Microsoft alerta de una campaña activa que suplanta páginas de software conocido para infectar equipos Windows, desactivar actualizaciones y debilitar sus principales defensas de seguridad.
Descargar un programa desde una página que aparentemente pertenece a una empresa conocida puede terminar dejando un ordenador sin actualizaciones de Windows y con Microsoft Defender parcialmente neutralizado.
Microsoft ha alertado de una campaña activa de malware que utiliza páginas falsas de descarga de software para distribuir instaladores manipulados. Los atacantes reproducen la apariencia de proveedores legítimos y buscan que sea el propio usuario quien descargue y ejecute el archivo malicioso.
La campaña ha afectado principalmente a usuarios de habla china y operaciones en China de compañías multinacionales, con víctimas observadas en sectores como tecnología, sanidad, fabricación, videojuegos, logística, educación y organismos públicos.
Microsoft atribuye la actividad con confianza moderada a un grupo de amenazas conocido como Silver Fox o Yinhu, vinculado anteriormente a la distribución de troyanos de acceso remoto como Gh0st RAT y ValleyRAT.
El ataque comienza con una web que parece legítima
La ingeniería social es fundamental en esta campaña.
Los delincuentes crean páginas que imitan servicios y fabricantes conocidos. El objetivo es aparecer ante personas que buscan descargar determinados programas y convencerlas de que se encuentran ante el sitio oficial.
Entre las marcas y aplicaciones imitadas aparecen servicios relacionados con Microsoft Edge, Baidu, Calibre, draw.io, Kaspersky, Razer, SteelSeries, DiskGenius y Youdao, entre otros.
Las páginas presentan botones de descarga muy visibles y distribuyen archivos ZIP que contienen los instaladores manipulados.
Microsoft detectó además un detalle diseñado para dificultar el análisis: el archivo puede conservar el mismo nombre mientras cambia su hash en sucesivas descargas. Esto apunta a una generación dinámica del contenido desde el servidor.
El malware intenta desactivar Windows Update
Una vez ejecutado el falso instalador, comienza una cadena destinada no solamente a infectar Windows, sino también a debilitar los mecanismos que podrían reparar o detectar posteriormente la intrusión.
Una de las acciones más relevantes consiste en interferir directamente con Windows Update.
El malware detiene y deshabilita servicios relacionados con las actualizaciones del sistema, entre ellos wuauserv, UsoSvc, uhssvc y WaaSMedicSvc.
También puede modificar componentes asociados a las actualizaciones y eliminar la caché de SoftwareDistribution.
El resultado es especialmente peligroso porque un ordenador infectado puede quedar privado de futuras correcciones de seguridad mientras el atacante intenta mantener su presencia.
También debilita Microsoft Defender
El segundo objetivo es la protección antivirus.
La campaña utiliza tareas programadas ejecutadas con privilegios elevados para introducir exclusiones en Microsoft Defender mediante PowerShell.
De esta manera, determinados directorios utilizados por el malware pueden quedar fuera de algunos controles de seguridad.
Los atacantes también modifican permisos mediante herramientas legítimas de Windows para dificultar que un usuario convencional pueda eliminar los directorios donde se encuentran las cargas maliciosas.
La técnica refleja una tendencia creciente en ciberseguridad: utilizar componentes legítimos del propio sistema operativo para ejecutar acciones maliciosas, dificultando la diferenciación entre actividad administrativa normal y comportamiento hostil.
Elimina copias de seguridad y busca permanecer en el equipo
El malware intenta además borrar las copias de instantáneas de volumen de Windows.
Estas copias pueden resultar útiles para recuperar información después de determinados incidentes, por lo que su eliminación reduce las posibilidades de restauración.
La persistencia se establece mediante tareas programadas que intentan parecer procesos habituales de informática o productividad.
Una vez preparada la máquina, el malware establece comunicación con servidores de comando y control (C2) mediante diferentes puertos no convencionales.
Eso permite que la infraestructura de los atacantes mantenga comunicación con los sistemas comprometidos.
Microsoft logró detectar y contener parte de la campaña
Por ahora no está completamente determinado cuál era el objetivo final de todas las infecciones.
Microsoft asegura que Defender detectó la actividad y activó mecanismos automáticos de interrupción del ataque para contener su propagación y limitar las consecuencias.
El nivel de acceso conseguido, sin embargo, abre numerosas posibilidades: espionaje, robo de credenciales, instalación de nuevas cargas maliciosas o utilización posterior de los equipos comprometidos.
La atribución a Silver Fox tampoco es definitiva. Microsoft habla de confianza moderada, un matiz importante en investigaciones de ciberseguridad donde diferentes grupos pueden compartir herramientas, infraestructura y técnicas.
ValleyRAT puede registrar teclas y robar el portapapeles
La alerta coincide con otra investigación de Kaspersky sobre una campaña relacionada con ValleyRAT.
En ese caso, los atacantes utilizaron una versión modificada de una herramienta china para gestionar fondos de pantalla denominada QN Wallpaper.
La aplicación legítima funciona como adware, pero la versión manipulada habría sido utilizada para ejecutar una técnica de carga lateral de DLL, mediante la cual código malicioso puede funcionar bajo la apariencia de un proceso firmado.
Una vez instalado, ValleyRAT dispone de numerosas capacidades.
Puede capturar pulsaciones del teclado, recopilar el contenido del portapapeles, realizar capturas de pantalla, descargar módulos adicionales, borrar registros y modificar sus servidores de comando y control.
También puede buscar herramientas utilizadas por investigadores y administradores para analizar procesos o tráfico de red.
Una descarga equivocada puede inutilizar varias capas de seguridad
El elemento más preocupante de la campaña es que el ataque no depende necesariamente de una vulnerabilidad desconocida de Windows.
Los delincuentes explotan primero algo considerablemente más sencillo: la confianza del usuario.
La víctima busca un programa, encuentra una página aparentemente auténtica, descarga el instalador y lo ejecuta voluntariamente. A partir de ese momento, el malware intenta conseguir persistencia y sabotear progresivamente las defensas.
Es precisamente por ello que descargar aplicaciones desde buscadores o enlaces desconocidos puede convertirse en un riesgo incluso cuando la página tiene un diseño prácticamente idéntico al original.
Para reducir la exposición conviene descargar programas únicamente desde las páginas oficiales de sus desarrolladores, comprobar cuidadosamente el dominio antes de ejecutar un instalador y mantener activadas las actualizaciones y protecciones de Windows.
Si Windows Update o Microsoft Defender aparecen desactivados inesperadamente, especialmente después de instalar un programa descargado de Internet, el comportamiento debe considerarse una señal de alerta que merece una revisión de seguridad inmediata.
La campaña demuestra que el malware moderno ya no intenta únicamente entrar en un ordenador. Primero consigue que el usuario le abra la puerta y después trata de inutilizar las herramientas destinadas a expulsarlo.
Chollones
Chollones
Chollones