Una campaña recientemente descubierta demuestra un enfoque sofisticado para distribuir malware robador de información mediante una combinación de ingeniería social y componentes legítimos de Windows.

El ataque comienza con un prompt de CAPTCHA engañoso que engaña a los usuarios para que ejecuten comandos manualmente a través del cuadro de diálogo Ejecutar de Windows, presentando la infección como un paso de verificación obligatorio.

En lugar de utilizar métodos tradicionales de ejecución de PowerShell que las herramientas de seguridad suelen monitorear, los atacantes explotan el marco de Virtualización de Aplicaciones de Microsoft para eludir la detección.

La cadena de ataque representa un cambio significativo en cómo los actores de amenazas abordan la distribución de malware.

En lugar de depender de la explotación de vulnerabilidades o la ejecución directa de payloads, la campaña prioriza la orquestación cuidadosa de cada etapa para sobrevivir al análisis automatizado y al monitoreo de seguridad.

La progresión de la infección depende de que se cumplan condiciones específicas en momentos precisos, asegurando que el malware solo se ejecute cuando la secuencia exacta se desarrolle según lo previsto.

Este diseño deliberado hace que el ataque sea más difícil de analizar en entornos sandbox y reduce la probabilidad de activar alertas defensivas.

Analistas de Blackpoint señalaron que la campaña exhibe una planificación cuidadosa en múltiples etapas de ejecución, cada una reforzando las medidas de seguridad de la etapa anterior.

Los atacantes encadenan componentes firmados de Microsoft, puertas de ejecución vinculadas al comportamiento del usuario, servicios de terceros y etapas completamente en memoria para optimizar la confiabilidad y el sigilo.

Lo que distingue a este ataque de las campañas típicas de malware no es ningún truco técnico en particular, sino cómo cada componente trabaja en conjunto para evitar llamar la atención no deseada hasta que el payload logra sus objetivos.

La infección finalmente entrega Amatera Stealer, una conocida familia de malware para la recolección de información.

Sin embargo, el mecanismo de entrega demuestra innovación en cómo los atacantes empaquetan y distribuyen código malicioso mientras evaden los sistemas defensivos.

Al utilizar múltiples capas de ofuscación y sincronizar cuidadosamente la ejecución, los atacantes aseguran que su infraestructura permanezca operativa por más tiempo mientras mantienen el control operativo sobre la campaña.

El éxito de la campaña depende del juicio comprometido del usuario y la explotación de la infraestructura confiable de Microsoft, lo que la hace efectiva tanto contra sistemas de seguridad como contra operadores humanos que de otro modo podrían reconocer actividad maliciosa.

Comprensión del mecanismo de infección y estrategia de evasión

La cadena de infección comienza cuando las víctimas encuentran una interfaz de CAPTCHA fraudulenta que les solicita pegar y ejecutar un comando a través del cuadro de diálogo Ejecutar.

Se les hace creer que esta acción representa un paso de verificación humana obligatorio, un pretexto convincente que se ha vuelto cada vez más común en el panorama de amenazas.

El comando dirige la ejecución a través de SyncAppvPublishingServer.vbs, un script legítimo firmado asociado con el marco de Virtualización de Aplicaciones de Microsoft, en lugar de lanzar PowerShell directamente.

Este enfoque resulta particularmente efectivo porque altera la ruta de ejecución del proceso desde la secuencia comúnmente monitoreada de explorer.exe a powershell.exe. En su lugar, la ejecución fluye a través de wscript.exe hacia un script de publicación de App-V, que se mezcla con la actividad legítima del sistema en máquinas donde están instalados los componentes de App-V.

Los atacantes aprovechan el hecho de que App-V está integrado en las versiones Enterprise y Education de Windows 10 y Windows 11, lo que les permite apuntar a sistemas empresariales valiosos mientras filtran naturalmente las instalaciones estándar de consumidores que carecen de estos componentes.

El comando inicial también establece una variable de entorno temporal llamada ALLUSERSPROFILE_X, que funciona como un marcador de ejecución que prueba que el usuario ejecutó manualmente el comando. Esta variable se vuelve críticamente importante más adelante, actuando como una puerta que impide la progresión a menos que este marcador específico exista en el estado del portapapeles del sistema.

La lógica PowerShell integrada reconstruye la funcionalidad sensible en tiempo de ejecución utilizando alias y resolución de comodines en lugar de incrustar cadenas de comandos obvias.

Por ejemplo, el script utiliza el alias abreviado gal para resolver Get-Alias, luego llama a gal i*x para recuperar el alias iex, que finalmente apunta a Invoke-Expression.

El cargador inmediatamente aplica una puerta de ejecución basada en el portapapeles buscando el marcador ALLUSERSPROFILE_X. Si ese marcador no está presente, el script muestra mensajes señuelo utilizando ventanas emergentes del shell de scripts y luego se detiene intencionalmente al entrar en un estado de espera infinita.

Esta inhibición deliberada evita el análisis en sandboxes que detonan el script sin simular el estado esperado del portapapeles, ya que se cuelgan indefinidamente en lugar de fallar limpiamente.

Solo cuando se encuentra el marcador esperado, la ejecución avanza para recuperar datos de configuración de un archivo público de Google Calendar, permitiendo a los atacantes actualizar la lógica de entrega sin volver a implementar las etapas anteriores.

El diseño demuestra cómo múltiples puertas de ejecución, cada una vinculada a acciones específicas del usuario o condiciones del estado del sistema, refuerzan la cadena de ataque y hacen que el análisis casual sea significativamente más difícil.