Projextor es una campaña de malware que oculta código malicioso dentro de herramientas de escritorio aparentemente legítimas, como convertidores de documentos, planificadores de comidas y aplicaciones de recetas. Los atacantes utilizan sitios de descarga falsos y programas de productividad gratuitos para engañar a las víctimas y lograr que instalen el software infectado.

Projextor es una campaña de malware que convierte herramientas de escritorio de apariencia ordinaria en una puerta de entrada para código oculto.

Sus operadores lo empaquetan dentro de convertidores de documentos funcionales, planificadores de comidas y aplicaciones de recetas, para que tú recibas un programa que parece útil desde el primer clic.

La campaña se apoya en sitios de descarga imitadores e instaladores de software de productividad gratuito.

Una vez que ejecutas uno, el instalador recupera una aplicación basada en Electron que puede mezclar su comportamiento dañino con actividades esperadas, como abrir archivos, guardar resultados y usar recursos del sistema local.

Analistas de G Data identificaron un grupo de convertidores de documentos, planificadores de alimentos y aplicaciones de recetas que compartían el mismo marco oculto.

G Data afirmó en un informe que las aplicaciones seguían siendo funcionales mientras ocultaban código con un acceso mucho más amplio de lo que tú esperarías. Esa combinación eleva los riesgos para las personas y las organizaciones.

Una herramienta convincente no tiene por qué estar visiblemente rota para ser peligrosa: Projextor puede añadir nuevos scripts tras la instalación e incluye funciones de captura de escritorio que podrían exponer documentos, sesiones de navegador, correos electrónicos y ventanas de colaboración.

Dado que el software realiza la tarea anunciada, tú podrías tener pocos motivos para sospechar que sus componentes invisibles pueden cambiar más tarde.

Eso hace que la confianza visual por sí sola sea una prueba de seguridad deficiente. Ese riesgo se extiende más allá de un solo dispositivo.

Projextor muestra cómo puede esconderse el malware

Electron se utiliza comúnmente para crear software de escritorio con tecnologías web, pero también permite que una aplicación acceda a funciones del sistema operativo.

Projextor abusa de esa estructura confiable instalando sus archivos main.js y preload.js en el directorio de recursos de la aplicación, donde se ejecutan automáticamente cuando el programa se inicia.

La capa de precarga normalmente actúa como un puente controlado entre la aplicación visible y funciones del sistema más potentes. En las muestras afectadas, main.js desactiva deliberadamente el aislamiento de contexto de Electron, una salvaguarda habilitada por defecto en las versiones modernas.

Esa elección puede dar al contenido cargado por la aplicación una vía hacia las capacidades de Node.js.

Los investigadores descubrieron que el malware puede cargar y ejecutar módulos de JavaScript desde un directorio de inyección dedicado.

Esto convierte la descarga inicial en una base flexible en lugar de una carga útil fija, un enfoque similar a los riesgos cubiertos en las campañas de malware del marco de Electron, donde el acceso de Electron a los recursos locales se utilizó para apoyar el robo de datos.

El señuelo es efectivo porque la interfaz se comporta normalmente, reduciendo las señales de advertencia obvias y permitiendo que la instalación parezca un uso rutinario de software.

Los instaladores de la primera etapa variaban, utilizando NSIS, Squirrel Installer o Inno Setup, pero todos entregaban el mismo estilo de aplicación de segunda etapa.

Una muestra capturada contenía una dirección de descarga en su script NSIS, mostrando cómo un formato de instalador familiar puede recuperar silenciosamente el componente más capaz después de que tú lo inicies.

Las funciones de captura aumentan el riesgo

Projextor también implementa un selector de pantalla compartido personalizado que enumera los monitores y ventanas de aplicaciones disponibles, completo con miniaturas.

La captura de pantalla no es maliciosa por sí misma, pero aquí se sitúa junto a la ejecución de scripts arbitrarios dentro de herramientas anunciadas para la productividad diaria.

Si se abusa de ella, esa capacidad podría permitir que un operador observe tu trabajo activo, recolecte archivos sensibles mostrados en pantalla y observe los flujos de trabajo de inicio de sesión.

A diferencia de las contraseñas guardadas robadas, la captura de pantalla puede revelar información visible solo durante una sesión en vivo, incluyendo contenido en navegadores, clientes de correo electrónico y aplicaciones empresariales.

El peligro recuerda al malware dirigido a la actividad de la pantalla, lo que demuestra por qué los datos vistos durante el uso pueden ser tan valiosos como las credenciales almacenadas.

El diseño compartido de main.js y preload.js indica una campaña o base de código común, aunque los investigadores dijeron que la evidencia no prueba que el mismo actor haya construido u operado cada aplicación.

La lección práctica es sencilla: descarga software solo de fuentes verificadas, confirma el editor y desconfía de los sitios que imitan estrechamente los servicios establecidos.

Los equipos de seguridad deben revisar las aplicaciones Electron recién instaladas, especialmente las herramientas de PDF no solicitadas y las utilidades gratuitas, en busca de scripts de precarga inesperados, configuraciones inseguras y llamadas a código externo.

Bloquear la instalación de software no aprobado y enseñarte a evitar las trampas de descarga en los resultados de búsqueda puede limitar la exposición, como se ve en los ataques de herramientas de productividad troyanizadas y los esquemas de entrega de instaladores falsos.

Fuentes:
https://cybersecuritynews.com/projextor-shows-malware/