TamperedChef Malvertising Campaign (Trojanized PDF Editors / Delayed-Activation Infostealer)
TamperedChef Malvertising Campaign es una campaña de malware a gran escala descubierta por HackMoN Ai, que ha convertido herramientas de productividad comunes (específicamente editores de PDF y lectores de manuales de electrodomésticos) en máquinas de exfiltración de datos sigilosas, atacando a organizaciones de todo el mundo. La campaña ha producido más de 4,000 muestras de malware únicas en más de 100 variantes, rastreadas en tres grupos distintos (CL-CRI-1089, CL-UNK-1090 y CL-UNK-1110). El ataque comienza cuando un usuario busca un editor de PDF o un manual de electrodoméstico. Anuncios maliciosos, potenciados por manipulación de SEO, dirigen al usuario a un sitio web fraudulento que aloja un instalador troyanizado (por ejemplo, "AppSuite PDF Editor", "All Manuals Reader"). Fundamentalmente, este instalador está firmado digitalmente con un certificado válido (a menudo recién adquirido, emitido a una empresa fantasma estadounidense con un período de validez de exactamente un año), lo que le permite eludir muchos filtros de seguridad y parecer confiable tanto para los usuarios como para el software de seguridad. Una vez instalada, la aplicación funciona como una herramienta PDF totalmente legítima, realizando todas las tareas esperadas sin levantar sospechas. Sin embargo, en segundo plano, el instalador establece persistencia (por ejemplo, añadiendo una clave Run al registro de Windows o creando tareas programadas) e inicia un período de inactividad (dormant period) que puede durar semanas o incluso meses, a menudo programado para coincidir con la duración típica de 60 días de una campaña de Google Ads y así evitar la detección temprana. Tras el período de inactividad, un comando remoto activa el componente malicioso. El malware descarga y ejecuta un programa de robo de información (infostealer) que: finaliza los procesos del navegador, recopila credenciales y cookies almacenadas mediante DPAPI (Data Protection API) de Windows, y se comunica con un servidor de comando y control (C2) para extraer los datos robados. También puede recuperar cargas útiles adicionales, como puertas traseras, o integrar la máquina comprometida en una red proxy residencial, lo que permite monetizar aún más la infección (por ejemplo, para ataques posteriores o reventa de ancho de banda). La campaña utiliza dominios C2 como inst.productivity-tools.ai, vault.appsuites.ai, y download.allmanualsreader.com. La defensa más importante contra TamperedChef reside en el comportamiento informado del usuario y la implementación de listas de aplicaciones permitidas (AppLocker), filtrado DNS y análisis de certificados.
Nombres Alternativos / Aliases
- TamperedChef Campaign (Nombre principal)
- AppSuite PDF Editor Malware (Por el señuelo)
- Delayed-Activation Infostealer (Por la técnica de inactividad)
- Trojanized PDF Editor Campaign (Por el vector de ataque)
- 4K Malware Samples Campaign (Por el número de muestras)
Fecha de Detección / Actividad
- Fecha de Descubrimiento: Mayo de 2026 (artículo publicado "Hace 2 horas" desde la fecha de consulta)
- Período de Actividad: No especificado, pero la campaña ha producido más de 4000 muestras en 100 variantes, lo que indica actividad sostenida.
- Período de Inactividad (Dormant Period): Semanas o meses (a menudo 60 días, coincidiendo con la duración típica de Google Ads).
- Estado: Activo. La campaña continúa distribuyéndose a través de anuncios maliciosos (malvertising) y SEO poisoning.
Actor de Amenaza (Atribución)
- Nombre del Actor: No atribuido a un grupo específico; rastreado en tres clústeres (CL-CRI-1089, CL-UNK-1090, CL-UNK-1110).
- Tipo de Actor: Grupo de ciberdelincuencia organizada especializado en malvertising, trojanización de software legítimo y robo de credenciales.
