{"id":210100,"date":"2026-11-04T12:00:23","date_gmt":"2026-11-04T12:00:23","guid":{"rendered":"http:\/\/cordobadirecto.com\/index.php\/2026\/11\/04\/microsoft-alerta-de-falsos-instaladores-de-juegos-y-software-que-secuestran-pcs-con-windows\/"},"modified":"2026-11-04T12:00:23","modified_gmt":"2026-11-04T12:00:23","slug":"microsoft-alerta-de-falsos-instaladores-de-juegos-y-software-que-secuestran-pcs-con-windows","status":"publish","type":"post","link":"http:\/\/cordobadirecto.com\/index.php\/2026\/11\/04\/microsoft-alerta-de-falsos-instaladores-de-juegos-y-software-que-secuestran-pcs-con-windows\/","title":{"rendered":"Microsoft alerta de falsos instaladores de juegos y software que secuestran PCs con Windows"},"content":{"rendered":"<div>\n<img decoding=\"async\" loading=\"lazy\" width=\"1600\" height=\"900\" src=\"https:\/\/www.redeszone.net\/app\/uploads-redeszone.net\/2026\/11\/apertura-1.jpg\"><\/p>\n<p>Microsoft ha destapado una campa\u00f1a de falsos instaladores que camufla malware bajo nombres de videojuegos, cracks y utilidades populares para colarse en equipos con Windows. Bajo una sola descarga, el sistema reparte varias ofertas de software que convierten el ancho de banda y la capacidad de c\u00f3mputo de la v\u00edctima en ingresos, sin consentimiento informado.<\/p>\n<p>La investigaci\u00f3n de Microsoft, <a href=\"https:\/\/www.microsoft.com\/en-us\/security\/blog\/2026\/11\/03\/fake-download-campaign-uses-trojanized-installers-deliver-monetization-payloads\/\" rel=\"noopener noreferrer\" target=\"_blank\">publicada el 3 de noviembre<\/a>, confirma tres ramas activas: el proxyware <strong>WorldProxyPool<\/strong>, la computaci\u00f3n distribuida de <strong>CharityEngine<\/strong> y BOINC, y las utilidades de Advanced Windows Manager. Son programas con usos leg\u00edtimos en otros contextos, pero aqu\u00ed llegan sin que el usuario los autorice.<\/p>\n<h2>\u00bfQu\u00e9 se\u00f1uelos usan los atacantes para camuflar el malware?<\/h2>\n<p>El reclamo apunta a quien busca un atajo para no pagar: cracks de software comercial, plugins de audio, descargas de videojuegos, ejecutores de Roblox, autoclickers y herramientas para desbloquear terminales m\u00f3viles. La campa\u00f1a se dirige precisamente a este tipo de b\u00fasquedas, las que llevan a sitios de descarga no oficiales en busca de contenido gratuito que normalmente exige pago o licencia.<\/p>\n<ul>\n<li>Echo Client<\/li>\n<li>FabFilter Total Bundle<\/li>\n<li>Navicat Premium crack<\/li>\n<li>Deadpool Apunka Games<\/li>\n<li>Command &amp; Conquer: Red Alert 2<\/li>\n<li>TFT Unlock Tool<\/li>\n<\/ul>\n<p>El listado de se\u00f1uelos detectados mezcla juegos cl\u00e1sicos, como el propio <strong>Command &amp; Conquer: Red Alert 2<\/strong>, con utilidades profesionales de audio como FabFilter Total Bundle o herramientas de gesti\u00f3n de bases de datos como Navicat Premium. Esa variedad muestra que el reclamo no se limita a un tipo concreto de software: cualquier programa con demanda sirve de gancho si consigue que alguien ejecute el instalador. Microsoft no ha detallado m\u00e1s patrones entre las v\u00edctimas, m\u00e1s all\u00e1 del tipo de b\u00fasqueda que las lleva hasta el instalador.<\/p>\n<h2>As\u00ed se ejecuta el malware nada m\u00e1s abrir el instalador<\/h2>\n<p>Todo arranca con un envoltorio al estilo Inno Setup que crea un ejecutable temporal dentro de <strong>%TEMP%is-*.tmp<\/strong>. Desde ah\u00ed se lanzan archivos numerados, como <strong>eld0.exe<\/strong>, <strong>eld3.exe<\/strong> o <strong>eld4.exe<\/strong>, identificados por los argumentos <strong>\/SL5<\/strong>, <strong>\/SPAWNWND<\/strong> y <strong>\/FIRSTWND<\/strong>. El n\u00famero de etapas var\u00eda de una sesi\u00f3n a otra: una instalaci\u00f3n de Echo Client lleg\u00f3 a desencadenar varias ramas de monetizaci\u00f3n a partir de una sola descarga.<\/p>\n<p>Esos ejecutables temporales contactan con dominios que rotan constantemente mediante peticiones HTTP con los par\u00e1metros <strong>d=inno<\/strong> y <strong>r=offer_execution<\/strong>, junto con valores de sesi\u00f3n, afiliado y oferta que coordinan la entrega y registran el resultado. Si la instalaci\u00f3n falla, el par\u00e1metro cambia a <strong>r=offer_execution_fail<\/strong>, a veces junto con avisos del antivirus. Cada oferta funciona de forma independiente: bloquear una no frena necesariamente las siguientes, y algunos payloads hijo se ejecutan antes o en paralelo a estas llamadas, por lo que la detecci\u00f3n por comportamiento resulta m\u00e1s eficaz que bloquear dominios concretos.<\/p>\n<h2>Tres ramas con un mismo objetivo: proxyware, c\u00f3mputo distribuido y utilidades<\/h2>\n<p>Cada rama deja un rastro distinto en el sistema, aunque todas recurren a interruptores de instalaci\u00f3n silenciosa como <strong>\/qn<\/strong>, <strong>\/S<\/strong>, <strong>\/quiet<\/strong> y <strong>\/norestart<\/strong> para que no veas ninguna ventana durante el proceso.<\/p>\n<p>WorldProxyPool convierte tu equipo en un nodo proxy: instala sus componentes en <strong>C:Program FilesWorldProxyPool<\/strong> y crea <strong>tres tareas programadas<\/strong> con privilegios de SYSTEM: un agente que arranca con Windows, un vigilante de acceso basado en PowerShell oculto que corre cada cinco minutos y un actualizador horario. El propio instalador pone en marcha el agente de inmediato.<\/p>\n<p>La rama de CharityEngine y BOINC instala <strong>boinc.exe<\/strong>, <strong>charityengine.exe<\/strong>, varios envoltorios de c\u00f3mputo y <a href=\"https:\/\/www.redeszone.net\/tutoriales\/redes-cable\/configuracion-red-maquina-virtual-virtualbox\/\">VirtualBox<\/a>. Microsoft no ha confirmado minado de criptomonedas en esta rama, aunque s\u00ed deja constancia de que el equipo pasa a formar parte de una red de c\u00f3mputo distribuido sin que el usuario lo haya decidido.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Microsoft ha destapado una campa\u00f1a de falsos instaladores que camufla malware bajo nombres de videojuegos, cracks y utilidades populares para colarse en equipos con Windows. Bajo una sola descarga, el sistema reparte varias ofertas de software que convierten el ancho de banda y la capacidad de c\u00f3mputo de la v\u00edctima en ingresos, sin consentimiento informado. [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[42],"tags":[],"_links":{"self":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts\/210100"}],"collection":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/comments?post=210100"}],"version-history":[{"count":0,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts\/210100\/revisions"}],"wp:attachment":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/media?parent=210100"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/categories?post=210100"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/tags?post=210100"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}