Una campaña de descargas falsas utiliza instaladores troyanizados para distribuir cargas útiles de monetización.

 

Una campaña de descargas falsas  utiliza instaladores troyanizados para distribuir cargas útiles de monetización.  

El equipo de inteligencia sobre amenazas de Microsoft ha detectado una campaña de descargas falsas en constante evolución dirigida a usuarios que buscan software comercial pirateado, juegos gratuitos, activadores, complementos y utilidades no oficiales. La campaña utiliza instaladores troyanizados al estilo Inno Setup para distribuir múltiples programas de pago, denominados "ofertas" por el sistema de distribución, durante una única sesión de instalación.

La fuente oficial. 
https://www.microsoft.com/en-us/security/blog/2026/11/03/fake-download-campaign-uses-trojanized-installers-deliver-monetization-payloads/

Claves de la campaña

• Los señuelos: Los atacantes se hacen pasar por software y juegos muy buscados, incluyendo nombres como Echo Client, FabFilter Total Bundle, Navicat Premium crack, Deadpool Apunka Games, Command & Conquer: Red Alert 2 o TFT Unlock Tool.

Las tres ramas principales detectadas:
• WorldProxyPool (proxyware para usar tu conexión).
• CharityEngine/BOINC (cómputo distribuido sin consentimiento).
• Advanced Windows Manager (utilidades maliciosas).
Cómo opera: Bajo una sola descarga inicial, el instalador (con envoltura tipo Inno Setup) ejecuta procesos silenciosos en segundo plano (como eld0.exe o eld3.exe desde %TEMP%) para monetizar tu ancho de banda y capacidad de cómputo




Controles preventivos
Evita las fuentes de software no confiables. No descargues software pirateado, generadores de claves, instaladores de juegos no oficiales ni herramientas de activación de software, ya que son mecanismos comunes de distribución de malware, aplicaciones potencialmente no deseadas y campañas de monetización.
Habilite la protección en la nube. Verifique que la protección en la nube de Microsoft Defender Antivirus esté habilitada para mejorar la detección de malware emergente y aplicaciones potencialmente no deseadas. Consulte: Configurar la protección en la nube.
Mantén activada la protección contra manipulaciones. Utiliza la protección contra manipulaciones para evitar cambios no autorizados en la configuración de seguridad de Microsoft Defender. Consulta: Información sobre la protección contra manipulaciones .
Habilite la protección basada en la reputación. Configure la protección basada en la reputación para ayudar a bloquear aplicaciones y descargas maliciosas y no confiables conocidas. Consulte: Configurar la protección basada en la reputación .
Considere las protecciones de reducción de la superficie de ataque (ASR). Evalúe las reglas de ASR, incluidas las que bloquean los archivos ejecutables a menos que cumplan con los criterios de prevalencia, antigüedad o lista de confianza. Consulte: Revisión de las reglas de reducción de la superficie de ataque .
Acciones de investigación
Investigar la ejecución desde directorios temporales de Inno. Revisar la actividad de rutas como %TEMP%\is-*.tmp\ , particularmente cuando se observan ejecutables preparados como eld*.exe , set_*.exe , FirstFast[1].exe , o SecondRunner[1].exe .
Correlacione la actividad de devolución de llamada de Inno. Supervise las solicitudes salientes que contengan d=inno junto con r=offer_execution o r=offer_execution_fail, y revise la actividad de procesos, archivos y red relacionada durante toda la sesión del instalador.
Revise las tareas programadas inesperadas. Investigue las tareas programadas recién creadas, en particular las que se ejecutan con privilegios de SYSTEM o las funciones recurrentes de supervisión y actualización. Consulte: Auditoría de eventos de creación de tareas programadas .
Audite el inventario de software para detectar instalaciones inesperadas. Revise los puntos finales para detectar la presencia de software como WorldProxyPool, CharityEngine, BOINC, VirtualBox u otras aplicaciones que los usuarios no hayan instalado intencionadamente. Consulte: Revisión del inventario de software en la Administración de vulnerabilidades de Defender .
Detecciones de Microsoft Defender XDR
Microsoft Defender detecta y bloquea las cargas útiles vinculadas a campañas mediante protección en la nube, clasificaciones por aprendizaje automático, inspección de red y supervisión del comportamiento. Entre las detecciones relevantes se incluyen la inyección remota de subprocesos, el inicio de tareas programadas y la actividad HTTP saliente sospechosa.


Los clientes con acceso autorizado también pueden usar Microsoft Security Copilot en Microsoft Defender para investigar y responder a incidentes, buscar amenazas y proteger su organización con información relevante sobre amenazas.