Microsoft ha destapado una campaña de falsos instaladores que camufla malware bajo nombres de videojuegos, cracks y utilidades populares para colarse en equipos con Windows. Bajo una sola descarga, el sistema reparte varias ofertas de software que convierten el ancho de banda y la capacidad de cómputo de la víctima en ingresos, sin consentimiento informado.
La investigación de Microsoft, publicada el 3 de noviembre, confirma tres ramas activas: el proxyware WorldProxyPool, la computación distribuida de CharityEngine y BOINC, y las utilidades de Advanced Windows Manager. Son programas con usos legítimos en otros contextos, pero aquí llegan sin que el usuario los autorice.
¿Qué señuelos usan los atacantes para camuflar el malware?
El reclamo apunta a quien busca un atajo para no pagar: cracks de software comercial, plugins de audio, descargas de videojuegos, ejecutores de Roblox, autoclickers y herramientas para desbloquear terminales móviles. La campaña se dirige precisamente a este tipo de búsquedas, las que llevan a sitios de descarga no oficiales en busca de contenido gratuito que normalmente exige pago o licencia.
- Echo Client
- FabFilter Total Bundle
- Navicat Premium crack
- Deadpool Apunka Games
- Command & Conquer: Red Alert 2
- TFT Unlock Tool
El listado de señuelos detectados mezcla juegos clásicos, como el propio Command & Conquer: Red Alert 2, con utilidades profesionales de audio como FabFilter Total Bundle o herramientas de gestión de bases de datos como Navicat Premium. Esa variedad muestra que el reclamo no se limita a un tipo concreto de software: cualquier programa con demanda sirve de gancho si consigue que alguien ejecute el instalador. Microsoft no ha detallado más patrones entre las víctimas, más allá del tipo de búsqueda que las lleva hasta el instalador.
Así se ejecuta el malware nada más abrir el instalador
Todo arranca con un envoltorio al estilo Inno Setup que crea un ejecutable temporal dentro de %TEMP%is-*.tmp. Desde ahí se lanzan archivos numerados, como eld0.exe, eld3.exe o eld4.exe, identificados por los argumentos /SL5, /SPAWNWND y /FIRSTWND. El número de etapas varía de una sesión a otra: una instalación de Echo Client llegó a desencadenar varias ramas de monetización a partir de una sola descarga.
Esos ejecutables temporales contactan con dominios que rotan constantemente mediante peticiones HTTP con los parámetros d=inno y r=offer_execution, junto con valores de sesión, afiliado y oferta que coordinan la entrega y registran el resultado. Si la instalación falla, el parámetro cambia a r=offer_execution_fail, a veces junto con avisos del antivirus. Cada oferta funciona de forma independiente: bloquear una no frena necesariamente las siguientes, y algunos payloads hijo se ejecutan antes o en paralelo a estas llamadas, por lo que la detección por comportamiento resulta más eficaz que bloquear dominios concretos.
Tres ramas con un mismo objetivo: proxyware, cómputo distribuido y utilidades
Cada rama deja un rastro distinto en el sistema, aunque todas recurren a interruptores de instalación silenciosa como /qn, /S, /quiet y /norestart para que no veas ninguna ventana durante el proceso.
WorldProxyPool convierte tu equipo en un nodo proxy: instala sus componentes en C:Program FilesWorldProxyPool y crea tres tareas programadas con privilegios de SYSTEM: un agente que arranca con Windows, un vigilante de acceso basado en PowerShell oculto que corre cada cinco minutos y un actualizador horario. El propio instalador pone en marcha el agente de inmediato.
La rama de CharityEngine y BOINC instala boinc.exe, charityengine.exe, varios envoltorios de cómputo y VirtualBox. Microsoft no ha confirmado minado de criptomonedas en esta rama, aunque sí deja constancia de que el equipo pasa a formar parte de una red de cómputo distribuido sin que el usuario lo haya decidido.
