Una campaƱa de malware camuflada como actualizaciĆ³n de Windows 11 estĆ” poniendo en jaque la seguridad de los usuarios del sistema operativo de Microsoft. Bajo la apariencia de un parche acumulativo para la versiĆ³n 24H2, los atacantes consiguen que la propia vĆctima instale en su ordenador un ladrĆ³n de informaciĆ³n capaz de hacerse con contraseƱas, datos bancarios y credenciales de acceso a mĆŗltiples servicios.
La estafa se apoya en una pĆ”gina web que copia casi al milĆmetro el portal de soporte de Microsoft, con textos tĆ©cnicos, nĆŗmero de referencia de la base de conocimientos (KB) y un llamativo botĆ³n azul de descarga. El resultado es un seƱuelo muy convincente que pasa el filtro visual incluso de usuarios con cierta experiencia y que, para mĆ”s inquietud, en un primer momento no fue detectado por ninguno de los principales motores antivirus.
CĆ³mo funciona la falsa actualizaciĆ³n de Windows 11
El ataque arranca en un sitio fraudulento registrado con un dominio muy parecido a los oficiales de Microsoft, una tĆ©cnica conocida como typosquatting. Uno de los dominios detectados, por ejemplo, es microsoft-update.support, que visualmente puede confundirse con una pĆ”gina legĆtima, sobre todo si el usuario accede desde un enlace en un correo o mensaje.
En esta web los ciberdelincuentes ofrecen una supuesta āactualizaciĆ³n acumulativa para Windows 11 24H2ā. El contenido incluye descripciones sobre parches de seguridad del kernel, mejoras del menĆŗ Inicio y optimizaciones del rendimiento, todo ello presentado con el estilo tĆpico de la base de conocimientos de Microsoft. El objetivo es que el usuario piense que estĆ” ante una descarga imprescindible para mantener su equipo al dĆa.
Al pulsar en el gran botĆ³n azul de descarga, la vĆctima obtiene un archivo llamado WindowsUpdate1.0.0.msi (en algunos casos con ligeras variaciones en el nombre), con un tamaƱo aproximado de 83 MB. A simple vista, el paquete es impecable: estĆ” creado con WiX Toolset, una herramienta legĆtima para generar instaladores de Windows, y en sus propiedades figura āMicrosoftā como autor, con comentarios que lo describen como un instalador de componentes de Windows Update.
Los investigadores han constatado que incluso el nĆŗmero de artĆculo KB presentado en la web parece verosĆmil, reforzando la sensaciĆ³n de estar ante un parche autĆ©ntico. Todo ello hace que la mayorĆa de usuarios no encuentren nada sospechoso, especialmente porque el archivo no provoca avisos inmediatos de seguridad.
Una vez que el usuario ejecuta el instalador MSI, este despliega una aplicaciĆ³n basada en Electron en la carpeta AppData del sistema (por ejemplo, en C:\Users\<USUARIO>\AppData\Local\Programs\WindowsUpdate\). El binario principal, renombrado como WindowsUpdate.exe, es en realidad el ejecutable estĆ”ndar de Electron, lo que explica que muchos motores antivirus lo consideren inicialmente un archivo limpio.
Un ladrĆ³n de datos oculto en Electron y Python
La parte realmente peligrosa se esconde en el cĆ³digo JavaScript empaquetado dentro de la aplicaciĆ³n Electron, un Ć”rea que muchas soluciones de seguridad no analizan a fondo. AllĆ se alojan varios archivos muy ofuscados que contienen la lĆ³gica del programa de robo de informaciĆ³n, con funciones de cifrado (por ejemplo, basadas en pbkdf2, SHA-256 y AES) y comprobaciones de validez de la campaƱa.
Junto al ejecutable principal se incluye un script AppLauncher.vbs, que actĆŗa como lanzador. Este archivo se ejecuta mediante cscript.exe, lo que da al proceso una apariencia rutinaria en los registros del sistema. A partir de ahĆ, el malware inicia un intĆ©rprete de Python renombrado (por ejemplo, _winhost.exe), que descomprime un entorno completo de Python en rutas temporales como C:\Users\<USUARIO>\AppData\Local\Temp\WinGet\tools\.
El cĆ³digo malicioso instala a continuaciĆ³n varios paquetes de Python tĆpicos de herramientas de espionaje digital, entre ellos:
- pycryptodome, para cifrar la informaciĆ³n recopilada antes de enviarla.
