Una peligrosa amenaza cibernética ha surgido bajo el disfraz de una falsa actualización de Windows 11. Este método de ataque está diseñado específicamente para infiltrarse en los sistemas, extraer información bancaria, credenciales de acceso y datos privados de los usuarios, logrando pasar desapercibido incluso frente a las herramientas de protección más robustas instaladas en el computador.
Mecánica del engaño y robo de datos
El engaño se origina en un portal web malicioso que calca meticulosamente la imagen y el diseño del soporte técnico oficial de Microsoft. En dicho sitio, los delincuentes promocionan una supuesta actualización acumulativa para la versión 24H2 de Windows 11, la cual viene acompañada de descripciones técnicas convincentes, como parches de seguridad para el kernel, optimizaciones generales del sistema y ajustes en el menú de inicio.
Estas especificaciones tienen como único fin persuadir a las víctimas de que se encuentran ante una descarga legítima y esencial para el mantenimiento de su equipo. Sin embargo, al presionar el botón azul de descarga, el usuario recibe un archivo ejecutable infectado. Este archivo, identificado como WindowsUpdate 1.0.0.msi y con un peso de 83 MB, ha sido manipulado para que en sus propiedades figure Microsoft como el autor, otorgándole una apariencia de autenticidad.
El malware fue desarrollado utilizando herramientas comunes en el entorno de programación de Windows, tales como WiX Toolset, e incluye un número de identificación de la base de conocimientos (KB) que aparenta ser válido. Una vez que el archivo es ejecutado, el software malicioso inicia una secuencia de acciones críticas que comprometen la privacidad del dispositivo. Lo primero que realiza es capturar la dirección IP pública y la geolocalización del equipo, lo que permite a los atacantes rastrear la ubicación de la víctima.
Una de las capacidades más alarmantes de este ataque es su facultad para extraer credenciales de inicio de sesión y datos de tarjetas de crédito almacenados en navegadores web. Además, el código tiene la capacidad de modificar aplicaciones basadas en Electron, como es el caso de Discord, para interceptar tokens de autenticación y registros de pago cada vez que el usuario abre la plataforma.
¿Por qué los antivirus no detectan la amenaza?
Un punto de alta preocupación para los especialistas en ciberseguridad es que, durante la investigación, ninguno de los 69 motores antivirus analizados pudo detectar la presencia de este malware. Este fenómeno no se atribuye a una falla directa de las herramientas de seguridad, sino a la arquitectura extremadamente sofisticada del código malicioso.
El archivo ejecutable principal se muestra como un componente limpio. La lógica dañina se oculta en realidad en código JavaScript empaquetado dentro de la aplicación Electron, un sector que los escaneos de antivirus tradicionales rara vez inspeccionan con la profundidad necesaria.
Aunado a esto, la carga útil escrita en Python se ejecuta bajo nombres de procesos que simulan ser normales y descarga componentes adicionales en tiempo real desde fuentes que parecen inofensivas. Este método fraccionado permite que cada pieza del ataque parezca segura por separado. Solo mediante un análisis en cadena —que evalúe desde el lanzador VBS hasta la exfiltración final de datos— se puede identificar la naturaleza real de la operación.
Para garantizar su permanencia en el sistema y evitar ser descubierto, el malware altera el registro de Windows, creando una entrada llamada SecurityHealth que apunta a su propio ejecutable como si fuera un servicio legítimo del sistema. Asimismo, genera un acceso directo falso bajo el nombre de Spotify.lnk en la carpeta de inicio, reforzando su camuflaje ante revisiones superficiales.
Recomendaciones de seguridad para usuarios de Windows 11
Para mitigar el riesgo de caer en este tipo de estafas que suplantan parches oficiales, la prevención es la herramienta más efectiva. Es fundamental seguir estas pautas:
- Evitar descargas externas: Nunca instale parches desde enlaces recibidos por correos electrónicos, redes sociales o mensajes directos.
- Verificar dominios: Asegúrese de que cualquier descarga provenga exclusivamente del dominio microsoft.com.
- Canales oficiales: Microsoft solo distribuye sus mejoras a través de la herramienta interna Windows Update o su catálogo oficial en línea.
- Acciones correctivas: Si sospecha de una infección, elimine entradas desconocidas en el registro y accesos directos sospechosos en la carpeta de inicio.
- Seguridad de cuentas: Es imperativo cambiar las contraseñas guardadas y activar la autenticación en dos pasos, especialmente en cuentas de correo y plataformas bancarias.
Es vital recordar que la falta de alertas por parte del antivirus no garantiza que un archivo sea seguro; la desconfianza ante fuentes externas sigue siendo el pilar de la ciberseguridad personal.
Fuente: Fuente