Un compromiso crítico en la cadena de suministro afectó al producto antivirus eScan de MicroWorld Technologies, donde actores maliciosos lograron secuestrar la infraestructura legítima de actualizaciones del proveedor para distribuir malware. Descubierto el 20 de enero de 2026 por Morphisec, el ataque utilizó un paquete de actualización troyanizado para desplegar malware en múltiples etapas en endpoints empresariales y de consumo a nivel global.

Un compromiso crítico en la cadena de suministro afectó al producto antivirus eScan de MicroWorld Technologies, donde actores maliciosos lograron secuestrar la infraestructura legítima de actualizaciones del proveedor para distribuir malware.

Descubierto el 20 de enero de 2026 por Morphisec, el ataque utilizó un paquete de actualización troyanizado para desplegar malware de múltiples etapas en endpoints empresariales y de consumidores a nivel global.

Este incidente deja ineficaz el software antivirus y altera específicamente las configuraciones del sistema para evitar la remediación automática.

Mecanismo de actualización troyanizado y cadena de ataque

El compromiso se inició mediante una actualización maliciosa enviada directamente a través de los canales oficiales de eScan. La cadena de ataque comienza con la “Etapa 1”, donde un componente troyanizado reemplaza el binario legítimo Reload.exe (versión de 32 bits).

Morphisec observó que el ejecutable malicioso está firmado digitalmente con un certificado válido perteneciente a “eScan (Microworld Technologies Inc.)”, lo que le permite eludir las verificaciones estándar de confianza.

Una vez ejecutado, este payload despliega un descargador de “Etapa 3” identificado como CONSCTLX.exe. Tras la brecha inicial, un descargador de “Etapa 2” establece persistencia y ejecuta maniobras de evasión de defensas.

Esta etapa es particularmente agresiva, empleando ejecución de PowerShell y manipulando el Registro de Windows para desactivar funciones de seguridad.

El malware se conecta a la infraestructura de Comando y Control (C2) para recuperar payloads adicionales, convirtiendo efectivamente la herramienta de seguridad en una puerta de entrada para más compromisos.

Una característica definitoria de esta campaña es su enfoque en la “anti-remediación”. El malware modifica activamente el archivo hosts del sistema infectado para bloquear la comunicación con los servidores de actualización de eScan.

Además, altera claves específicas del registro de eScan y archivos de configuración para romper permanentemente el mecanismo de actualización del antivirus.

Como consecuencia, los sistemas infectados no pueden recibir parches automáticos ni definiciones, dejándolos vulnerables incluso después de que el proveedor restaure su infraestructura.

La persistencia se logra mediante la creación de tareas programadas engañosas ubicadas en C:\Windows\Defrag\. El malware genera tareas usando un patrón de nombres que imita procesos legítimos del sistema, como Windows\Defrag\CorelDefrag.

Además, se establece persistencia en el registro bajo HKLM\Software\ usando claves GUID generadas aleatoriamente que contienen payloads de PowerShell codificados.

Indicadores de compromiso (IOCs)

Se insta a las organizaciones que utilizan el antivirus eScan a escanear sus entornos inmediatamente en busca de los siguientes indicadores.

Ten en cuenta que la remediación automática no es posible; la presencia de estos archivos indica un compromiso que requiere intervención manual.

Indicadores de red e infraestructura C2

Los administradores de red deben bloquear el tráfico de salida hacia los siguientes dominios, que han sido identificados como parte de la infraestructura de comando y control de los atacantes.

Medidas de remediación y mitigación

Dado que el malware inutiliza el mecanismo de actualización del software antivirus, las actualizaciones automáticas fallarán en las máquinas comprometidas.

eScan ha reportado haber desconectado el sistema global de actualizaciones durante más de ocho horas para aislar la infraestructura, pero esto no limpia los endpoints ya infectados.

Los administradores deben asumir que los sistemas con eScan que estuvieron activos el 20 de enero de 2026 o después están comprometidos.

Los pasos inmediatos incluyen verificar el archivo hosts en busca de entradas que bloqueen dominios de eScan e inspeccionar el registro en busca de claves GUID sospechosas que contengan datos en formato de matriz de bytes.

Las organizaciones afectadas deben contactar directamente a MicroWorld Technologies (eScan) para obtener un parche manual especializado diseñado para revertir los cambios de configuración y restaurar la funcionalidad del actualizador.