- psutil, que permite inspeccionar procesos en ejecuciĆ³n y detectar entornos de anĆ”lisis o sandbox.
- pywin32 y PythonForWindows, que facilitan el acceso avanzado a componentes internos de Windows.
Desde ese entorno, el infostealer comienza a interactuar con el sistema operativo y con las aplicaciones instaladas. En cuestiĆ³n de segundos, el programa recopila la direcciĆ³n IP pĆŗblica y la geolocalizaciĆ³n aproximada del dispositivo, conectĆ”ndose a servicios como myexternalip.com e ip-api.com. Esta huella digital inicial sirve a los atacantes para saber desde quĆ© paĆs se estĆ” produciendo la infecciĆ³n y adaptar, si lo desean, la campaƱa a ese contexto.
DespuĆ©s de este reconocimiento, el malware se comunica con su infraestructura de mando y control (C2), empleando dominios alojados en servicios populares como Render y Cloudflare Workers, por ejemplo datawebsync-lvmv.onrendercom y sync-service.system-telemetry.workersdev. Nombres como āsystem-telemetryā estĆ”n cuidadosamente escogidos para pasar por trĆ”fico de monitorizaciĆ³n legĆtimo en una revisiĆ³n rĆ”pida de registros de red.
La exfiltraciĆ³n de la informaciĆ³n robada se realiza a travĆ©s de plataformas de almacenamiento de archivos como store8.gofileio, que permiten subir datos de forma anĆ³nima y temporal. Este tipo de servicios se ha convertido en un recurso habitual para los grupos criminales porque apenas deja rastro vinculable directamente a los operadores.
QuƩ datos roba y por quƩ la amenaza es tan seria
Una vez activo, el programa se comporta como un ladrĆ³n de informaciĆ³n (infostealer) muy completo. Su objetivo principal es hacerse con todo aquello que pueda tener valor econĆ³mico o permitir el acceso a cuentas personales y corporativas.
Entre los datos que puede extraer se incluyen credenciales almacenadas en navegadores web (usuarios y contraseƱas), cookies de sesiĆ³n, formularios guardados y detalles de mĆ©todos de pago vinculados al navegador. En la prĆ”ctica, esto equivale a poner en bandeja el acceso a correo electrĆ³nico, redes sociales, banca online y otros servicios crĆticos.
El malware tambiĆ©n es capaz de alterar aplicaciones basadas en Electron, como la popular plataforma de mensajerĆa Discord. El cĆ³digo detectado modifica los archivos de la aplicaciĆ³n para interceptar tokens de autenticaciĆ³n, informaciĆ³n de inicio de sesiĆ³n, datos de pago asociados y cambios en la verificaciĆ³n en dos pasos cada vez que el usuario abre el programa.
AdemĆ”s de la recogida masiva de datos, se ha observado una intensa actividad con ejecuciones repetidas de taskkill.exe, lo que sugiere que el infostealer cierra procesos de seguridad, navegadores y posiblemente otros malware competidores antes de iniciar su rutina de robo. De esta forma, reduce la probabilidad de interferencias y aumenta la eficacia de la exfiltraciĆ³n.
Todo esto se lleva a cabo sin mostrar ventanas extraƱas ni avisos visibles para la persona afectada. El Ćŗnico rastro puede ser un ligero rendimiento anĆ³malo del equipo o la apariciĆ³n de accesos directos que el usuario no recuerda haber creado, algo que resulta fĆ”cil pasar por alto en el dĆa a dĆa.
CĆ³mo consigue burlar a los antivirus y mantenerse en el sistema
Uno de los aspectos que mĆ”s preocupa a los expertos es que, en el momento del anĆ”lisis inicial, ninguno de los 69 motores antivirus de VirusTotal detectĆ³ el ejecutable principal como malicioso, ni la mayorĆa identificaba el lanzador VBS como una amenaza. No es tanto un fallo puntual de una soluciĆ³n concreta como el resultado de la arquitectura cuidadosamente diseƱada del ataque.
Por un lado, Electron Shell es un binario legĆtimo distribuido y utilizado por millones de aplicaciones, por lo que, aislado, no genera sospechas. Por otro, la lĆ³gica daƱina se oculta en scripts JavaScript muy ofuscados y en mĆ³dulos de Python que se descargan o despliegan en tiempo de ejecuciĆ³n, un enfoque que dificulta la creaciĆ³n de firmas estĆ”ticas o reglas YARA eficaces.
