Ciberdelincuentes están utilizando búsquedas de software común como trampa mediante una sofisticada campaña de cryptojacking. Los atacantes han creado una red de más de 150 sitios de descarga falsos que imitan páginas confiables para engañar a los usuarios y lograr que instalen archivos con malware, los cuales utilizan la GPU del equipo para minar criptomonedas de forma secreta.

Los hackers están convirtiendo las búsquedas cotidianas de software en una trampa. Una sofisticada campaña de cryptojacking está atacando activamente a usuarios que buscan utilidades populares de PC en línea, atrayéndolos a descargar archivos infectados con malware que minan criptomonedas en secreto utilizando su propia GPU.

Los atacantes han creado una red de más de 150 sitios de descarga falsos que imitan fielmente portales de utilidades confiables. Estos sitios suplantan programas conocidos como CrystalDiskInfo, HWMonitor, Display Driver Uninstaller, FurMark, K-Lite Codec Pack y PDFgear.

Cualquiera que visite uno de estos sitios y haga clic en el botón de descarga terminará con un archivo ZIP que contiene tanto el software real como un archivo malicioso oculto. Analistas de Microsoft identificaron esta campaña y publicaron sus hallazgos a finales de mayo de 2026.

Expertos de Microsoft Defender y el equipo de investigación de seguridad de Microsoft Defender dijeron en un informe  que la campaña se dirige deliberadamente a usuarios que probablemente poseen tarjetas gráficas de alto rendimiento, incluyendo gamers, entusiastas del hardware y desarrolladores de IA.

La lógica está calculada: infectar menos máquinas pero extraer el máximo valor de minería de cada una. Lo que hace que esta campaña sea especialmente alarmante es que ha comenzado a llegar a las víctimas a través de respuestas de chatbots de IA.

En abril de 2026, los investigadores observaron que los usuarios recibían enlaces a dominios controlados por los atacantes directamente desde recomendaciones de chatbots de IA al pedir sugerencias de descarga de software.

Esto marca un giro preocupante, pasando de la manipulación tradicional de los motores de búsqueda a un espacio que muchos usuarios consideran más confiable.

Más allá del motivo financiero de la minería de criptomonedas, los atacantes también instalan ScreenConnect en las máquinas comprometidas para mantener un acceso remoto persistente.

Esto abre la puerta a actividades posteriores mucho más dañinas, incluyendo el robo de datos, el movimiento lateral a través de redes corporativas e incluso el despliegue de ransomware. La campaña sigue activa y su alcance continúa creciendo.

Los hackers abusan de las descargas falsas de utilidades

La infección comienza en el momento en que descargas y ejecutas lo que parece ser un instalador de utilidad legítimo.

El archivo ZIP contiene la aplicación real junto con un archivo malicioso llamado autorun.dll, que se carga automáticamente cuando el programa legítimo se inicia a través de una técnica conocida como DLL sideloading.

Este método no requiere ningún exploit de software y a menudo no deja ningún rastro visible en la pantalla.

Una vez que se ejecuta autorun.dll, descarga un segundo archivo malicioso llamado vcredist_x64.dll utilizando Windows Installer, que sirve como un instalador de ScreenConnect empaquetado.

Después de que ScreenConnect esté instalado, la máquina infectada se conecta a un servidor controlado por el atacante en 193.42.11[.]108. A través de este canal de acceso remoto, los atacantes envían un ejecutable llamado SimpleRunPE.exe al sistema de la víctima.

SimpleRunPE.exe se encarga del trabajo pesado desde ese punto. Establece persistencia utilizando claves de ejecución del Registro y tareas programadas, ajusta las exclusiones de las herramientas de seguridad para permanecer oculto y utiliza la técnica de "process hollowing" para inyectar código de minería en un binario confiable firmado por Microsoft.

Se pueden desplegar tres mineros de GPU dependiendo de la configuración: gminer, lolMiner y SRBMiner-MULTI.

El malware también vigila herramientas de análisis como el Administrador de tareas de Windows, Process Hacker y Process Explorer. En el momento en que detecta que cualquiera de ellos se está ejecutando, pausa inmediatamente la minería para evitar sospechas. Una vez que esas herramientas se cierran, la minería se reanuda silenciosamente en segundo plano.

Acceso persistente y qué deben hacer los defensores

El uso de ScreenConnect por parte de la campaña convierte cada máquina comprometida en un punto de apoyo a largo plazo. Incluso si el software de minería es detectado y eliminado, el backdoor de ScreenConnect puede permanecer activo, dándole a los atacantes una vía de regreso.

Los equipos de seguridad deben buscar activamente sesiones de ScreenConnect no autorizadas e instalaciones no aprobadas por el departamento de IT.

Microsoft recomienda monitorear picos inusuales de uso de la GPU en computadoras de escritorio y servidores como una señal temprana de minería no autorizada. Correlacionar los datos del referidor web y la telemetría de los endpoints puede ayudar a los equipos a conectar los puntos más rápido al investigar alertas.

Debes descargar software únicamente desde los sitios web oficiales de los proveedores y tratar cualquier enlace sugerido por una herramienta de IA con el mismo escepticismo que aplicarías a cualquier resultado de búsqueda.

Los defensores también deben configurar alertas para archivos como SimpleRunPE.exe y vigilar la aparición de DLLs llamadas autorun.dll o vcredist_x64.dll en directorios inesperados.

Bloquear dominios maliciosos conocidos y monitorear el tráfico DNS para subdominios de gleeze[.]com puede ayudar a cortar la infraestructura de entrega de la campaña antes de que ocurra una descarga.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Dirección IP	193.42.11[.]108	Servidor C2 de ScreenConnect controlado por el atacante
Nombre de archivo	autorun.dll	DLL maliciosa cargada mediante sideloading a través de un ejecutable de utilidad legítimo
Nombre de archivo	vcredist_x64.dll	DLL de segunda etapa; instalador de ScreenConnect empaquetado
Nombre de archivo	SimpleRunPE.exe	Dropper responsable de la persistencia, exclusiones de Defender y process hollowing
Nombre de archivo	vlc.exe	Binario disfrazado utilizado en infecciones seleccionadas (dropper de minería renombrado)
Dominio	gleeze[.]com (subdominios)	Infraestructura de alojamiento específica de la campaña para archivos ZIP maliciosos (vía DNS dinámico Dynu)
Herramienta de minería	gminer	Minero de criptomonedas de GPU desplegado como carga útil final
Herramienta de minería	lolMiner	Minero de criptomonedas de GPU desplegado como carga útil final
Herramienta de minería	SRBMiner-MULTI	Minero de criptomonedas de GPU desplegado como carga útil final

Nota: Las direcciones IP y los dominios han sido desactivados intencionalmente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/hackers-abuse-fake-utility-downloads/