Descargar un navegador, un antivirus o el software de un periférico desde una página que parece legítima puede acabar en una infección. Microsoft ha documentado una campaña activa que suplanta páginas de descarga de marcas conocidas —incluidos Edge, Kaspersky y Razer— para distribuir instaladores maliciosos diseñados para permanecer en el sistema y reducir sus defensas.
La actividad se ha dirigido especialmente a operaciones en China de organizaciones multinacionales y a usuarios de habla china. Entre las víctimas observadas hay entidades de salud, fabricación, videojuegos, tecnología, logística, administración y educación. No se trata de un fallo de los programas suplantados: el riesgo está en llegar a una página de descarga fraudulenta y ejecutar el archivo que ofrece.
Las páginas imitan marcas conocidas, pero llevan a una misma infraestructura
Los atacantes reproducen la apariencia de páginas de descarga de software legítimo y usan varias marcas como señuelo. Detrás de esas webs, sin embargo, existe una infraestructura de entrega común. El objetivo es aprovechar una costumbre muy extendida: buscar en internet un instalador, identificar una página convincente y pulsar descargar sin comprobar con cuidado el dominio.
Los ficheros conservan nombres parecidos a los de instaladores reales, una elección que reduce las sospechas iniciales. Hay un detalle técnico relevante: el hash cambia con cada descarga. El hash es una huella criptográfica que permite identificar un archivo concreto; si cambia aun cuando el nombre se mantiene, es indicio de que el contenido se está regenerando en el servidor para dificultar los bloqueos basados en una muestra conocida.
Ejecutar ese archivo activa una cadena de ataque más seria que una aplicación no deseada. Los instaladores despliegan carga maliciosa persistente, es decir, capaz de sobrevivir al cierre del programa o al reinicio del ordenador. También intentan debilitar las protecciones del dispositivo y se comunican con servidores bajo control de los atacantes.
Microsoft aprecia similitudes con Silver Fox, sin atribuirla a un Estado
La investigación considera, con confianza moderada, que el conjunto de técnicas encaja con Silver Fox, el nombre público de una campaña previamente conocida. Esa valoración no equivale a identificar de forma concluyente a sus responsables ni a atribuir la actividad a un Estado. Es una distinción importante: las coincidencias operativas ayudan a relacionar incidentes, pero no prueban por sí solas quién los organiza.
Quien necesite instalar Edge, una herramienta de seguridad o el controlador de un dispositivo debería acudir directamente al sitio oficial del fabricante y evitar enlaces o repositorios de origen incierto. Un instalador legítimo no necesita llegar al ordenador desde una web que imita a otra.
SmartScreen y Defender pueden frenar parte de la cadena de infección
Microsoft recomienda bloquear las descargas procedentes de fuentes no fiables y mantener activadas varias capas de protección. Entre ellas están SmartScreen, que evalúa la reputación de archivos y sitios potencialmente peligrosos; la protección de red; y la protección contra manipulaciones, destinada a impedir que un atacante altere las opciones de seguridad. En entornos corporativos, Defender XDR añade capacidades de detección y respuesta sobre los equipos.
Estas barreras no sustituyen la comprobación del origen, pero reducen las opciones de una campaña que cambia los archivos distribuidos para esquivar controles simples.
Ante una descarga dudosa, la decisión más segura es no ejecutarla. Si ya se ha abierto el archivo, conviene aislar el equipo de la red y activar los procedimientos de respuesta de la organización, ya que la campaña busca establecer persistencia y mantener contacto con la infraestructura atacante.