Cada componente de la cadena āel instalador MSI, el lanzador en VBScript, la aplicaciĆ³n Electron, el intĆ©rprete de Python renombrado y la comunicaciĆ³n con servidores C2ā parece inocuo cuando se observa por separado. Solo un anĆ”lisis que conecte todos los pasos, desde la instalaciĆ³n hasta la exfiltraciĆ³n de datos, permite ver el conjunto como una operaciĆ³n de malware bien orquestada.
Para garantizar su persistencia, el cĆ³digo malicioso efectĆŗa cambios en el registro de Windows. EspecĆficamente, crea una entrada llamada SecurityHealth en la clave HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, apuntando a WindowsUpdate.exe dentro de la carpeta de programas del usuario. Al usar un nombre que recuerda al componente de salud de seguridad de Windows, pasa fĆ”cilmente desapercibido incluso para personal tĆ©cnico.
Al mismo tiempo, el malware genera un acceso directo falso denominado Spotify.lnk en la carpeta de inicio del menĆŗ de programas del usuario. Cualquier persona que vea ese acceso directo podrĆa pensar que simplemente ha configurado Spotify para arrancar con el sistema, sin sospechar que, en realidad, estĆ” ayudando a que el infostealer se ejecute en cada inicio de sesiĆ³n.
CampaƱa centrada en Europa y riesgo para usuarios en EspaƱa
La operaciĆ³n fue identificada inicialmente por Malwarebytes en una campaƱa orientada al pĆŗblico francĆ³fono. El sitio fraudulento aparecĆa Ćntegramente en francĆ©s y se dirigĆa a usuarios de Windows 11 en Francia, un paĆs especialmente golpeado en los Ćŗltimos aƱos por grandes filtraciones de datos personales.
Diversos incidentes, como las brechas sufridas por grandes proveedores de Internet y servicios pĆŗblicos, han dejado expuesta informaciĆ³n de millones de ciudadanos: nombres, direcciones, nĆŗmeros de telĆ©fono e incluso datos bancarios. Este contexto facilita que los atacantes combinen bases de datos filtradas con campaƱas de phishing muy localizadas, como esta falsa actualizaciĆ³n de Windows en francĆ©s que encaja a la perfecciĆ³n con lo que muchos usuarios esperan ver.
Aunque la pĆ”gina descubierta estaba redactada en francĆ©s, los expertos alertan de que este tipo de operaciones se replica con rapidez en otros idiomas y paĆses. EspaƱa, junto con otros estados europeos como Alemania, Italia o el Reino Unido, figura entre los objetivos habituales de las redes de robo de credenciales, por lo que no serĆa extraƱo ver variantes en castellano dirigidas a usuarios de la regiĆ³n.
Para los usuarios espaƱoles y europeos que utilizan Windows 11, el riesgo es claro: basta con seguir un enlace recibido por correo, SMS o redes sociales que lleve a una supuesta pƔgina de soporte de Microsoft para acabar instalando el mismo tipo de infostealer. El hecho de que el archivo MSI imite tan bien un parche oficial hace que el engaƱo pueda colar sin demasiada dificultad.
En este contexto, las empresas de la regiĆ³n āespecialmente pymes y administraciones con recursos limitados en ciberseguridadā se convierten tambiĆ©n en un objetivo apetecible. Una sola mĆ”quina comprometida en una red corporativa puede abrir la puerta a robo de credenciales de acceso remoto, cuentas de correo profesionales y herramientas internas de trabajo.
CĆ³mo saber si puedes estar infectado y quĆ© pasos dar
Si crees que podrĆas haber instalado recientemente una supuesta actualizaciĆ³n manual de Windows 11 fuera de los canales oficiales, conviene actuar con rapidez y revisar algunos puntos clave del sistema. No se trata de entrar en pĆ”nico, pero sĆ de comprobar si hay indicios claros de compromiso.
En primer lugar, es recomendable comprobar la clave de ejecuciĆ³n automĆ”tica en el registro de Windows. Desde el menĆŗ Ejecutar (tecla Windows + R), escribe regedit y navega hasta HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run. Si aparece una entrada llamada SecurityHealth apuntando a un ejecutable āWindowsUpdate.exeā dentro de tu carpeta AppData, lo mĆ”s prudente es eliminarla.
