Los atacantes envían archivos .desktop que imitan la iconografía y nombres de documentos PDF legítimos. Una vez abiertos, estos actúan como scripts capaces de exfiltrar datos y programar tareas periódicas maliciosas, lo que permite a los atacantes mantener el control y persistencia en los sistemas. El ataque explota la confianza en el formato PDF, usando evasión avanzada y empleando nombres de archivos asociados al sistema (como ‘emacs-bin’ y ‘crond-98’) para camuflar su actividad.

Este vector afecta principalmente a infraestructuras críticas, como energía, transporte y gobierno, donde la interrupción o filtración de datos puede tener consecuencias a nivel nacional. El control remoto prolongado mediante tareas periódicas y servidores de comando y control (C2) incrementa el riesgo de sabotaje, extorsión y espionaje persistente. Además, la completa suplantación de archivos PDF dificulta la detección de la amenaza, sobre todo en entornos donde la formación y las políticas restrictivas son insuficientes.

Se recomienda intensificar la capacitación en reconocimiento de phishing y camuflaje de archivos, implementar EDRs con monitorización de actividad de scripts y cron, y segmentar las redes críticas para limitar el posible movimiento lateral. Adicionalmente, restringir la ejecución de archivos .desktop fuera de ámbitos controlados, establecer listas blancas de aplicaciones y vigilar los accesos y la creación de tareas programadas no autorizadas son pasos clave. Las copias de seguridad periódicas y la monitorización del tráfico de red refuerzan la postura defensiva.