- Sofisticación: Alta. El grupo demuestra capacidades avanzadas: (a) adquisición de certificados de firma de código válidos emitidos a empresas fantasma estadounidenses (eludiendo filtros de seguridad), (b) manipulación de SEO para posicionar anuncios maliciosos en resultados de búsqueda, (c) desarrollo de aplicaciones señuelo completamente funcionales (editores de PDF, lectores de manuales) que operan legítimamente durante semanas o meses, (d) implementación de mecanismos de persistencia (Run keys, tareas programadas), (e) uso de períodos de inactividad prolongados para eludir sandboxes y detección temprana, (f) activación remota mediante comando C2, (g) desarrollo de un infostealer que roba credenciales y cookies mediante DPAPI, (h) comunicación C2 sobre HTTP/HTTPS para mezclarse con tráfico legítimo, (i) capacidad de desplegar cargas útiles adicionales (puertas traseras) y convertir máquinas infectadas en proxies residenciales, y (j) producción de más de 4000 muestras únicas en 100 variantes, lo que indica un proceso de generación automatizada o semiautomatizada.
Resumen Ejecutivo
TamperedChef Malvertising Campaign representa una nueva generación de malware que explota la confianza del usuario en herramientas familiares y firmas digitales legítimas, combinando técnicas avanzadas de ingeniería social (malvertising + SEO poisoning) con un período de inactividad prolongado que elude la detección tradicional. La campaña ha producido más de 4,000 muestras de malware únicas en más de 100 variantes, rastreadas en tres grupos distintos (CL-CRI-1089, CL-UNK-1090 y CL-UNK-1110), atacando a organizaciones de todo el mundo. El ataque comienza cuando un usuario busca un editor de PDF o un manual de electrodoméstico. Anuncios maliciosos, potenciados por manipulación de SEO, aparecen en los resultados de búsqueda de Google y dirigen al usuario a un sitio web fraudulento (a menudo con una URL que imita a un proveedor legítimo). Este sitio aloja un instalador troyanizado de una aplicación de productividad común, como "AppSuite PDF Editor" o "All Manuals Reader". El instalador está firmado digitalmente con un certificado válido, a menudo recién adquirido, emitido a una empresa fantasma estadounidense, con un período de validez de exactamente un año (mientras que los certificados legítimos suelen tener validez de 2 o 3 años). Esta firma válida permite que el instalador eluda muchos filtros de seguridad basados en reputación y parezca confiable tanto para los usuarios como para el software antivirus.
Una vez ejecutado, el instalador despliega la aplicación legítima, que funciona como una herramienta PDF completamente funcional, realizando todas las tareas esperadas (abrir, editar, convertir, etc.) sin levantar sospechas. El usuario puede utilizar la aplicación durante semanas sin ningún indicio de comportamiento malicioso. Sin embargo, en segundo plano, el instalador establece persistencia en el sistema mediante múltiples mecanismos: añade una entrada a la clave de registro HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\PDFEditorUpdater (con un argumento –cm=–fullupdate), y también crea tareas programadas que referencian el ejecutable del malware. Luego, el malware inicia un período de inactividad (dormant period) que puede durar semanas o incluso meses, a menudo programado para coincidir con la duración típica de 60 días de una campaña de Google Ads. Este período de inactividad está diseñado específicamente para eludir los sandboxes y las herramientas de análisis automatizadas, que típicamente ejecutan muestras solo durante minutos u horas, no semanas. El malware permanece latente, sin generar tráfico de red sospechoso ni actividad de proceso anómala.
