacia una arquitectura que incorpora persistencia, HVNC, ejecución de scripts, administración remota, un stealer considerablemente ampliado, mecanismos de evasión y una capa experimental basada en LLM.

Netryx no solamente está aumentando su superficie funcional, sino que sus desarrolladores parecen estar adaptando el proyecto a medida que errores y características son identificados tanto por usuarios como por herramientas de análisis de malware.

Netryx todavía tiene más preguntas que respuestas sobre adopción, distribución, víctimas y efectividad operacional. Pero su evolución ya ofrece una señal relevante: lo que comenzó alrededor de capacidades de robo de información está intentando convertirse rápidamente en una plataforma de acceso remoto más amplia, mientras sus desarrolladores incorporan nuevas funciones, experimentan con inteligencia artificial y reaccionan a la inteligencia defensiva producida sobre el propio malware.