Datos clave

• El malware TamperedChef se propaga a través de instaladores falsificados de aplicaciones populares.
• Los atacantes emplean certificados de firma de código falsos de empresas fantasma para que el malware parezca legítimo.
• La campaña sigue activa, con infecciones reportadas a nivel mundial, especialmente en Estados Unidos.
• Industrias como la salud, la construcción y la manufactura son especialmente atacadas.
• Las víctimas suelen ser atraídas mediante anuncios maliciosos y resultados de búsqueda manipulados de manuales técnicos y software.

El montaje: la confianza como arma

Imagina descargar lo que parece ser un editor de PDF de confianza o un manual imprescindible para una máquina especializada. El instalador incluso lleva una firma digital: un sello electrónico de aprobación. Pero bajo esa superficie reluciente, sin saberlo, estás abriendo una puerta trasera para los ciberdelincuentes. Esta es la esencia de la campaña TamperedChef, una operación global pulida que combina astucia técnica con manipulación psicológica.

Según la Unidad de Investigación de Amenazas de Acronis, TamperedChef no es solo una variante de malware, sino el eje central de una campaña de gran alcance. Sus operadores utilizan malvertising - anuncios que ocultan intenciones maliciosas - y trucos en motores de búsqueda para dirigir a las víctimas a sitios web contaminados. El giro: el malware se disfraza de software cotidiano, a menudo firmado con certificados de empresas que solo existen en papel, registradas en lugares remotos como Panamá o Malasia.

El manual: viejos trucos, nueva tecnología

El enfoque de TamperedChef no es nuevo, pero sí preocupantemente efectivo. Al explotar la confianza que los usuarios depositan en el software firmado, los atacantes logran eludir muchas barreras de seguridad. Una vez que se ejecuta el instalador, este realiza una instalación aparentemente inofensiva, incluso mostrando un mensaje de agradecimiento. Mientras tanto, en segundo plano, un script oculto configura una tarea programada - como un ladrón que hace una copia de la llave - para que los atacantes puedan regresar cuando quieran.

El malware luego envía silenciosamente detalles cifrados sobre su nuevo anfitrión - ID de sesión y de máquina - a los atacantes. A veces, las máquinas comprometidas se usan para fraude publicitario, generando clics falsos para obtener ingresos. Otras veces, el acceso se vende en foros de ciberdelincuencia, o se recolectan datos sensibles para su explotación posterior.

Esta estrategia recuerda a campañas pasadas como la infame brecha de SolarWinds, donde los atacantes también abusaron de canales de software de confianza. Es un recordatorio de que, en ciberseguridad, la confianza es tanto una necesidad como una vulnerabilidad.

Alcance global, impacto local

Aunque se han detectado infecciones en todo el mundo, Estados Unidos lidera en casos reportados, con actividad significativa en Israel, España, Alemania, India e Irlanda. Las industrias que dependen de equipos especializados - salud, construcción, manufactura - son especialmente vulnerables, ya que su personal suele buscar manuales o actualizaciones en línea, convirtiéndolos en objetivos ideales para estos lobos digitales.

La infraestructura de la campaña se describe como “industrializada y empresarial”, capaz de generar nuevos certificados falsos según sea necesario. Esta adaptabilidad, combinada con cebos ingeniosos que hacen referencia a herramientas de inteligencia artificial (de ahí el nombre en clave EvilAI), sugiere un adversario bien financiado y persistente.

WIKICROOK

• Malvertising: El malvertising es el uso de anuncios en línea para propagar malware, a menudo engañando a los usuarios para que hagan clic en enlaces dañinos, incluso en sitios web de confianza.
• Código: El código es un conjunto de instrucciones escritas para computadoras. En ciberseguridad, analizar el código ayuda a detectar software no autorizado o sospechoso, incluidas amenazas ocultas.
• Backdoor: Una puerta trasera es una forma oculta de acceder a una computadora o servidor, eludiendo los controles de seguridad normales, utilizada a menudo por atacantes para obtener control secreto.
• JavaScript ofuscado: El JavaScript ofuscado es código deliberadamente enmarañado para ocultar su verdadero propósito, dificultando que humanos y herramientas de seguridad lo analicen o detecten amenazas.
• Ladrón de información: Un ladrón de información es un malware que recopila en secreto datos personales, como contraseñas o información financiera, y los envía a ciberdelincuentes.