Una nueva campaña de malware está explotando falsas advertencias de Pantalla Azul de la Muerte (Blue Screen of Death) y herramientas de compilación de Microsoft de confianza para distribuir un peligroso troyano de acceso remoto.

La operación, rastreada como PHALT#BLYX, apunta a empresas del sector hotelero con correos electrónicos engañosos de cancelación de reservas que manipulan a las víctimas para que ejecuten código malicioso en sus sistemas.

El ataque comienza cuando empleados desprevenidos reciben correos de phishing convincentes disfrazados de alertas de reserva de Booking[.]com.

Estos mensajes muestran cargos alarmantes que superan los 1.000 €, generando pánico inmediato y llevando a los destinatarios a hacer clic en “Ver detalles” para verificar la información.

En lugar de acceder a datos legítimos de la reserva, las víctimas llegan a sitios web falsos profesionalmente diseñados que imitan la interfaz auténtica de Booking.com, incluyendo sus colores, fuentes y logotipos.

La manipulación psicológica aprovecha la urgencia y la preocupación financiera, haciendo que los objetivos sean más propensos a ignorar las precauciones de seguridad habituales.

Una vez en la página fraudulenta, las víctimas se encuentran con un error de carga del navegador falso seguido de una simulación de Pantalla Azul de la Muerte que parece alarmantemente real.

La página instruye a los usuarios para “solucionar” el problema presionando Windows + R, luego pegando el contenido del portapapeles y presionando Enter.

Esta técnica de ClickFix engaña a las personas para que ejecuten manualmente comandos de PowerShell que descargan archivos de proyecto maliciosos y los lanzan a través de MSBuild.exe, una herramienta legítima de compilación de Microsoft.

Investigadores de Securonix identificaron esta campaña tras rastrear la evolución de tácticas, desde métodos más simples de entrega de aplicaciones HTML hasta la actual cadena de infección basada en MSBuild.

Este cambio representa una adaptación estratégica hacia técnicas de Living off the Land, que abusan de utilidades del sistema de confianza para evadir la detección de antivirus tradicionales.

El análisis reveló cadenas en idioma ruso incrustadas en el código del malware, lo que sugiere conexiones con grupos de amenazas de habla rusa que comúnmente usan DCRat en foros clandestinos.

Proceso de infección en múltiples etapas y evasión de defensas

El dropper malicioso de PowerShell ejecuta varias operaciones críticas simultáneamente.

Abre la página legítima de administración de Booking.com como señuelo mientras busca en secreto MSBuild.exe en todo el sistema, descarga un archivo de proyecto llamado v.proj desde la infraestructura del atacante y lo ejecuta mediante la herramienta de Microsoft.

Como MSBuild.exe lleva una firma válida de Microsoft, las soluciones de seguridad de endpoints y las listas blancas de aplicaciones suelen fallar al marcar la ejecución como sospechosa.

El archivo v.proj contiene scripts de PowerShell incrustados que atacan inmediatamente a Windows Defender añadiendo exclusiones para todo el directorio ProgramData y extensiones de archivo específicas como .exe, .ps1 y .proj.

Esta preparación garantiza que la carga útil final pueda descargarse en el disco sin activar alertas de cuarentena.

El malware luego intenta la escalada de privilegios mediante tácticas de spam de UAC, mostrando repetidamente ventanas emergentes para agotar la resistencia de los usuarios y lograr que concedan derechos de administrador.

Tras establecer persistencia mediante archivos de acceso directo a Internet en la carpeta de Inicio, el malware despliega staxs.exe, una variante altamente ofuscada de DCRat.

Este payload utiliza cifrado AES-256 con derivación de claves PBKDF2 y se conecta a servidores de comando y control en asj77.com, asj88.com y asj99.com a través del puerto 3535.

El troyano se inyecta en procesos legítimos del sistema como aspnet_compiler.exe mediante la técnica de process hollowing, ocultando así su actividad maliciosa tras binarios de Windows de confianza.

DCRat incluye capacidades como keylogging, acceso remoto al escritorio, inyección de procesos y la capacidad de descargar cargas útiles secundarias, como mineros de criptomonedas.

El malware recopila una huella digital completa del sistema, incluyendo identificadores de hardware, software antivirus instalado, títulos de ventanas activas y el estado de pertenencia al dominio, antes de enviar esta información a los operadores.

Estos datos permiten a los atacantes evaluar el valor de la víctima y desplegar herramientas adicionales para el robo de credenciales, movimiento lateral o despliegue de ransomware.