Tras el período de inactividad, el malware recibe un comando remoto desde su servidor de comando y control (C2), que activa el componente malicioso. El C2 se comunica sobre HTTP/HTTPS estándar, utilizando dominios como inst.productivity-tools.ai, vault.appsuites.ai, y download.allmanualsreader.com (nombres diseñados para mezclarse con tráfico de productividad legítimo). Una vez activado, el malware descarga y ejecuta un programa de robo de información (infostealer) que realiza las siguientes acciones: (1) finaliza los procesos de navegadores web (Chrome, Edge, Firefox, etc.) para desbloquear las bases de datos de credenciales; (2) recopila credenciales almacenadas (contraseñas) y cookies de sesión utilizando la API de protección de datos de Windows (DPAPI); (3) comprime los datos robados; (4) los exfiltra al servidor C2. Además de robar credenciales, el malware puede recuperar cargas útiles adicionales, como puertas traseras (backdoors) que proporcionan acceso remoto persistente, o integrar la máquina comprometida en una red proxy residencial, permitiendo al atacante monetizar la infección revendiendo el ancho de banda para actividades ilícitas (como encubrir otros ataques).
La defensa más importante contra TamperedChef reside en el comportamiento informado del usuario y en controles técnicos como: (1) implementación de listas de aplicaciones permitidas (AppLocker o Microsoft Defender Application Control) para restringir la ejecución de ejecutables a rutas y editores aprobados, (2) filtrado DNS para bloquear dominios C2 conocidos, (3) inspección de certificados digitales (verificar emisor, período de validez y coincidencia con el editor), (4) monitoreo de persistencia (Run keys y tareas programadas), y (5) análisis de tráfico de red saliente a destinos sospechosos.
Vectores de Ataque / Métodos de Distribución
- Malvertising con Manipulación de SEO (SEO Poisoning): El usuario busca "editor de PDF" o "manual de electrodoméstico". Los atacantes manipulan el SEO para que sus anuncios maliciosos aparezcan en los resultados de búsqueda de Google, a menudo imitando a proveedores legítimos.
- Sitio Web Fraudulento: El usuario hace clic en el anuncio y es redirigido a un sitio web fraudulento que aloja un instalador troyanizado de una aplicación de productividad (ej., "AppSuite PDF Editor", "All Manuals Reader").
- Instalador Firmado con Certificado Válido: El instalador está firmado digitalmente con un certificado válido, a menudo recién adquirido, emitido a una empresa fantasma estadounidense. La firma válida elude los filtros de seguridad basados en reputación.
- Aplicación Señuelo Funcional: Una vez instalado, la aplicación se comporta como una herramienta PDF legítima y completamente funcional, sin levantar sospechas.
- Persistencia: El instalador establece persistencia mediante claves
Rundel registro de Windows y tareas programadas. - Período de Inactividad (Dormant Period): El malware permanece latente durante semanas o meses (a menudo 60 días) para eludir sandboxes y detección temprana.
- Activación Remota: Tras el período de inactividad, un comando desde el servidor C2 activa el componente malicioso.
- Descarga y Ejecución del Infostealer: El malware descarga un programa de robo de información que finaliza procesos de navegadores, roba credenciales y cookies mediante DPAPI, y las exfiltra al C2.
- Cargas Útiles Adicionales: El malware también puede descargar puertas traseras (backdoors) o integrar la máquina en una red proxy residencial.
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica (MITRE ATT&CK) | Técnica / Subtécnica | Descripción / Implementación |
|---|---|---|
| Initial Access (TA0001) | Drive-by Compromise (T1189) / Phishing (T1566) | Malvertising (anuncios maliciosos) con manipulación de SEO dirige al usuario a sitios fraudulentos. |
| Execution (TA0002) | User Execution: Malicious File (T1204.002) | El usuario ejecuta voluntariamente el instalador troyanizado creyendo que es legítimo. |
| Persistence (TA0003) | Boot or Logon Autostart Execution: Registry Run Keys (T1547.001) | Adición de clave Run en HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\PDFEditorUpdater.
