La unidad de inteligencia de amenazas de Microsoft (Microsoft Threat Intelligence) ha detectado una campaña activa de descargas falsas que se dirige a usuarios que buscan versiones crackeadas de software comercial, juegos gratuitos, herramientas de activación, plugins de software y utilidades no oficiales. La campaña se basa en el uso de instaladores comprometidos inspirados en la herramienta Inno Setup para distribuir múltiples cargas útiles de software personalizadas para generar ganancias durante una única sesión de instalación.
Mecanismo de ataque y sistema de ejecución
La campaña avanza a través de una cadena de ataque compuesta por cuatro fases principales que comienzan con el aprovechamiento de señuelos de descarga falsos. El usuario ejecuta archivos de instalación engañosos para diversos juegos y programas, lo que da lugar a la creación de instaladores temporales dentro de las rutas temporales del sistema y la llamada a fases de ejecución digital secuenciales.
Tras la fase de configuración, el instalador temporal se comunica con una infraestructura rotativa de callbacks, utilizando un patrón de consulta fijo que contiene indicadores específicos de la campaña. Estos procesos permiten seleccionar y coordinar con precisión las cargas útiles posteriores dentro de la sesión de instalación.
Rutas de explotación y generación de ganancias
La investigación técnica confirmó la existencia de tres ramas principales para generar ganancias tras completar la instalación, las cuales convierten los dispositivos afectados en activos físicos para los atacantes:
- Explotación de redes proxy (WorldProxyPool): Redirección del tráfico de Internet de terceros a través del dispositivo objetivo, creando tareas programadas con privilegios de sistema para garantizar la continuidad del proxy y las herramientas de actualización.
- Explotación de recursos informáticos (CharityEngine y BOINC): Instalación de software de computación distribuida para explotar la capacidad de los procesadores del dispositivo y las tarjetas gráficas en operaciones de cálculo sin el conocimiento del propietario.
- Software publicitario intrusivo (AdvancedWindowsManager): Instalación de software de servicios y publicidad no deseada dentro de las rutas de los archivos del sistema y las aplicaciones del usuario.
¿Qué cambia en la práctica para los usuarios y las organizaciones?
Esta campaña impone graves riesgos de seguridad y privacidad debido a su dependencia de la instalación silenciosa de software a través de paquetes engañosos. Incluso si una de las ofertas falla durante la sesión de instalación, otras ofertas pueden tener éxito de forma independiente. Para las organizaciones y los usuarios, hacer frente a esta amenaza requiere evitar por completo las fuentes de software no confiables, activar herramientas de protección avanzadas en los sistemas operativos y supervisar los procesos inusuales y las nuevas tareas programadas.
Medidas de prevención y detección
Microsoft recomienda tomar medidas preventivas estrictas que incluyan la activación de la protección en la nube y la protección de reputación en los programas antivirus, así como la auditoría regular del inventario de software para buscar cualquier aplicación no deseada, como herramientas proxy o software de computación distribuida. Además, la empresa ha proporcionado consultas avanzadas de búsqueda de amenazas y reglas para monitorear comunicaciones sospechosas relacionadas con los dominios de la campaña y sus infraestructuras.