Buscar una aplicación para Windows 11 en Google y descargar el primer resultado es una práctica habitual para millones de usuarios. Sin embargo, investigadores de seguridad han advertido sobre una campaña de malware que aprovecha precisamente ese comportamiento para distribuir software malicioso mediante páginas que imitan a los sitios oficiales de programas muy populares.
La investigación, difundida por el portal especializado Windows Latest, reveló la existencia de más de 70 dominios falsos que se hacen pasar por las páginas oficiales de aplicaciones ampliamente utilizadas en Windows.
Lo más preocupante es que muchos de estos sitios logran aparecer entre los primeros resultados del buscador de Google, aumentando las probabilidades de que los usuarios caigan en la trampa sin sospechar que están descargando archivos peligrosos.
Una campaña que aprovecha la confianza en Google
Los ciberdelincuentes emplean una técnica conocida como SEO poisoning o “envenenamiento SEO”. Consiste en manipular el posicionamiento de páginas maliciosas para que aparezcan en los primeros lugares de los resultados de búsqueda, incluso por delante de los sitios legítimos.
En esta campaña, los delincuentes crearon páginas falsas que imitaban la identidad visual de aplicaciones reconocidas para Windows 11. Entre los programas afectados figuran Microsoft PowerToys, CrystalDiskMark, EasyBCD, Wintoys, Lively Wallpaper y SignalRGB.
El objetivo es sencillo: convencer al usuario de que está descargando el programa desde una fuente oficial cuando, en realidad, obtiene un archivo modificado para infectar su computadora.
Así descubrieron la red de sitios falsos
La investigación comenzó cuando el desarrollador de Wintoys detectó un sitio web que utilizaba una versión antigua del logotipo de la aplicación junto con descripciones genéricas aparentemente generadas mediante inteligencia artificial.
Tras analizar el dominio, descubrió una infraestructura mucho mayor compuesta por 72 páginas con características prácticamente idénticas. Todas compartían un mismo patrón de diseño y buscaban posicionarse en Google para captar descargas de usuarios desprevenidos.
Este hallazgo permitió identificar una campaña organizada que llevaba tiempo aprovechando el tráfico generado por las búsquedas de programas populares para Windows.
Una estrategia diseñada para evitar sospechas
Uno de los aspectos más sofisticados de la campaña es que no siempre distribuye malware de inmediato.
En una primera etapa, algunos de estos sitios redirigen a los usuarios hacia la Microsoft Store o hacia la página oficial del desarrollador. Con ello consiguen aparentar legitimidad, mejorar su reputación ante Google y fortalecer su posicionamiento en los resultados de búsqueda.
Posteriormente, los operadores pueden modificar el destino de la descarga y enviar únicamente a determinados visitantes hacia servidores que alojan archivos infectados.
La decisión depende de diferentes variables, como la ubicación geográfica del usuario, el navegador utilizado, el uso de una VPN o incluso si el visitante parece ser un investigador de seguridad.
El malware puede robar información sensible
Entre las amenazas detectadas figura RemusStealer, un malware especializado en el robo de información personal almacenada en el equipo.
Este programa puede extraer datos guardados en navegadores web, administradores de contraseñas, monederos de criptomonedas y aplicaciones de autenticación utilizadas para proteger cuentas digitales.
Los investigadores también identificaron instaladores troyanizados capaces de establecer un acceso remoto permanente al ordenador comprometido, permitiendo que los atacantes mantengan el control del dispositivo incluso después de la instalación inicial.
La empresa de ciberseguridad Check Point informó que localizó más de 100 sitios relacionados con esta campaña y más de 5.000 reportes asociados dentro de la plataforma VirusTotal, lo que demuestra la amplitud de la operación.
Cómo evitar caer en la trampa
Los especialistas recomiendan extremar las precauciones al descargar software para Windows 11, especialmente cuando la búsqueda comienza en Google.
La alternativa más segura es utilizar la Microsoft Store cuando la aplicación esté disponible, ya que ofrece una mayor verificación de los programas publicados. Si el software no se encuentra allí, conviene acudir directamente al sitio oficial del desarrollador o a su repositorio oficial en GitHub.
También es importante revisar cuidadosamente la dirección del sitio web antes de descargar cualquier archivo, ya que pequeñas diferencias en el dominio pueden ser suficientes para identificar una página fraudulenta.
Otra medida recomendable consiste en comprobar que el instalador cuenta con una firma digital válida, un elemento que ayuda a verificar que el archivo no ha sido alterado desde su publicación por el desarrollador.
Finalmente, los expertos recuerdan que aparecer en el primer resultado de Google no garantiza que una página sea legítima. Aunque el buscador aplica distintos mecanismos para detectar sitios maliciosos, los delincuentes continúan perfeccionando sus técnicas de posicionamiento para ganar visibilidad y aumentar el número de víctimas.
Con información de Infobae