|
| Persistence (TA0003) | Scheduled Task/Job: Scheduled Task (T1053.005) | Creación de tareas programadas que referencian el ejecutable del malware. |
| Defense Evasion (TA0005) | Masquerading (T1036) - Match Legitimate Name or Location (T1036.005) | La aplicación se hace pasar por un editor de PDF legítimo ("AppSuite PDF Editor", "All Manuals Reader"). |
| Defense Evasion (TA0005) | Subvert Trust Controls: Code Signing (T1553.002) | El instalador está firmado con un certificado de código válido (adquirido a través de una empresa fantasma). |
| Defense Evasion (TA0005) | Virtualization/Sandbox Evasion (T1497) - Time Based Evasion (T1497.003) | Período de inactividad prolongado (semanas o meses) para eludir sandboxes con tiempos de análisis cortos. |
| Defense Evasion (TA0005) | Obfuscated Files or Information (T1027) | Múltiples variantes (100+) y más de 4000 muestras ofuscadas. |
| Credential Access (TA0006) | Credentials from Password Stores: Browser (T1555.003) | Robo de credenciales y cookies de navegadores utilizando DPAPI. |
| Credential Access (TA0006) | Steal Web Session Cookie (T1539) | Robo de cookies de sesión para eludir autenticación multifactor (MFA). |
| Collection (TA0009) | Data from Local System (T1005) | Recopilación de credenciales almacenadas localmente. |
| Command and Control (TA0011) | Application Layer Protocol: Web Protocols (T1071.001) | Comunicación C2 sobre HTTP/HTTPS estándar para mezclarse con tráfico legítimo. |
| Command and Control (TA0011) | Encrypted Channel (T1573) | Uso de HTTPS para cifrar comunicaciones C2. |
| Command and Control (TA0011) | Ingress Tool Transfer (T1105) | Descarga de infostealer, puertas traseras y otros payloads desde el C2. |
| Exfiltration (TA0010) | Exfiltration Over C2 Channel (T1041) | Exfiltración de credenciales y cookies robadas al servidor C2. |
| Impact (TA0040) | Financial Theft (sin código ATT&CK específico) | Monetización mediante reventa de credenciales, uso de credenciales para fraude, o integración en red proxy residencial. |
Flujo de Ataque (Cyber Kill Chain - TamperedChef)
- Reconocimiento: Los atacantes identifican palabras clave de búsqueda populares ("editor de PDF", "manual de electrodoméstico") para orientar sus campañas de malvertising.
- Armamento: Los atacantes desarrollan: (a) aplicaciones señuelo funcionales (editores de PDF, lectores de manuales), (b) instaladores troyanizados firmados con certificados válidos (adquiridos a través de empresas fantasma), (c) infostealer para robo de credenciales, (d) infraestructura C2 (dominios como
inst.productivity-tools.ai), y (e) más de 4000 muestras en 100 variantes. - Entrega: Los atacantes ejecutan campañas de malvertising (anuncios maliciosos) en Google, utilizando manipulación de SEO para posicionar sus anuncios. Los usuarios hacen clic en los anuncios y son redirigidos a sitios web fraudulentos.
- Explotación: El usuario descarga y ejecuta voluntariamente el instalador troyanizado, creyendo que es una herramienta legítima. No se explota una vulnerabilidad técnica, sino la psicología del usuario.
- Instalación:
- La aplicación señuelo se instala y funciona como un editor de PDF legítimo (sin comportamiento malicioso visible).
- El malware establece persistencia: clave
Runen el registro y tareas programadas. - El malware inicia un período de inactividad (dormant period) de semanas o meses.
- Comando y Control (C2): Tras el período de inactividad, el malware recibe un comando remoto desde el C2 (HTTP/HTTPS). El comando activa el componente malicioso.
- Acción sobre Objetivos:
- Descarga del Infostealer: El malware descarga y ejecuta el programa de robo de información.
- Robo de Credenciales: El infostealer finaliza procesos de navegadores, roba credenciales y cookies mediante DPAPI.
