Operation FakeTemu Airdrop

Operation FakeTemu Airdrop es el nombre que recibe una campaña de malware en curso que utiliza señuelos de criptomonedas y la técnica "ClickFix" para engañar a las víctimas y que ejecuten código malicioso en sus propios sistemas. La operación explota la confianza en la conocida plataforma de compras Temu, promocionando un "airdrop" de una criptomoneda ficticia llamada $TEMU para atraer a las víctimas. La campaña es particularmente sigilosa, ya que despliega una puerta trasera escrita en Python que ejecuta código directamente en la memoria, cargado dinámicamente desde un servidor de comando y control (C2), lo que dificulta enormemente su detección por parte del software de seguridad tradicional basado en firmas.

Nombres Alternativos / Aliases

• Falso Airdrop de $TEMU (Nombre descriptivo del señuelo)
• Campaña ClickFix de Temu Coin (Por la técnica de ingeniería social utilizada)
• Puerta Trasera Python sin Archivos (Por la naturaleza de la carga útil final)
• Estafa de Criptomoneda Temu (Término genérico para la estafa)

Fecha de Detección / Actividad

• Período de Actividad Observado: Al menos desde marzo de 2026.
• Fecha de Divulgación Pública: 13 de marzo de 2026 (Reportado por medios de seguridad como Stefan Dasic).
• Estado: Activa / En curso. Los atacantes continúan refinando la infraestructura y las tácticas para evadir la detección.

Actor de Amenaza (Atribución)

• Atribución: No se atribuye a un grupo específico. Se trata de una campaña de malware como servicio (MaaS) o llevada a cabo por actores cibercriminales con motivación financiera.
• Tipo de Actor: Cibercriminales.
• Motivación: Financiera. Los objetivos finales pueden incluir el robo de credenciales y cookies de sesión (para fraudes o venta en foros), el secuestro de recursos del sistema para minería de criptomonedas, o el acceso inicial para otros ataques (como ransomware).
• Sofisticación: Media-Alta. Aunque la técnica inicial (ClickFix) es conocida, la capacidad de modificar dinámicamente la carga útil en memoria y perfilando a las víctimas con IDs únicos demuestra una sofisticación considerable para evadir defensas automatizadas.

Resumen Ejecutivo

Operation FakeTemu Airdrop es una campaña de malware que combina una elaborada estafa de ingeniería social con una puerta trasera avanzada y sin archivos. Los atacantes crean un sitio web falso muy convincente que anuncia un falso "airdrop" de una criptomoneda llamada $TEMU, aprovechando el nombre y la reputación de la popular plataforma de compras Temu.

La campaña emplea la técnica "ClickFix" para lograr la infección inicial. La víctima es guiada a través de un falso proceso de verificación CAPTCHA, que en realidad son instrucciones paso a paso para abrir el diálogo "Ejecutar" (Win+R) y pegar un comando malicioso en su propio sistema. Una vez ejecutado, el comando descarga un cargador que recopila información del equipo víctima y la envía al servidor de los atacantes. A cambio, el servidor envía una carga útil de PowerShell personalizada que contiene un ID único para esa víctima.

Esta carga útil despliega una puerta trasera utilizando un runtime de Python "sin ventanas" (pythonw.exe) . La característica más distintiva de la operación es que el código malicioso de Python no se almacena en el disco, sino que se recupera dinámicamente del servidor C2 y se ejecuta directamente en la memoria. Esto, combinado con la generación de cargas útiles únicas para cada víctima, hace que la detección basada en firmas de archivos sea prácticamente ineficaz. Una vez instalada, la puerta trasera puede ser utilizada para robar credenciales, registrar pulsaciones de teclado, tomar capturas de pantalla y moverse lateralmente por la red.

Vectores de Ataque

• Ingeniería Social (ClickFix): El único vector de ataque inicial. No se explota ninguna vulnerabilidad técnica. El atacante crea un sitio web fraudulento y utiliza técnicas de persuasión para que la víctima ejecute voluntariamente un comando malicioso.
  1. Atracción: La víctima llega a un sitio web falso que promociona un "airdrop de $TEMU", probablemente a través de enlaces en redes sociales, anuncios maliciosos o correos de phishing.
  2. Engaño: Al hacer clic en un falso CAPTCHA ("No soy un robot"), se abre una ventana que simula una verificación de seguridad.
  3. Ejecución: La ventana proporciona instrucciones claras, a menudo con un video tutorial, para que la víctima abra el diálogo "Ejecutar" (Win+R) y pegue un comando (que ya ha sido copiado al portapapeles por el sitio web). Al presionar Enter, la víctima ejecuta el comando de los atacantes en su propia máquina.

