Ciberdelincuentes están aprovechando MSHTA (Microsoft HTML Application Host), una herramienta heredada de Windows, para distribuir malware peligroso como LummaStealer y Amatera. Esta utilidad permite ejecutar scripts desde archivos locales o ubicaciones remotas, lo que puede resultar en el robo de contraseñas o el compromiso total del sistema.

Los hackers están explotando una herramienta de Windows de hace décadas para distribuir malware peligroso en sistemas desprevenidos, con consecuencias que van desde el robo de contraseñas hasta el compromiso total del sistema.

La herramienta es MSHTA, abreviatura de Microsoft HTML Application Host, una utilidad integrada en Windows que puede ejecutar scripts desde archivos locales y ubicaciones remotas de internet.

Los atacantes la han estado utilizando para distribuir algunos de los malware más dañinos de la actualidad, incluidos LummaStealer y Amatera.

Lo que hace que MSHTA sea atractivo para los ciberdelincuentes es su legitimidad. Es un binario firmado de Microsoft, lo que significa que Windows confía en él por defecto, y esa confianza integrada es precisamente lo que explotan los atacantes.

Desde principios de 2026, los equipos de seguridad han notado un fuerte aumento en las detecciones de mshta.exe en cadenas de infección maliciosas. El hecho de que el uso legítimo de esta herramienta esté disminuyendo constantemente hace que la tendencia sea aún más reveladora.

Investigadores de Bitdefender identificaron el abuso creciente y rastrearon múltiples campañas activas que dependen de MSHTA.

Bitdefender afirmó en un informe compartido con Cyber Security News (CSN) que la actividad abarca un amplio espectro, desde robacontraseñas cotidianos hasta amenazas avanzadas capaces de esconderse en sistemas infectados durante largos periodos.

La investigación fue escrita por el ingeniero de software sénior Janos Gergo Szeles y publicada el 19 de mayo de 2026.

Abusan de la herramienta heredada de Windows MSHTA

Las campañas observadas cubren varias familias de malware, incluyendo LummaStealer, Amatera, ClipBanker, CountLoader, Emmenhtal Loader y PurpleFox.

Todas utilizan MSHTA como trampolín durante las etapas iniciales o intermedias de la infección. En algunos casos, MSHTA extrae un script de un servidor controlado por el atacante, mientras que en otros se encuentra dentro de una cadena más larga que implica phishing, descargas de software falsas y trucos de ingeniería social al estilo ClickFix.

Lo que hace que la situación sea particularmente grave es que MSHTA permanece en Windows por defecto sin un cronograma de eliminación anunciado. Aunque Microsoft planea desactivar completamente VBScript de Windows para 2027, MSHTA sigue siendo una puerta abierta para los atacantes en el futuro previsible.

Una de las cadenas de ataque más activas involucra a un cargador llamado CountLoader, que utiliza MSHTA para entregar LummaStealer y Amatera.

La infección comienza cuando una víctima descarga lo que parece ser software gratuito o "crackeado". Dentro del archivo hay un archivo llamado Setup.exe, que en realidad es un intérprete de Python legítimo empaquetado con scripts maliciosos que lanzan el ataque silenciosamente en segundo plano.

A medida que el script de Python se ejecuta, utiliza una copia de MSHTA renombrada y disfrazada como iso2022.exe para conectarse a los servidores del atacante y obtener la carga útil de la siguiente etapa.

Los dominios utilizados en esta campaña se parecen a servicios confiables, como google-services[.]cc y memory-scanner[.]cc, apareciendo repetidamente el dominio de nivel superior .cc.

La campaña alcanzó su punto máximo a finales de enero de 2026 antes de que los atacantes cambiaran a dominios .vg y .gl, incluyendo explorer[.]vg y ccleaner[.]gl.

La carga útil final es a menudo LummaStealer, diseñada para recolectar credenciales del navegador, cookies de sesión y datos de billeteras de criptomonedas.

Amatera, otro robador en la misma cadena, apunta a datos similares. Ambos pueden vaciar cuentas silenciosamente y pasar la información robada a los criminales, a menudo mientras las víctimas permanecen completamente inconscientes.

Ingeniería Social ClickFix y la cadena del cargador Emmenhtal

Una campaña separada utiliza un truco diferente para lograr que MSHTA se ejecute en las máquinas de las víctimas. Los atacantes envían mensajes de phishing en Discord con enlaces a páginas de verificación falsas disfrazadas de sistemas reCAPTCHA.

Cuando un usuario visita una de estas páginas, JavaScript copia secretamente un comando malicioso en el portapapeles y le indica que presione Win + R, lo pegue y pulse Enter.

Esa única acción provoca que MSHTA busque un script remoto que se ejecuta enteramente en la memoria, sin tocar nunca el disco, lo que le ayuda a evadir la mayoría de las herramientas de seguridad basadas en archivos.

En su interior hay múltiples capas codificadas que finalmente ejecutan un comando de PowerShell, desplegando LummaStealer como carga útil final.

Bitdefender recomienda que las organizaciones abandonen el uso de MSHTA en los flujos de trabajo administrativos siempre que sea posible y que restrinjan o bloqueen binarios como mshta.exe donde ya no sean necesarios.

La educación del usuario importa igual, dado lo mucho que estas campañas dependen de engañar a la gente para que ejecute comandos que no entienden completamente.

Una defensa en capas que cubra la detección del comportamiento y el bloqueo en tiempo de ejecución sigue siendo la forma más efectiva de detener estos ataques antes de que se produzcan daños duraderos.

Fuentes:
https://cybersecuritynews.com/hackers-abuse-mshta-legacy-windows-tool/