⚠️Windows en riesgo: Malware multi-etapa usa GitHub para infectar y destruir

 

Investigadores de seguridad han identificado una campaña de malware sofisticada de múltiples etapas que afecta a sistemas Windows, diseñada específicamente para neutralizar Microsoft Defender antes de desplegar cargas maliciosas como ransomware, herramientas de vigilancia y troyanos bancarios.

Este ataque no aprovecha una falla de software tradicional, ni una vulnerabilidad técnica exclusiva, sino que hace un uso creativo de ingeniería social, servicios en la nube legítimos y funciones propias del sistema operativo para pasar desapercibido y evadir las defensas tradicionales. 

¿Cómo comienza la infección?

Según los reportes, la cadena de infección inicia con un archivo disfrazado de documento empresarial (por ejemplo, una supuesta hoja contable). Al abrirlo, la víctima ejecuta un acceso directo malicioso (.LNK) que invoca PowerShell con políticas de ejecución bypass.

Este acceso directo descarga un script de carga inicial desde un repositorio en GitHub u otras plataformas de nube, lo que permite que el código malicioso pase entre tráfico “normal” sin ser detectado por mecanismos convencionales.

Neutralizando Microsoft Defender

La parte más preocupante de esta campaña es cómo desactiva Microsoft Defender antes de ejecutar cualquier carga peligrosa. El malware emplea varias técnicas:

• Modifica políticas de registro para apagar la protección en tiempo real y análisis de comportamiento.

• Añade exclusiones que evitan que Defender escanee carpetas clave como “Program Files”, “ProgramData” y “Downloads”.

• Abusa de una herramienta llamada Defendnot — originalmente diseñada como demostración de fallas — para registrar un antivirus falso en el sistema y así forzar el apagado automático de Defender por parte de Windows.

Este enfoque aprovecha cómo Windows gestiona productos antivirus registrados con el sistema, habilitando a los atacantes a apagar la defensa integrada sin alertas visibles para el usuario.

Lo que sigue después del bypass

Una vez que Microsoft Defender queda neutralizado, la campaña se mueve a las siguientes fases de su ejecución maliciosa:

1. Persistencia y distracción: El malware genera documentos señuelo para distraer al usuario y establece comunicaciones con un servidor de mando y control a través de Telegram Bot API.

2. Reconocimiento y vigilancia: Se implementan herramientas para capturar pantallas, registrar actividad del usuario y recolectar información sensible.

3. Bloqueo y destrucción del sistema: Se deshabilitan herramientas administrativas, se eliminan mecanismos de recuperación y se secuestra el acceso a aplicaciones legítimas.

4. Cargas finales: La campaña instala un RAT (Remote Access Trojan) llamado Amnesia para acceso remoto persistente y robo de credenciales de navegador, claves de criptomonedas y datos financieros. En paralelo, se despliega ransomware (como Hakuna Matata) que cifra archivos y muestra mensajes de bloqueo con temporizadores de presión.

¿Por qué esta amenaza es especialmente peligrosa?

Este ataque combina varias capacidades que lo hacen más desafiante de detectar y detener:

• Multi-etapa: cada fase de la infección avanza sigilosamente, reduciendo signos visibles de compromiso temprano.

• Evasión de defensas: al detener antes que nada a Microsoft Defender, la mayoría de mecanismos de protección de Windows ya están fuera de combate.

• Uso de servicios legítimos: alojar scripts iniciales en plataformas confiables como GitHub o Dropbox permite al malware mezclarse con tráfico normal y evitar bloqueos automáticos.

• Ingeniería social: explotar la confianza del usuario con documentos empresariales aumenta la probabilidad de ejecución manual.

¿Cómo protegerse de este tipo de ataque?

Frente a amenazas cada vez más sofisticadas como esta, vale la pena reforzar la seguridad tomando medidas como:

• Evitar abrir archivos sospechosos o no solicitados, incluso si parecen legítimos.

• Monitorear y restringir el uso de PowerShell y otros scripts automatizados sin supervisión.

• Implementar soluciones EDR avanzadas que detecten comportamiento anómalo en memoria, no sólo firmas estáticas.

• Segmentar la red y limitar el acceso a internet desde máquinas con datos sensibles.

• Educar a los usuarios sobre ingeniería social y los riesgos de documentos ejecutables disfrazados.

La campaña de malware multi-etapa que desactiva Microsoft Defender representa un ejemplo claro de cómo los atacantes modernos están evolucionando para evadir defensas tradicionales y maximizar el impacto de sus cargas maliciosas.

Al neutralizar primero la protección integrada en Windows y luego escalar su ataque en fases, estos adversarios pueden robar datos sensibles, implantar puertas traseras persistentes y cifrar los sistemas de sus víctimas con niveles de eficiencia y sigilo inéditos.

Esto subraya la importancia de una combinación de defensa técnica avanzada, monitoreo comportamental y capacitación del usuario para poder anticipar y detener las amenazas más agresivas del 2026.