Los atacantes han encontrado una nueva forma de distribuir malware al aprovechar una de las herramientas cotidianas más confiables: Google Forms. Una campaña recientemente identificada está explotando señuelos con temática empresarial, incluyendo falsas entrevistas de trabajo, briefs de proyectos y documentos financieros, para instalar un Troyano de Acceso Remoto (RAT) conocido como PureHVNC en los equipos de las víctimas. 

Los atacantes han encontrado una nueva forma de distribuir malware aprovechando una de las herramientas cotidianas más confiables: Google Forms.

Una campaña recientemente identificada está explotando señuelos con temática empresarial, como falsas entrevistas de trabajo, resúmenes de proyectos y documentos financieros, para instalar un Troyano de Acceso Remoto (RAT) conocido como PureHVNC en los dispositivos de las víctimas.

Lo que distingue a esta campaña no es el malware en sí, sino el canal inusual que los atacantes eligieron para iniciar la infección.

La campaña comienza con un formulario de Google convincente, diseñado para parecerse a un proceso real de reclutamiento o negocio. Estos formularios solicitan detalles profesionales, como historial laboral y antecedentes, creando una sensación de autenticidad.

Una vez enviado, las víctimas son dirigidas a un archivo ZIP con temática empresarial, alojado en plataformas como Dropbox, filedn.com y fshare.vn, o a través de acortadores de URL como tr.ee y goo.su, que ocultan el destino real.

Los atacantes también difunden enlaces a través de LinkedIn, llegando a profesionales que buscan empleo o nuevas oportunidades.

Analistas de Malwarebytes identificaron múltiples variantes de esta campaña y señalaron que los actores de amenazas se hacen pasar por empresas conocidas en los sectores de finanzas, logística, tecnología, sostenibilidad y energía.

Los formularios falsos muestran nombres, logotipos y marcas reales de empresas, lo que dificulta que un usuario promedio detecte el fraude.

Nombres de archivos como “Project_Information_Summary_2026.zip” y “{NombreEmpresa}_GlobalLogistics_Ad_Strategy.zip” muestran lo deliberado y calculado que es este engaño.

PureHVNC es un RAT modular de la familia de malware “Pure”, desarrollado en .NET. Una vez en un dispositivo, otorga a los atacantes control remoto total, permitiéndoles ejecutar comandos, robar datos de navegadores, billeteras de criptomonedas y aplicaciones de mensajería como Telegram y Foxmail, recopilar información de hardware y software, e instalar plugins adicionales.

Su configuración está codificada en base64 y comprimida con GZIP, con el servidor C2 identificado en la IP 207.148.66.14, accesible en los puertos 56001, 56002 y 56003.

El alcance de esta campaña es amplio, afectando a industrias donde el intercambio de documentos es rutinario y los profesionales reciben frecuentemente archivos de contactos externos, lo que hace que un adjunto malicioso sea difícil de detectar.

Mecanismo de infección en múltiples etapas

La cadena de infección detrás de PureHVNC está diseñada en capas y es deliberada, construida para evitar la detección en cada paso. Una vez que la víctima extrae el ZIP descargado, encuentra documentos relacionados con empleo junto a un ejecutable oculto y una DLL llamada msimg32.dll.

Esa DLL se ejecuta mediante secuestro de DLL, engañando a una aplicación legítima para que cargue el código malicioso sin activar alertas obvias.

Una vez en ejecución, la DLL descifra cadenas mediante XOR con la clave “4B” y verifica entornos de análisis usando IsDebuggerPresent() y time64().

Si detecta actividad de sandbox o depuración, el malware muestra el error “Este software ha expirado o se ha detectado un depurador” y se detiene.

Luego, la DLL se elimina del disco, deja un PDF falso para mantener ocupada a la víctima y agrega una entrada en el registro en CurrentVersion\Run\Miroupdate para lograr persistencia desde el inicio.

En la siguiente etapa, se extrae un archivo oculto llamado final.zip en una carpeta aleatoria dentro de ProgramData.

Un script de Python ofuscado —llamado config.log o image.mp3 según la variante— decodifica y ejecuta el shellcode Donut en memoria.

El shellcode inyecta PureHVNC en SearchUI.exe, un proceso legítimo de Windows.

Para mantener el acceso, el malware crea una tarea programada mediante un comando de PowerShell codificado en base64, con el nivel de privilegio más alto si se tienen derechos de administrador, dejando el mutex “Rluukgz” en el equipo como marcador.

Tú y tu organización deberían tomar las siguientes medidas para reducir la exposición a esta campaña. Verifica siempre la fuente de un formulario de Google antes de enviar información o descargar archivos vinculados.

Cruza información sobre ofertas de trabajo o solicitudes de proyectos inesperadas a través de los sitios web oficiales de las empresas y contactos conocidos. Evita seguir enlaces ocultos detrás de acortadores de URL sin confirmar primero a dónde llevan.

Los equipos de seguridad deben estar atentos a cargas inusuales de DLL, creación de tareas de PowerShell codificadas y inyección de procesos en SearchUI.exe. Las defensas de endpoint deben mantenerse actualizadas para detectar procesos de Python ejecutándose de manera inesperada desde directorios de ProgramData.