TRIPAUL3: Anatomía de un RAT modular para Windows que oculta su configuración y seis plugins cifrados en el overlay Resumen TRIPAUL3 es un RAT modular para Windows x64, escrito en C++ y compilado con MSVC, que se presenta a sí mismo como versión 3.0 ( "kind":"v3" ). A primera vista el binario parece un bot más: un núcleo pequeño que habla JSON por HTTP con su C2. La parte interesante está fuera de las secciones del PE: 1,5 MB de overlay con entropía 8,0 que contiene, cifrados con AES-256-GCM, la configuración completa y seis plugins DLL: keylogger, VNC, HVNC (escritorio oculto con navegador), stealer de credenciales y wallets, gestor de ficheros y shell/sysinfo. El diseño criptográfico es correcto en lo formal (AES-GCM, HMAC-SHA256 en modo encrypt-then-MAC para los plugins), pero tiene un fallo de base: la clave AES viaja en claro en la propia cabecera del overlay y es, además, la misma clave que protege los plugins. Esto permite extraer de forma estáti...
