Se ha detectado una campaña engañosa en la que hackers utilizan sitios web que imitan la descarga de Microsoft Teams para engañar a los usuarios. El objetivo es instalar ValleyRAT, un troyano de acceso remoto capaz de robar datos, registrar las pulsaciones del teclado y tomar el control remoto de los equipos infectados. Esta actividad comenzó a finales de abril de 2026.

Se ha detectado a hackers ejecutando una campaña engañosa que utiliza sitios web falsos de descarga de Microsoft Teams para trickear a los usuarios y lograr que instalen ValleyRAT, un troyano de acceso remoto capaz de robar datos, registrar pulsaciones de teclado y tomar el control remoto de las máquinas infectadas.

La campaña, que apareció por primera vez a mediados de abril de 2026, se dirige a usuarios desprevenidos que creen que están descargando el software de colaboración legítimo.

Los actores de la amenaza crearon sitios web simulados que imitan fielmente la página oficial de descargas de Microsoft Teams. Estos sitios fraudulentos se compartieron abiertamente en la plataforma X, otorgando a la campaña un amplio alcance inicial.

A los visitantes se les presenta lo que parece ser un botón de descarga genuino, que los lleva a obtener un archivo zip que contiene un instalador malicioso.

Los investigadores de K7 Security Labs, que identificaron y analizaron esta campaña, descubrieron que el payload entregado aprovecha una cadena de DLL sideloading a través de un ejecutable legítimo de Tencent conocido como GameBox.exe.

El análisis reveló artefactos en idioma chino integrados en los sitios falsos y en los datos de registro de soporte, lo que sugiere fuertemente que la actividad de la amenaza se origina en China.

Los investigadores también vincularon la campaña al grupo APT SilverFox. Lo que hace que esta campaña sea especialmente peligrosa es lo bien que enmascara su verdadera intención.

Una vez que el instalador se ejecuta, suelta silenciosamente componentes maliciosos en segundo plano mientras simultáneamente instala una copia real de Microsoft Teams en el dispositivo de la víctima, llegando incluso a colocar un acceso directo en el escritorio para evitar levantar sospechas.

La víctima se queda pensando que simplemente ha instalado una aplicación legítima, sin tener idea de que un troyano totalmente operativo se está ejecutando ahora mismo en su sistema.

K7 Security Labs dijo en un informe compartido con Cyber Security News que esta campaña refleja una cadena de intrusión bien estructurada que combina la ingeniería social con capacidades avanzadas de post-explotación, lo que la hace particularmente efectiva contra usuarios desprevenidos.

Descargas Falsas de Microsoft Teams

La cadena de infección comienza en el momento en que un usuario visita uno de los dominios fraudulentos, como teams-securecall[.]com y teamszs[.]com.

Al descargar y extraer el archivo zip, la víctima activa sin saberlo un instalador malicioso basado en NSIS.

En lugar de simplemente instalar el software, este instalador suelta silenciosamente un cargador, una DLL maliciosa llamada utility.dll y varios archivos de soporte en todo el sistema.

Para mantenerse oculto, el malware ejecuta comandos de PowerShell que modifican la configuración de Windows Defender, añadiendo exclusiones tanto para su carpeta de trabajo como para el archivo DLL malicioso.

También oculta sus archivos copiados mediante cambios de atributos a nivel de sistema, haciéndolos invisibles durante una inspección casual. Luego se crea un servicio llamado _CCGDAT para asegurar que el malware se reinicie automáticamente cada vez que el sistema arranque.

El payload principal, un archivo llamado user.dat, se almacena en formato cifrado AES y se descifra enteramente en la memoria durante la ejecución, sin tocar nunca el disco en su forma final.

El malware utiliza entonces la inyección de shellcode para cargar ValleyRAT directamente en el proceso en ejecución y emplea el hashing de API para resolver las funciones de Windows dinámicamente, lo que dificulta que las herramientas de seguridad detecten lo que está haciendo.

Capacidades de Espionaje y Actividad de Red de ValleyRAT

Una vez activo, ValleyRAT monitorea el portapapeles en tiempo real utilizando una llamada a la API de Windows, dirigiéndose a datos sensibles como contraseñas copiadas, direcciones de billeteras de criptomonedas y otra información privada.

También registra las pulsaciones de teclado y almacena esos datos recopilados localmente antes de enviarlos de vuelta al servidor de comando y control del atacante.

El payload de la tercera etapa se obtiene en vivo desde el servidor C2 en un formato cifrado XOR y se descifra en la memoria.

Dado que este payload se extrae dinámicamente, el actor de la amenaza puede cambiarlo en cualquier momento, lo que le da flexibilidad para variar sus tácticas o desplegar herramientas completamente diferentes.

Este diseño también significa que el ataque sigue siendo efectivo incluso si los componentes individuales son marcados y bloqueados.

Para protegerte contra este tipo de amenaza, siempre debes descargar el software directamente desde los sitios web oficiales del proveedor y evitar los enlaces compartidos en las redes sociales.

Las organizaciones deberían implementar listas blancas de aplicaciones, monitorear la actividad inesperada de PowerShell y mantener actualizadas las herramientas de detección de endpoints para capturar amenazas conductuales.

Verificar la firma digital de cualquier instalador antes de ejecutarlo también puede ayudarte a evitar que se ejecuten paquetes troyanizados.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Hash de archivo (MD5)	709604CE58E3F8255587AC9253DB6994	98653.2.87.teamsx.zip — Troyano (006ddd9e1)
Hash de archivo (MD5)	18F3E85D7237E3CAC0AD13BDCF513F0F	Utility.dll — Troyano (006ddd9e1)
Hash de archivo (MD5)	8F9DE887E9AED9D580F386BA2D191319	User.dat — Troyano (0001140e1)
Dominio	teams-securecall[.]com	Sitio falso de distribución de Microsoft Teams
Dominio	teamszs[.]com	Sitio falso de distribución de Microsoft Teams
Dirección IP	103[.]215[.]77[.]17	Servidor de Comando y Control (C2) de ValleyRAT
Nombre de archivo	98653.2.87.teamsx.zip	Archivo zip troyanizado entregado a las víctimas
Nombre de archivo	Utility.dll	DLL maliciosa utilizada en la cadena de sideloading
Nombre de archivo	User.dat	Payload de shellcode cifrado en AES

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/hackers-use-fake-microsoft-teams-downloads-to-deploy-valleyrat-malware/