Una aplicación de navegador de confianza ha quedado en el centro de un incidente de seguridad de la cadena de suministro después de que los investigadores descubrieran que su canal de entrega oficial había sido comprometido silenciosamente.

Se descubrió que Hola Browser para Windows, utilizado por millones de usuarios en todo el mundo, distribuía un archivo ejecutable inesperado junto con su instalador legítimo.

El archivo, llamado me.exe, no formaba parte del paquete de software declarado del navegador y parece haber sido depositado silenciosamente en los sistemas de los usuarios sin su conocimiento ni consentimiento.

El problema salió a la luz durante una revisión de certificación rutinaria realizada a través del programa AppEsteem Windows Certified Application.

AppEsteem, una organización certificada por AMTSO fundada en 2016, realiza pruebas de validación periódicas para confirmar que el software certificado coincida con su huella de instalación declarada y aprobada.

Durante una de estas pruebas con la versión 1.251.91.0 de Hola Browser, se detectó el archivo inesperado dentro del directorio de instalación del navegador en C:\Program Files\Hola\me.exe.

Analistas de Sophos X-Ops identificaron el archivo sospechoso y lo marcaron como una Aplicación Potencialmente No Deseada durante la prueba de certificación.

Según el informe de Sophos, Sophos señaló que el binario no estaba firmado digitalmente, no tenía marca de tiempo, contenía código ofuscado y tenía capacidad de escritura en memoria.

Aunque cada uno de estos rasgos por sí solo podría no activar una alarma, juntos dibujaban un panorama claro de algo que no tenía absolutamente nada que hacer empaquetado con una aplicación certificada.

Investigaciones posteriores revelaron que el archivo no aparecía en todas las pruebas realizadas, lo que descartó la posibilidad de que estuviera integrado directamente en el instalador.

Esta inconsistencia apuntaba, en cambio, a un problema en la ruta de entrega, sugiriendo que el binario estaba siendo impulsado a través del canal de distribución de actualizaciones bajo condiciones específicas.

En resumen, AppEsteem había certificado una versión limpia de Hola Browser, pero algunos usuarios estaban recibiendo más de lo que había sido certificado.

Después de que el problema fuera escalado a través de AppEsteem hacia Hola, la empresa confirmó que me.exe nunca debió formar parte de su instalador.

El CEO de Hola, Avi Raz Cohen, reconoció que su monitoreo interno también había detectado la anomalía, y se contrató a la firma independiente de ciberseguridad Sygnia para llevar a cabo una revisión forense exhaustiva.

Los hallazgos de Sygnia confirmaron que se trató de un compromiso de la cadena de suministro, afectando aproximadamente al 0,1% de los usuarios y sin que se accediera ni exfiltrara ningún dato de usuario en ningún momento.

Canal de entrega de Hola Browser para Windows comprometido

El binario me.exe parece basarse en XMRig, una conocida herramienta de minería de criptomonedas de código abierto. Cuando se ejecuta con derechos de administrador, el archivo se copia a una nueva ruta dentro del directorio de Hola y se registra como un servicio de Windows llamado hola_monitor_svc.

Este servicio está configurado para iniciarse automáticamente y se activa específicamente cuando la máquina anfitriona está inactiva, lo que hace que sea más difícil para el usuario promedio notar cualquier actividad inusual o ralentización del rendimiento.

Para evitar la detección, el binario también realizó una exclusión en Windows Defender, pidiendo efectivamente al sistema operativo que ignorara su presencia por completo.

Las cadenas encontradas dentro del archivo, incluidas las referencias para detener el minero cuando un usuario se vuelve activo, sugieren que fue cuidadosamente diseñado para ejecutarse silenciosamente en segundo plano en todo momento. Sophos ha clasificado esta amenaza particular bajo el nombre de detección Troj/GoMiner-B.

Riesgo de la cadena de suministro e integridad del canal

Este incidente es un fuerte recordatorio de que incluso el software certificado y de confianza puede convertirse en un vehículo para cargas maliciosas cuando el propio canal de entrega está comprometido.

El hecho de que el archivo no apareciera de manera consistente en los entornos de prueba hizo que fuera más difícil de capturar solo mediante los controles de certificación estándar.

Fue necesaria una combinación de pruebas de terceros y telemetría de proveedores de seguridad trabajando juntos para finalmente sacar a la superficie el alcance total del problema.

Tras el descubrimiento, Hola reconstruyó su canal de distribución desde cero, introdujo una verificación avanzada de firma de código y reforzó los controles de acceso en toda su infraestructura.

La empresa también se comprometió a realizar un monitoreo continuo para asegurar que solo los componentes declarados y debidamente firmados lleguen a los usuarios finales en el futuro.

El resultado aquí representa que el ecosistema de certificación funcionó como se esperaba, detectando, escalando y resolviendo completamente un problema de integridad antes de que pudiera convertirse en algo mucho más perjudicial.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios se han desactivado intencionalmente (por ejemplo, [.]) para evitar la resolución accidental o el enlace. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.