Microsoft ha destapado una campaña de falsos instaladores que camufla malware bajo nombres de videojuegos, cracks y utilidades populares para colarse en equipos con Windows. Bajo una sola descarga, el sistema reparte varias ofertas de software que convierten el ancho de banda y la capacidad de cómputo de la víctima en ingresos, sin consentimiento informado.
La investigación de Microsoft, publicada el 3 de noviembre, confirma tres ramas activas: el proxyware WorldProxyPool, la computación distribuida de CharityEngine y BOINC, y las utilidades de Advanced Windows Manager. Son programas con usos legítimos en otros contextos, pero aquí llegan sin que el usuario los autorice.
¿Qué señuelos usan los atacantes para camuflar el malware?
El reclamo apunta a quien busca un atajo para no pagar: cracks de software comercial, plugins de audio, descargas de videojuegos, ejecutores de Roblox, autoclickers y herramientas para desbloquear terminales móviles. La campaña se dirige precisamente a este tipo de búsquedas, las que llevan a sitios de descarga no oficiales en busca de contenido gratuito que normalmente exige pago o licencia.
- Echo Client
- FabFilter Total Bundle
- Navicat Premium crack
- Deadpool Apunka Games
- Command & Conquer: Red Alert 2
- TFT Unlock Tool
El listado de señuelos detectados mezcla juegos clásicos, como el propio Command & Conquer: Red Alert 2, con utilidades profesionales de audio como FabFilter Total Bundle o herramientas de gestión de bases de datos como Navicat Premium. Esa variedad muestra que el reclamo no se limita a un tipo concreto de software: cualquier programa con demanda sirve de gancho si consigue que alguien ejecute el instalador. Microsoft no ha detallado más patrones entre las víctimas, más allá del tipo de búsqueda que las lleva hasta el instalador.
Así se ejecuta el malware nada más abrir el instalador
Todo arranca con un envoltorio al estilo Inno Setup que crea un ejecutable temporal dentro de %TEMP%is-*.tmp. Desde ahí se lanzan archivos numerados, como eld0.exe, eld3.exe o eld4.exe, identificados por los argumentos /SL5, /SPAWNWND y /FIRSTWND. El número de etapas varía de una sesión a otra: una instalación de Echo Client llegó a desencadenar varias ramas de monetización a partir de una sola descarga.
Esos ejecutables temporales contactan con dominios que rotan constantemente mediante peticiones HTTP con los parámetros d=inno y r=offer_execution, junto con valores de sesión, afiliado y oferta que coordinan la entrega y registran el resultado. Si la instalación falla, el parámetro cambia a r=offer_execution_fail, a veces junto con avisos del antivirus. Cada oferta funciona de forma independiente: bloquear una no frena necesariamente las siguientes, y algunos payloads hijo se ejecutan antes o en paralelo a estas llamadas, por lo que la detección por comportamiento resulta más eficaz que bloquear dominios concretos.
Tres ramas con un mismo objetivo: proxyware, cómputo distribuido y utilidades
Cada rama deja un rastro distinto en el sistema, aunque todas recurren a interruptores de instalación silenciosa como /qn, /S, /quiet y /norestart para que no veas ninguna ventana durante el proceso.
WorldProxyPool convierte tu equipo en un nodo proxy: instala sus componentes en C:Program FilesWorldProxyPool y crea tres tareas programadas con privilegios de SYSTEM: un agente que arranca con Windows, un vigilante de acceso basado en PowerShell oculto que corre cada cinco minutos y un actualizador horario. El propio instalador pone en marcha el agente de inmediato.
La rama de CharityEngine y BOINC instala boinc.exe, charityengine.exe, varios envoltorios de cómputo y VirtualBox. Microsoft no ha confirmado minado de criptomonedas en esta rama, aunque sí deja constancia de que el equipo pasa a formar parte de una red de cómputo distribuido sin que el usuario lo haya decidido.
La tercera rama despliega AdvancedWindowsManager.exe y Windows Updater.exe mediante un paquete MSI llamado Windows Manager, identificado en los inventarios de software como AW Manager.
¿Cómo saber si tu Windows está afectado y qué hacer ahora?
Para comprobarlo, revisa el listado de programas instalados en busca de WorldProxyPool, CharityEngine, BOINC, VirtualBox o AW Manager. Si alguno aparece sin que tú lo hayas instalado, es la primera señal de alarma, sobre todo si el equipo ejecutó hace poco un instalador de cracks, juegos pirateados o utilidades no oficiales, aunque el sistema no muestre aviso visible durante el proceso.
El siguiente paso es abrir el Programador de tareas de Windows y revisar las entradas ligadas a estos componentes; para WorldProxyPool, las tres tareas que crea se ejecutan con privilegios de SYSTEM. Conviene comprobar también si existe la carpeta C:Program FilesWorldProxyPool y si algún proceso desconocido mantiene conexiones de red activas.
Microsoft recomienda activar la protección contra aplicaciones potencialmente no deseadas en Defender, que bloquea estos archivos y los pone en cuarentena. Para empresas, detalla su despliegue mediante Intune, Group Policy o PowerShell, junto con la monitorización en tiempo real frente a los dominios rotatorios de la campaña.
Los pasos para activar la protección contra aplicaciones potencialmente no deseadas en Defender son los siguientes:
- Inicio.
- Configuración.
- Privacidad y seguridad.
- Seguridad de Windows.
- Configuración de protección basada en reputación.
- Bloqueo de aplicaciones potencialmente no deseadas.