Técnicas, Tácticas y Procedimientos (TTPs)

Táctica (MITRE ATT&CK)	Técnica	Descripción / Implementación
Ejecución (TA0002)	Command and Scripting Interpreter: PowerShell (T1059.001)	El comando pegado por la víctima ejecuta un script de PowerShell que actúa como cargador inicial.
Ejecución (TA0002)	Command and Scripting Interpreter: Python (T1059.006)	La puerta trasera final se ejecuta como un script de Python mediante un runtime autónomo (pythonw.exe).
Persistencia (TA0003)	Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder (T1547.001)	Potencial. Aunque no se detalla en el informe, es común que este tipo de puertas traseras se añadan al inicio para mantener la persistencia.
Evasión de Defensas (TA0005)	Obfuscated Files or Information (T1027)	El script de PowerShell y el código de Python pueden estar ofuscados para evadir escáneres. El uso de pythonw.exe evita la creación de una ventana de consola visible.
Evasión de Defensas (TA0005)	Process Injection (T1055)	Potencial. El script de Python podría inyectarse en procesos legítimos.
Evasión de Defensas (TA0005)	Virtualization/Sandbox Evasion (T1497)	El perfilado inicial del host podría utilizarse para identificar si el sistema es una sandbox y detener la infección.
Evasión de Defensas (TA0005)	Impair Defenses: Disable or Modify Tools (T1562.001)	Potencial. El código descargado podría intentar deshabilitar software de seguridad.
Evasión de Defensas (TA0005)	Reflective Code Loading (T1620)	Técnica clave. El código Python malicioso no se escribe en el disco, sino que se carga y ejecuta directamente desde la memoria después de ser recuperado del servidor C2.
Acceso de Credenciales (TA0006)	Credentials from Password Stores (T1555)	El código Python puede robar credenciales y cookies de sesión almacenadas en los navegadores web.
Descubrimiento (TA0007)	System Information Discovery (T1082)	El cargador inicial recopila información del host (ID de máquina, etc.) y la envía al servidor C2 para personalizar la carga útil.
Descubrimiento (TA0007)	Peripheral Device Discovery (T1120)	Potencial. Podría descubrir dispositivos conectados.
Descubrimiento (TA0007)	Software Discovery (T1518)	El código Python puede descubrir qué software de seguridad está instalado.
Descubrimiento (TA0007)	System Network Configuration Discovery (T1016)	El código puede mapear la red local para el movimiento lateral.
Colección (TA0009)	Input Capture: Keylogging (T1056.001)	El código Python puede registrar las pulsaciones de teclado.
Colección (TA0009)	Screen Capture (T1113)	El código Python puede tomar capturas de pantalla.
Colección (TA0009)	Data from Local System (T1005)	El código puede buscar y exfiltrar documentos y archivos sensibles.
Mando y Control (TA0011)	Application Layer Protocol: Web Protocols (T1071.001)	La puerta trasera se comunica con el servidor C2 mediante peticiones web (probablemente HTTP/S) para recibir nuevas instrucciones y exfiltrar datos.
Mando y Control (TA0011)	Ingress Tool Transfer (T1105)	El servidor C2 envía nuevos fragmentos de código Python a la víctima para su ejecución en memoria.

Flujo de Ataque (Kill Chain)

