El navegador ocupa toda la pantalla, suena la alarma, y hay un número de teléfono
En tu ordenador no hay nada bloqueado. Es lo primero que conviene saber, porque el propósito entero de la pantalla que tienes delante es convencerte de lo contrario: un aviso de Microsoft Defender a pantalla completa, sin barra de direcciones, sin cursor, la tecla Esc sin efecto, una sirena sonando y el navegador ralentizado a propósito.
Netskope Threat Labs ha publicado el desmontaje del kit que lo produce, y lo que sorprende es la escala. Lo alimentan más de 250 identificadores de campañas de Google Ads. Los anuncios salieron en al menos 284 sitios editoriales legítimos de mapas, meteorología, inmobiliaria y deporte, y la operación se repartió entre 457 servidores fraudulentos distintos. Entre el 31 de agosto y el 14 de septiembre los investigadores vieron hacer clic a personas de 619 organizaciones. Alrededor del 62 por ciento estaban en Estados Unidos, luego Japón con el 16 por ciento y Australia con el 14.
Haces clic en uno de los anuncios y aparece una rueda de carga, y después una tienda online de lo más anodina llamada ShopEase. A partir de ahí no ocurre nada hasta que la página detecta un movimiento de tu ratón, porque un escáner automático jamás mueve un ratón. Ese único movimiento lo dispara todo: la página descifra una dirección oculta, descarga una carga preparada para el sistema que estés usando y monta el aviso falso en memoria. Quien llega desde Windows recibe un Defender falsificado. Quien llega desde Mac, una falsificación de Apple.
Para salir, mantén pulsada la tecla Esc unos segundos para abandonar la pantalla completa, luego abre el Administrador de tareas con Ctrl+Mayús+Esc y cierra el navegador. Al reabrirlo, rechaza la oferta de restaurar la sesión anterior. El daño real solo empieza si llamas al número, porque quien responde quiere instalar una herramienta de acceso remoto y se quedará al teléfono hasta que se lo permitas. Si eso ya ha pasado, la comprobación de seguridad de Tendvane repasa lo que está instalado y en ejecución y señala el software de control remoto que tú no elegiste poner ahí.