- Exfiltración: Los datos robados se envían al servidor C2.
- Cargas Útiles Adicionales: El malware también puede descargar puertas traseras (backdoors) o integrar la máquina en una red proxy residencial.
Infraestructura Utilizada
| Tipo | Indicador / Característica | Propósito |
|---|---|---|
| Plataforma de Publicidad | Google Ads (anuncios maliciosos) | Distribución de enlaces a sitios fraudulentos (malvertising). |
| Sitios Web Fraudulentos | Imitan a proveedores legítimos de software (nombres no especificados) | Alojamiento de instaladores troyanizados. |
| Certificados de Firma de Código | Válidos, emitidos a empresas fantasma estadounidenses (período de validez exactamente 1 año) | Firma digital de instaladores para eludir filtros de seguridad. |
| Aplicaciones Señuelo | "AppSuite PDF Editor", "All Manuals Reader" | Herramientas de productividad legítimas que ocultan el malware. |
| Dominios C2 | inst.productivity-tools.ai, vault.appsuites.ai, download.allmanualsreader.com
|
Comando y control, descarga de payloads, exfiltración de datos. |
| Infostealer | Programa de robo de información (no se especifica nombre) | Robo de credenciales y cookies de navegadores. |
| Red Proxy Residencial | Integración de máquinas infectadas | Monetización (reventa de ancho de banda). |
Objetivos y Sectores Afectados
- Objetivo Principal: Usuarios individuales y organizaciones de todo el mundo que buscan herramientas de productividad (editores de PDF, manuales de electrodomésticos).
- Sector Prioritario: General (cualquier sector). Los atacantes utilizan palabras clave de búsqueda populares para atraer a una amplia audiencia.
- Plataformas Afectadas: Windows (las muestras principales están dirigidas a Windows), con principios aplicables a Linux.
- Navegadores Afectados: Chrome, Edge, Firefox (procesos finalizados para robar credenciales y cookies).
- Número de Muestras de Malware: Más de 4,000 muestras únicas.
- Número de Variantes: Más de 100 variantes.
- Grupos Rastreados: CL-CRI-1089, CL-UNK-1090, CL-UNK-1110.
- Distribución Geográfica: Global.
Impacto y Riesgo
- Nivel de Riesgo: Alto para organizaciones que no implementan listas de aplicaciones permitidas (AppLocker) ni filtrado DNS. El período de inactividad prolongado hace que el malware sea difícil de detectar mediante análisis automatizados tradicionales.
- Impacto Potencial:
- Robo de Credenciales Corporativas: Las credenciales robadas de navegadores pueden otorgar a los atacantes acceso a sistemas corporativos, correo electrónico, VPNs y aplicaciones en la nube.
- Secuestro de Sesión (MFA Bypass): Las cookies de sesión robadas permiten a los atacantes eludir la autenticación multifactor.
- Acceso Persistente: Las puertas traseras (backdoors) descargadas proporcionan acceso remoto continuo a los sistemas comprometidos.
- Monetización mediante Proxy Residencial: Las máquinas infectadas pueden ser utilizadas como proxies para encubrir otros ataques (fraude, compras con tarjetas de crédito robadas, etc.), exponiendo a la organización a riesgos legales y reputacionales.
- Pérdida de Confianza en Firmas Digitales: El abuso de certificados de código válidos socava la confianza en las firmas digitales como mecanismo de seguridad.
- Detección Evadida: El período de inactividad de semanas/meses elude los sandboxes tradicionales, que típicamente ejecutan muestras durante minutos u horas.
- Contexto de Escala: Más de 4,000 muestras en 100 variantes y tres grupos distintos indican una operación de malware a gran escala y bien organizada, con capacidad para generar nuevas variantes rápidamente (posiblemente mediante herramientas automatizadas).