1. Reconocimiento e Inteligencia: Los atacantes crean un sitio web falso y atractivo sobre un airdrop de una moneda "Temu" inexistente. Identifican a los usuarios de Temu o entusiastas de las criptomonedas como su objetivo principal.
2. Compromiso Inicial (Entrega): El enlace al sitio falso se difunde a través de redes sociales, anuncios maliciosos o campañas de phishing. La víctima, confiando en la marca Temu, accede al sitio.
3. Ejecución del Usuario (ClickFix): La víctima, engañada por el falso CAPTCHA y las instrucciones en video, ejecuta el comando malicioso copiado al portapapeles, abriendo la puerta al sistema.
4. Perfilado del Host: El script inicial de PowerShell se ejecuta, recopila un identificador único del equipo y lo envía al servidor C2.
5. Carga de la Puerta Trasera (Payload): El servidor C2 responde con un script de PowerShell que contiene el ID único de la víctima y que descarga e instala un runtime de Python oculto (pythonw.exe).
6. Comunicación Continua y Ejecución en Memoria: El proceso Python se conecta al servidor C2. En lugar de un archivo estático, el servidor envía fragmentos de código Python que se ejecutan directamente en la memoria de la víctima.
7. Acciones sobre el Objetivo: Dependiendo del código enviado, el atacante puede:
   • Robar credenciales y cookies del navegador.
   • Registrar las pulsaciones de teclado.
   • Tomar capturas de pantalla.
   • Buscar y exfiltrar documentos.
   • Usar el equipo como un proxy para atacar a otros en la red.
   • Instalar mineros de criptomonedas.

Infraestructura Utilizada

Tipo	Ejemplos / Características	Propósito
Servidores Web (Fase 1)	Dominios como temucoin[.]lat. Sitios web falsos muy bien diseñados que imitan proyectos de criptomonedas.	Alojar el señuelo del airdrop y el código de la técnica ClickFix.
Servidores C2 (Fase 2)	Infraestructura que aloja los scripts de PowerShell personalizados y sirve los fragmentos de código Python.	Distribuir cargas útiles únicas, comandar la puerta trasera, recibir datos robados.
Canales de Notificación	API de Telegram (observada pero con una bandera de depuración desactivada).	Notificar a los atacantes en tiempo real cuando una nueva víctima es infectada.
Herramientas Legítimas Abusadas	Win+R, PowerShell, pythonw.exe.	Herramientas nativas del sistema operativo y runtime de Python utilizadas para ejecutar el código malicioso.

Objetivos y Sectores Atacados

• Objetivo Principal: Usuarios finales de habla hispana/inglesa interesados en criptomonedas y compras en línea, específicamente clientes de la plataforma Temu.
• Alcance: Global, pero probablemente dirigido a regiones donde Temu tiene una alta penetración de mercado (América del Norte, Europa).
• Sectores: No específico de una industria. Cualquier persona con un ordenador Windows es un objetivo potencial.
• Sistemas Afectados: Sistemas operativos Microsoft Windows.

Impacto y Riesgo

• Nivel de Riesgo: Alto para usuarios finales.
• Impacto en la Confidencialidad: Robo de credenciales de acceso a cuentas bancarias, redes sociales, correo electrónico y cookies de sesión, lo que permite el secuestro de cuentas. Exfiltración de documentos personales o laborales.
• Impacto en la Integridad: El sistema puede ser modificado para incluir puertas traseras, minadores de criptomonedas u otro malware. Puede ser utilizado como punto de apoyo para atacar a otras personas en la misma red.
• Impacto en la Disponibilidad: El sistema puede volverse más lento debido a la minería de criptomonedas o ser utilizado en ataques DDoS.
• Carácter de la Amenaza: Es una amenaza polivalente. El daño final depende de las intenciones del atacante en cada momento, ya que el código en memoria puede ser cambiado dinámicamente. La dificultad de detección aumenta el riesgo de que las infecciones pasen desapercibidas durante largos períodos.

Recomendaciones de Mitigación

Recomendaciones Técnicas (Mitigación)

• Deshabilitar Scripting Innecesario: Si no es absolutamente necesario para la productividad, considere restringir o deshabilitar la ejecución de PowerShell y Python mediante políticas de grupo (GPO) o AppLocker.
• Bloqueo de Aplicaciones (AppLocker/Windows Defender Application Control): Implementar políticas que solo permitan la ejecución de aplicaciones firmadas y confiables desde rutas controladas, bloqueando la ejecución de pythonw.exe desde rutas de usuario como %LOCALAPPDATA%.
• Protección del Portapapeles: Utilizar herramientas de seguridad (como Malwarebytes Browser Guard) que alerten o bloqueen cuando un sitio web intente copiar código al portapapeles sin interacción del usuario.
• Principio de Mínimo Privilegio: Asegurarse de que los usuarios no tengan permisos de administrador en sus equipos para limitar el daño que el malware pueda causar.

