El instalador de Zoom le pidió la contraseña. El de verdad nunca lo hace.

Aparece un archivo llamado Zoom. Está a punto de entrar en una reunión, así que lo abre, sigue los pasos y, a mitad de camino, surge una ventana que le pide la contraseña para autorizar la operación. Usted la escribe. Ese es el ataque completo.

Jamf Threat Labs publicó los detalles el 30 de septiembre. El programa malicioso se llama CloudSyncD, va a por los Mac, y la primera muestra apareció el 15 de septiembre con aspecto de estar a medio hacer; dos días después, quienes están detrás ya habían saltado a servidores activos. La contraseña que usted escribe se comprueba contra su cuenta real y luego se entierra en un archivo de configuración falso de Zoom, con 48 caracteres Unicode invisibles que marcan dónde está. El instalador la usa para lanzar una puerta trasera con permisos de administrador. Esa puerta trasera llama después a su servidor cada 8 a 16 segundos y espera instrucciones.

Lo que hace que esto merezca leerse en un sitio dedicado a Windows es el cebo, no el código. Instala Zoom para entrar en la llamada es un clásico de los falsos reclutadores y los falsos clientes, y la versión para Windows es la misma noche con otro nombre de archivo. En las últimas semanas hemos contado lo de un instalador falso de Spotify y lo de una aplicación de nóminas que nunca existió. La conclusión de Jamf es tajante: con toda la ingeniería que tiene, el ataque sigue descansando en la técnica más vieja que existe, convencer a alguien de que entregue su contraseña.

Trate una petición inesperada de contraseña durante una descarga como el momento de parar. Los instaladores de Zoom, de Teams o de lo que sea vienen de la web de la propia empresa, y si el enlace se lo mandó un desconocido, la reunión puede esperar diez minutos. Si no sabe qué ha dejado atrás una descarga reciente, la comprobación de seguridad de Tendvane para software no deseado le mostrará qué ha quedado programado para ejecutarse en su PC.