Recomendaciones de Mitigación
- Implementación de Listas de Aplicaciones Permitidas (M1038, M1033):
- Utilizar Windows AppLocker o Microsoft Defender Application Control (WDAC) para restringir la ejecución de archivos ejecutables únicamente a rutas y editores aprobados.
- Una regla básica puede denegar todos los archivos ejecutables de las carpetas de descarga de usuarios (ej.,
%USERPROFILE%\Downloads) excepto aquellos firmados por Microsoft o proveedores empresariales de confianza. - Para la aplicación señuelo "AppSuite PDF Editor", AppLocker bloquearía su ejecución si no está en la lista de permitidos.
- Filtrado DNS y Bloqueo de Dominios C2 (M1037):
- Implementar una solución de filtrado DNS (ej., Cisco Umbrella, Cloudflare Gateway, Pi-hole) para bloquear dominios maliciosos conocidos.
- Agregar los siguientes dominios a la lista negra:
text
inst.productivity-tools.ai vault.appsuites.ai download.allmanualsreader.comPara Pi-hole, añadir a/etc/pihole/blacklist.txty ejecutarpihole -g.
- Inspección de Certificados Digitales y Reputación (M1045, M1040):
- Configurar políticas de seguridad para inspeccionar certificados de firma de código. Alertar o bloquear ejecutables firmados con certificados de empresas de reciente creación, con período de validez exactamente de un año, o cuyo "Nombre común" (CN) no coincida con el editor del software.
- Utilizar PowerShell para verificar certificados
powershell
Get-AuthenticodeSignature -FilePath "C:\path\to\AppSuitePDFEditor.exe" | Format-List
Utilizar Sigcheck de Sysinternals para análisis masivos:
cmd
sigcheck64.exe -tv -s C:\Program Files\AppSuite
Revocar y bloquear certificados sospechosos en el almacén local de "Certificados no confiables":
cmd
certutil -addstore -user Disallowed "C:\path\to\badcert.cer"
Monitoreo de Persistencia y Comportamiento (M1040):
- Monitorear claves de registro
Runen busca de entradas sospechosas (ej.,PDFEditorUpdater):
cmd
reg query HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v PDFEditorUpdater reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Monitorear tareas programadas:
cmd
schtasks /query /fo CSV > C:\temp\scheduled_tasks.csv
Monitorear procesos en ejecución:
cmd
tasklist /v | findstr /i "pdf editor"
Get-Process | Where-Object { $_.MainWindowTitle -like "*PDF*" -or $_.MainWindowTitle -like "*AppSuite*" } | Format-Table -AutoSize
- Concientización del Usuario y Simulacros de Malvertising (M1017):
- Educar a los usuarios sobre los riesgos de hacer clic en anuncios de resultados de búsqueda para descargar software. Instruir a los usuarios a navegar directamente al sitio web oficial del proveedor en lugar de hacer clic en anuncios.
- Realizar simulacros de malvertising (mesa de juego): enviar un correo electrónico falsificado o simular un anuncio de Google a un editor de PDF falso, y pedir a los empleados que identifiquen señales de alerta (URL no coincidentes, falta de HTTPS, suplantación de dominio).
Herramientas de Detección
- Análisis de Procesos (Windows):
tasklist,Get-Process(PowerShell) para identificar procesos sospechosos (ej., "PDF Editor.exe", "AppSuite"). - Auditoría de Registro:
reg querypara inspeccionar clavesRun. - Auditoría de Tareas Programadas:
schtaskspara listar tareas programadas. - Inspección de Certificados:
Get-AuthenticodeSignature(PowerShell),sigcheck.exe(Sysinternals). - Análisis de Tráfico de Red:
netstat -anopara conexiones establecidas,Get-NetTCPConnection(PowerShell) para correlacionar PID con procesos. - Filtrado DNS: Pi-hole, Cisco Umbrella, Cloudflare Gateway para bloquear dominios C2.
