Se ha detectado un servicio criminal que utiliza el sitio web acrobatreaderonline.com, el cual finge ofrecer Adobe Acrobat Reader para engañar a los usuarios. En realidad, el sitio es un panel de operador diseñado para crear y gestionar ataques dirigidos a usuarios de Windows, empleando temas de documentos o pagos aparentemente confiables para atraer a las víctimas.

Un servicio criminal se esconde detrás de un sitio web que parece ofrecer Adobe Acrobat Reader. El sitio, acrobatreaderonline.com, no es un servicio de documentos. En su lugar, parece exponer un panel de operador para construir y gestionar ataques contra usuarios de Windows.

La campaña utiliza un truco familiar: un documento con apariencia confiable o una temática de pago guía a la víctima hacia una descarga dañina.

Actividades anteriores vinculadas a la misma infraestructura utilizaron un archivo por lotes de Windows, o archivo .bat, a través de una carpeta remota WebDAV, convirtiendo un señuelo de PDF o boleto en un posible punto de entrada de malware.

Investigadores de Clandestine identificaron la operación durante una revisión de fuentes abiertas el 23 de agosto, encontrando un panel activo de malware como servicio, o MaaS, detrás del dominio temático de Adobe.

Clandestine dijo en un informe  que el sitio no era un portal de Adobe Reader y no debe considerarse seguro.

https://t.co/LaGothWxgV no es Adobe Acrobat Reader Online.
La revisión de fuentes abiertas del 23 de agosto de 2026 muestra un panel de malware como servicio activo detrás de un dominio temático de Adobe. El título de la página es SecureWorkspace WebPanel; /api/ se renderiza como Kaido Panel. El stack es Vite/React, Tailwind… pic.twitter.com/arJGRFqXto

— Clandestine (@akaclandestine) August 23, 2026

El descubrimiento muestra cómo una imitación convincente de una marca puede pasar de ser un señuelo de phishing a una plataforma criminal operativa. Contiene funciones para recopilar datos de víctimas, gestionar archivos y preparar módulos de malware, reduciendo la barrera para los operadores.

Nuevo Malware-como-servicio que aprovecha un dominio temático de Adobe

El dominio crea un problema de confianza grave para las personas que buscan un lector de PDF, abren enlaces de documentos o responden a mensajes de pago.

Su página pública utiliza el título “SecureWorkspace WebPanel”, mientras que una ruta de aplicación se identifica como “Kaido Panel”. Ninguno es un visor de documentos legítimo ni un servicio de documentos en la nube.

Detrás de la página de aterrizaje, los investigadores encontraron puntos finales protegidos para una interfaz de comando y control y un centro de comunicación SignalR activo.

Las solicitudes no autenticadas devolvieron un desafío de autenticación de portador (bearer-authentication), lo que demuestra que el sitio es más que un señuelo estático. Está diseñado para dar a los operadores autorizados acceso a funciones del backend.

El JavaScript público expuesto mostró referencias a un constructor, un gestor de archivos, una función de actualización de autenticación y una sección etiquetada como "loot" (botín). El código enumeraba módulos conectados con el robo de información, superposiciones bancarias, pagos PIX y señuelos de boletos.

Esa mezcla hace que la operación sea relevante para los usuarios de Windows y las organizaciones que procesan documentos financieros. La cadena de entrega documentada muestra por qué una extensión de archivo puede importar tanto como el nombre de un documento.

Registros históricos de sandbox vincularon la infraestructura de Kaido con un cargador WebDAV que utilizaba un dropper .bat y el servicio WebClient de Windows. Un abuso similar de WebDAV en el Explorador de Archivos de Windows puede abrir contenido remoto de maneras que parecen menos sospechosas que una descarga convencional.

Un archivo por lotes puede ejecutar comandos cuando una víctima lo abre, por lo que nunca debes asumir que es un documento inofensivo. Debes cuestionar los supuestos archivos PDF con extensiones inusuales, accesos directos o solicitudes de descarga.

Campañas recientes de falsas páginas de Adobe Document Cloud también han utilizado un lenguaje de uso compartido familiar para persuadir a los destinatarios de ejecutar software no deseado.

Infraestructura y Acciones Defensivas

El dominio fue registrado en junio de 2026 y utiliza infraestructura alojada en Cloudflare. Sus servidores de nombres coinciden con los utilizados por kaido.sh, un dominio relacionado visto anteriormente.

En el momento de la revisión, solo el host www resolvía; varios nombres de servicio probables no lo hicieron. Una dirección futura asignada a esos nombres podría señalar un cambio en el comando y control.

Esto justifica verificaciones inmediatas. Las organizaciones deben bloquear los dominios identificados en DNS, proxies web y controles de correo electrónico, y luego examinar los registros en busca de solicitudes hacia ellos.

Tus equipos deben buscar actividad inesperada de WebClient y el artefacto de caché local enumerado, que puede revelar una entrega basada en WebDAV.

Debes descargar Acrobat Reader únicamente desde el dominio oficial de Adobe, no desde sitios similares o enlaces no solicitados. Los equipos de seguridad deben evitar iniciar sesión en el panel o ejecutar archivos obtenidos de él.

El riesgo encaja en un patrón visto en malware disfrazado de aplicaciones confiables, donde los nombres reconocibles debilitan la precaución del usuario. Para quienes defienden la red, combina el bloqueo de dominios con alertas de conexiones sospechosas a carpetas remotas y lanzamientos de scripts.

Preserva la telemetría relevante antes de actuar, verifica si los artefactos aparecen en los endpoints y reporta la infraestructura al registrador, al proveedor de alojamiento y a los equipos nacionales de respuesta.

Una operación de malware AllaKore basada en Windows ilustra cómo los señuelos de PDF, WebDAV y los scripts por lotes pueden formar un compromiso de Windows en varias etapas.

Fuentes:
https://cybersecuritynews.com/malware-as-a-service-adobe-themed-domain/