Recomendaciones Preventivas (Basadas en MITRE ATT&CK)

• User Training (M1017): Educar a los usuarios sobre las tácticas de ingeniería social, en particular la técnica "ClickFix". Enfatizar que ningún sitio web legítimo les pedirá que abran "Ejecutar" y peguen comandos para verificar su identidad. Enseñar a desconfiar de los CAPTCHA falsos y las instrucciones en video que guían a ejecutar comandos.
• Application Isolation and Sandboxing (M1048): Utilizar navegadores web en entornos aislados o sandbox para reducir el impacto de visitar un sitio malicioso.
• Behavior Prevention on Endpoint (M1040): Implementar soluciones EDR que monitoricen el comportamiento anómalo de procesos, como powershell.exe o pythonw.exe iniciando conexiones de red inusuales, accediendo a la memoria de otros procesos (para robo de credenciales) o leyendo archivos de bases de datos de navegadores.
• Restrict File and Directory Permissions (M1022): Limitar los permisos de escritura en las carpetas de inicio de los usuarios para evitar la instalación de runtimes no autorizados.
• Antivirus/Antimalware (M1049): Mantener el software antimalware actualizado con capacidades de detección heurística y de comportamiento, no solo basadas en firmas.

Herramientas de Detección

• Soluciones EDR (Endpoint Detection and Response): Plataformas como CrowdStrike, SentinelOne o Microsoft Defender for Endpoint pueden detectar:
  • Ejecución de pythonw.exe desde ubicaciones no estándar (ej. %LOCALAPPDATA%\Programs\Python\Python3133\).
  • Procesos de PowerShell o Python que realizan un número inusualmente alto de peticiones de red.
  • Acceso de scripts de Python a archivos de bases de datos de navegadores (para robo de cookies/credenciales).
  • Inyección de código o técnicas de "scripting" en memoria.
• SIEM con Correlación de Eventos: Correlacionar eventos de ejecución de procesos (Event ID 4688 en Windows) con conexiones de red salientes a dominios sospechosos o recién registrados.
• Herramientas de Análisis de Scripts: Analizar scripts de PowerShell y Python sospechosos en sandboxes para identificar su comportamiento.
• Monitorización del Portapapeles: Herramientas de seguridad del navegador que alertan sobre accesos no autorizados al portapapeles.

Indicadores de Compromiso (IOCs)

Artefactos en el Sistema de la Víctima

• Rutas de Archivo/Carpeta:
  • %LOCALAPPDATA%\Programs\Python\Python3133\ (Presencia de un runtime de Python no instalado por el usuario).
  • %TEMP%\temp_settings (Archivo marcador dejado por la campaña).
• Procesos:
  • pythonw.exe ejecutándose desde \AppData\ o \Program Files\Python3133\ (Verificar en el Administrador de tareas, pestaña Inicio/Detalles).
• Claves de Registro:
  • Potencial. Buscar entradas de ejecución automática que apunten a pythonw.exe con scripts en %TEMP%.

Herramientas de los Atacantes

• Scripts Maliciosos: Scripts de PowerShell y Python ofuscados que actúan como cargadores y puertas traseras.
• Runtime de Python Portable: Una copia autónoma de pythonw.exe (posiblemente la versión 3.13.3) empaquetada con la puerta trasera.

Infraestructura de C2 y Extorsión

• Dominios:
  • temucoin[.]lat (Dominio del sitio web falso del airdrop).
  • Otros dominios utilizados para alojar los scripts y la comunicación C2 (aún no identificados públicamente, pero se debe monitorear tráfico a destinos desconocidos desde procesos pythonw.exe).

Referencias y Fuentes

• Dasic, S. (2026, Marzo 13). Los estafadores se hacen pasar por Temu en una estafa relacionada con el airdrop de $Temu en ClickFix. (Artículo original).
• MITRE ATT&CK Framework: Mapeo de TTPs (T1059, T1620, T1056, T1113, T1105, etc.).

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-03-17	1.0	Fernando Vargas Hincapié	Creación inicial de la entrada en la wiki basada en el análisis de la campaña de estafa de Temu.

Etiquetas / Categorías

temu clickfix malware phishing python puerta-trasera sin-archivos airdrop estafa cibercrimen windows powershell t1059 t1620 ciberwiki dfir threat-intelligence