Delincuentes se esconden dentro de una aplicación real y firmada que tu antivirus no cuestionará
La mayoría del malware intenta colarse sin que lo detecte tu antivirus. Una campaña que Malwarebytes detalló el 11 de agosto hace algo más inteligente: instala un programa que no es malware en absoluto. Las páginas de descarga imitan nombres en los que confiarías (CNN, el fabricante de antivirus Avast, la aplicación multimedia Stremio), y el archivo que te entregan es O&O Syspectr, una herramienta de administración remota genuina y firmada digitalmente que usan los equipos de TI para gestionar ordenadores a distancia. Al ser software legítimo y firmado, el antivirus la deja pasar sin más.
El problema es quién controla el otro extremo. Los atacantes registran de antemano sus propias cuentas de Syspectr, así que en cuanto su copia aterriza en tu PC, se vincula en silencio a una consola que ellos controlan, dándoles acceso de escritorio remoto y una línea de comandos con permisos de administrador en tu máquina. A partir de ahí pueden leer tus archivos, instalar más software y observar lo que escribes. Los investigadores llevan todo el año siguiendo este truco: una campaña independiente llamada SeasonalInvite, activa desde enero, abusó de cuatro herramientas de este tipo (ConnectWise ScreenConnect, LogMeIn Resolve, Kaseya y O&O Syspectr) de la misma manera, precisamente porque un instalador firmado válidamente pasa de largo por los controles que detectan los virus corrientes.
La defensa no ha cambiado, y es un hábito que merece la pena mantener: consigue el software desde la propia web del fabricante, no desde un resultado de búsqueda, un anuncio o un enlace que te envió alguien. Si nunca fuiste en busca de una herramienta de administración remota, no tienes ningún motivo para instalar una, y si un programa como Syspectr aparece de repente en tu PC, elimínalo y cambia tus contraseñas desde una máquina en la que confíes.
Este es exactamente el punto ciego para el que está pensado Tendvane. Su comprobación de seguridad señala los programas que se han instalado en silencio o que se han configurado para iniciarse con el equipo, incluidas herramientas legítimas pero inesperadas como esta, y sus actualizaciones de aplicaciones llegan a través del propio gestor de paquetes de Windows (winget) en lugar de las páginas de descarga falsas en las que se apoya la estafa.