En segundo lugar, revisa la carpeta de inicio del menĆŗ de programas, ubicada habitualmente en C:\Users\<USUARIO>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\. La presencia de un acceso directo llamado Spotify.lnk que no recuerdes haber configurado puede ser otro sĆntoma de infecciĆ³n.
TambiĆ©n es aconsejable buscar y borrar la posible carpeta de programa malicioso, por ejemplo C:\Users\<USUARIO>\AppData\Local\Programs\WindowsUpdate\, asĆ como eliminar el contenido sospechoso en rutas temporales como C:\Users\<USUARIO>\AppData\Local\Temp\WinGet\tools\. Estos directorios se emplean para alojar el ejecutable de Electron, el lanzador VBS y el entorno de Python utilizado por el infostealer.
Una vez hecho esto, resulta fundamental cambiar inmediatamente todas las contraseƱas guardadas en el navegador y en aplicaciones sensibles. Hay que dar por perdido cualquier token de sesiĆ³n, cookie o credencial almacenada, especialmente aquellos vinculados a banca online, correo electrĆ³nico principal, redes sociales y servicios de trabajo remoto. Siempre que sea posible, conviene activar o reforzar la autenticaciĆ³n en dos pasos.
Buenas prƔcticas para evitar caer en este tipo de fraudes
La principal lĆnea de defensa frente a esta amenaza no es tanto la tecnologĆa como los hĆ”bitos de uso del propio usuario. Aunque la campaƱa estĆ© muy trabajada, hay una serie de seƱales y buenas prĆ”cticas que ayudan a reducir drĆ”sticamente el riesgo de caer en la trampa.
Lo mĆ”s importante es no descargar nunca actualizaciones de Windows 11 desde enlaces externos enviados por correo electrĆ³nico, mensajerĆa instantĆ”nea, redes sociales o pĆ”ginas de terceros. Microsoft distribuye los parches de seguridad a travĆ©s de la herramienta integrada Windows Update y, para casos especĆficos, mediante el CatĆ”logo oficial de Microsoft Update (catalog.update.microsoft.com) o herramientas oficiales como Media Creation Tool. Cualquier otra fuente deberĆa considerarse sospechosa.
TambiĆ©n conviene acostumbrarse a revisar con atenciĆ³n la barra de direcciones del navegador. Las pĆ”ginas legĆtimas de Microsoft se alojan siempre en dominios que terminan en microsoft.com. Si la direcciĆ³n incluye variaciones como guiones adicionales, palabras extra (por ejemplo, āsupportā, āupdateā, āhelpdeskā) u otras terminaciones de dominio, hay bastantes posibilidades de estar ante un seƱuelo.
Si recibes un mensaje que insiste en la necesidad de instalar una āactualizaciĆ³n urgenteā, lo prudente es ignorar el enlace y acudir manualmente al menĆŗ de configuraciĆ³n de Windows. Desde Inicio > ConfiguraciĆ³n > Windows Update > Buscar actualizaciones podrĆ”s comprobar si realmente hay parches pendientes sin depender de pĆ”ginas externas ni de ficheros descargados a mano.
AdemĆ”s, puede resultar Ćŗtil activar las actualizaciones automĆ”ticas del sistema, de forma que Windows se encargue de instalar los parches oficiales sin necesidad de recurrir a descargas manuales. Esto no solo reduce el riesgo de engaƱo, sino que tambiĆ©n contribuye a mantener el equipo protegido frente a vulnerabilidades reales.
Por Ćŗltimo, es recomendable contar con una soluciĆ³n de seguridad que combine anĆ”lisis de firmas y detecciĆ³n por comportamiento. Aunque este tipo de campaƱas logre inicialmente escapar a algunos motores antivirus, las actualizaciones posteriores suelen incorporar reglas especĆficas para bloquearlas. Aun asĆ, es importante recordar que la ausencia de alertas no equivale a garantĆa absoluta de inocuidad.
La falsa actualizaciĆ³n de Windows 11 24H2 ilustra hasta quĆ© punto los programas de robo de datos han refinado sus mĆ©todos: combinan instaladores legĆtimos, envoltorios aparentemente inofensivos y cargas Ćŗtiles ofuscadas para camuflarse entre procesos normales del sistema. En un escenario asĆ, mantener la calma, desconfiar de las descargas externas y acostumbrarse a verificar siempre la procedencia de las actualizaciones se ha convertido, tanto para usuarios particulares como para empresas en EspaƱa y el resto de Europa, en una pieza clave de la seguridad diaria.
