Microsoft ha advertido sobre una campaña de engaños donde descargas de juegos falsos e instaladores de software crackeado están convirtiendo los PC con Windows en herramientas de lucro. Estos paquetes instalan discretamente software que comparte el ancho de banda de internet, ejecuta cargas de trabajo de computación distribuida o instala utilidades no deseadas, aprovechando que los usuarios buscan contenido gratuito sin comprender los términos de lo que están instalando.

Las descargas de juegos falsos y los instaladores de software crackeado están convirtiendo los PC con Windows en herramientas para ganar dinero para los operadores de estas campañas.

Microsoft ha advertido que paquetes de instalación engañosos instalan silenciosamente software que comparte el ancho de banda de internet, ejecuta cargas de trabajo de computación distribuida o instala utilidades no deseadas, a menudo sin que tú entiendas qué has aceptado instalar.

La campaña se dirige a personas que buscan juegos gratuitos, activadores de software, complementos de audio y herramientas no oficiales. A diferencia del robo de contraseñas visto en otras campañas de descargas de juegos falsos, esta operación se centra en ganar dinero a través del software instalado y los recursos de tu dispositivo.

Un solo instalador puede intentar varias instalaciones, dando a los operadores múltiples oportunidades de obtener beneficios de una sola descarga.

Investigadores de Microsoft Threat Intelligence identificaron la campaña y detallaron su comportamiento en un informe técnico el 3 de noviembre.

Su investigación confirmó tres ramas de entrega que involucran a WorldProxyPool, CharityEngine y BOINC, y Advanced Windows Manager.

Estos productos pueden tener usos legítimos; la preocupación de seguridad es su instalación a través de paquetes engañosos sin tu consentimiento informado.

Microsoft advierte sobre descargas de juegos falsos

La infección comienza cuando ejecutas un instalador presentado como un juego, una aplicación crackeada o una utilidad. Entre los señuelos observados se encuentran juegos de PC, ejecutores de Roblox, auto-clickers y herramientas de controladores.

El paquete lanza procesos temporales basados en Inno Setup y luego inicia etapas ejecutables adicionales que entregan el software incluido. No todas las instalaciones siguen una secuencia idéntica.

El sistema de entrega llama a sus paquetes secundarios "ofertas" y rastrea sus resultados por separado. Los valores de sesión, afiliado y oferta ayudan a coordinar la entrega y registrar los resultados.

Es importante que sepas que el fallo de una oferta no significa que todo el paquete se haya detenido: otro paquete aún puede instalarse con éxito. Algunas cargas útiles también se lanzaron antes o durante su llamada de reporte, lo que hace que esos informes sean puntos de control de prevención incompletos.

WorldProxyPool suministra la rama de uso compartido de ancho de banda, enrutando el tráfico de internet de terceros a través de los dispositivos afectados. El riesgo subyacente se parece al proxyware disfrazado de Notepad++, donde descargas aparentemente útiles ocultan el uso compartido de la red sin autorización.

En la investigación de Microsoft, las tareas programadas lanzaban el agente proxy al iniciar el sistema, ejecutaban un monitor de PowerShell oculto cada cinco minutos y buscaban actualizaciones cada hora, todo con privilegios de SYSTEM.

La rama de computación instala CharityEngine, BOINC y componentes de soporte, incluido VirtualBox. Microsoft observó cargas de trabajo de computación, comprobaciones de capacidad del hardware y comunicación con la infraestructura de CharityEngine.

Esto es un secuestro de recursos, pero los hallazgos no establecen minería de criptomonedas. La distinción es importante porque la computación distribuida y la minería de criptomonedas son actividades diferentes, incluso cuando cualquiera de las dos consuma tus recursos sin tu permiso informado.

Una tercera rama instala Advanced Windows Manager o utilidades de Windows Manager y componentes de actualización. En toda la campaña, las opciones de instalación desatendida reducen los avisos visibles.

El resultado no es necesariamente un programa malicioso obvio, sino una colección de aplicaciones inesperadas y actividad recurrente en segundo plano que puede perdurar más allá de la sesión de descarga original.

Detección, protección e indicadores de la campaña

Microsoft te recomienda evitar el software crackeado, los instaladores de juegos no oficiales y las herramientas de activación, mientras activas la protección entregada en la nube, la protección contra alteraciones y los controles basados en la reputación.

Su guía de protección contra software no deseado también explica por qué las aplicaciones potencialmente no deseadas merecen atención incluso cuando no se clasifican como malware. Para las organizaciones, las revisiones del inventario de software pueden revelar instalaciones que los usuarios nunca pretendieron autorizar.

Los investigadores deben conectar la ejecución de instaladores sospechosos con llamadas de red, tareas programadas recién creadas y software inesperado. Campañas anteriores de proxyware de descarga de YouTube demuestran cómo una actividad de descarga ordinaria puede ocultar un uso compartido persistente del ancho de banda.

Sin embargo, ese reporte se refiere a una actividad separada; el informe de Microsoft no establece una conexión entre esos operadores y esta campaña.

Fuentes:
https://cybersecuritynews.com/microsoft-warns-fake-game-downloads/