- Análisis de Archivo Hosts:
type C:\Windows\System32\drivers\etc\hostspara detectar redirecciones DNS maliciosas. - Monitoreo de Endpoints (EDR): Soluciones EDR pueden detectar comportamientos anómalos: finalización de procesos de navegadores, acceso a bases de datos de credenciales (DPAPI), conexiones salientes a dominios C2.
Referencias y Fuentes
- HackMoN Ai. (2026). Se han encontrado 4000 muestras de malware ocultas en tu editor de PDF: la receta de TamperedChef para el desastre. (Artículo proporcionado por el usuario).
- MITRE ATT&CK Framework. Enterprise Matrix. (Para mapeo de TTPs).
Historial de Revisiones
| Fecha | Versión | Autor | Cambios Realizados |
|---|---|---|---|
| 2026-05-21 | 1.0 | Fernando Vargas Hincapié | Creación inicial de la entrada basada en el análisis de HackMoN Ai sobre la campaña TamperedChef. |
Indicadores de Compromiso (IOCs)
| Tipo | Valor |
|---|---|
| Nombre de la Campaña | TamperedChef |
| Número de Muestras de Malware | 4,000+ |
| Número de Variantes | 100+ |
| Grupos Rastreados | CL-CRI-1089, CL-UNK-1090, CL-UNK-1110 |
| Aplicaciones Señuelo | "AppSuite PDF Editor", "All Manuals Reader" |
| Nombre del Ejecutable (Ejemplo) | PDF Editor.exe (presunto, no especificado explícitamente) |
| Clave de Registro de Persistencia | HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\PDFEditorUpdater (con argumento –cm=–fullupdate)
|
| Técnica de Persistencia | Run keys + Scheduled tasks |
| Dominios C2 | inst.productivity-tools.ai, vault.appsuites.ai, download.allmanualsreader.com
|
| Certificados de Firma de Código | Válidos, emitidos a empresas fantasma estadounidenses, período de validez exactamente 1 año |
| Período de Inactividad (Dormant Period) | Semanas o meses (a menudo 60 días) |
| Técnica de Acceso Inicial | Malvertising + SEO poisoning (Google Ads) |
| Mecanismo de Robo de Credenciales | DPAPI (Data Protection API) de Windows |
| Objetivo de Robo | Credenciales y cookies de navegadores (Chrome, Edge, Firefox) |
| Protocolo C2 | HTTP/HTTPS |
| Capacidades Adicionales | Descarga de backdoors, integración en red proxy residencial |
| Comportamiento Anómalo (Procesos) | tasklist /v | findstr /i "pdf editor", Get-Process | Where-Object { $_.MainWindowTitle -like "*PDF*" -or $_.MainWindowTitle -like "*AppSuite*" }
|
| Comportamiento Anómalo (Registro) | reg query HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v PDFEditorUpdater
|
| Comportamiento Anómalo (Tareas Programadas) | schtasks /query /fo LIST /v | findstr /i "pdfeditor"
|
| Comportamiento Anómalo (Red) | netstat -ano | findstr "ESTABLISHED" con conexiones a dominios C2 o IPs sospechosas
|
| Comportamiento Anómalo (Certificados) | Certificados de firma de código con período de validez exactamente 1 año, emitidos a empresas de reciente creación |
| Comportamiento Anómalo (Archivo Hosts) | Inspeccionar C:\Windows\System32\drivers\etc\hosts para redirecciones sospechosas
|
Etiquetas / Categorías
tamperedchef malvertising seo-poisoning trojanized-software pdf-editor-malware infostealer code-signing-abuse digital-certificate delayed-activation dormant-period appsuite all-manuals-reader dpapi credential-theft cookie-theft c2-domains productivity-tools-ai windows-persistence run-keys scheduled-tasks applocker dns-filtering pihole sigcheck hackmon-ai ciberwiki malvertising-campaign 4000-samples 100-variants cl-cri-1089 cl-unk-1090 cl-unk-1110