Una sofisticada campaña de distribución de malware está utilizando instaladores falsos de WinRAR para comprometer sistemas Windows, aprovechando la popularidad de esta herramienta de compresión y la costumbre de muchos usuarios de descargar software desde fuentes no oficiales. Investigadores en ciberseguridad han identificado una oleada de archivos maliciosos que imitan instaladores legítimos y que incorporan múltiples capas de ofuscación, en un esquema técnico comparable a una muñeca rusa o ataque “Matryoshka”.
El objetivo es claro: pasar desapercibidos ante el usuario y ante los motores antivirus, desplegar la carga maliciosa en varias fases y establecer persistencia en el sistema infectado, todo mientras el proceso de instalación parece completamente normal.
WinRAR como cebo perfecto
WinRAR es uno de los programas de compresión más utilizados del mundo. A pesar de existir alternativas gratuitas y de código abierto, millones de usuarios siguen recurriendo a este software, a menudo descargándolo desde páginas de terceros que ofrecen versiones “activadas” o modificadas. Este hábito convierte a WinRAR en un anzuelo ideal para los ciberdelincuentes, que saben que muchas víctimas no verificarán si el instalador procede del sitio oficial.
En este caso, los analistas detectaron enlaces a supuestos instaladores de WinRAR alojados en diversas webs chinas. El nombre del archivo, winrar-x64-713scp.zip, imitaba fielmente la nomenclatura de versiones legítimas, lo que aumentaba la credibilidad del engaño y reducía la probabilidad de que el usuario sospechara.
Anatomía de un ataque en capas
El análisis inicial del archivo con la herramienta Detect It Easy (DIE) reveló inmediatamente señales de alerta: el paquete contenía estructuras de 7-Zip, estaba comprimido con UPX y funcionaba como un archivo autoextraíble (SFX). Este tipo de combinaciones suele emplearse para ocultar la verdadera naturaleza del código y dificultar su análisis.
Al extraer el contenido se obtenía un ejecutable denominado winrar-x64-713scp.exe, empaquetado nuevamente con UPX y con anomalías deliberadas en la estructura PE (Portable Executable). Estas irregularidades obligaban a utilizar el parámetro --force para poder desempaquetarlo, una técnica diseñada para frustrar tanto a herramientas automáticas como a analistas menos experimentados.
Una vez superada esta capa, aparecía un nuevo nivel de compresión identificado heurísticamente como datos empaquetados tipo SFX. El análisis de cadenas de texto reveló instrucciones RunProgram con el parámetro “nowait”, lo que significa que los ejecutables incrustados se lanzan de inmediato tras la extracción, sin esperar a que el proceso finalice por completo. Esta ejecución casi simultánea permite que el malware se active incluso antes de que el usuario perciba que algo ha ocurrido.
Entre los archivos incrustados se encontraba un ejecutable legítimo de WinRAR, cuidadosamente incluido para que la instalación se desarrollara con normalidad y no despertara sospechas. El segundo componente, sin embargo, estaba oculto bajo un nombre en chino, “安装” (“instalar”), y conducía a un archivo protegido por contraseña denominado setup.hta.
Ejecución en memoria y evasión
Las pruebas dinámicas en entornos virtualizados mostraron que setup.hta se descomprimía directamente en memoria, sin dejar apenas rastro en disco. Este enfoque “fileless” o sin archivos persistentes es cada vez más común en campañas avanzadas, ya que dificulta la detección por parte de soluciones basadas en firmas y análisis estático.
Nada más ejecutarse, el código accedía a información sensible de los perfiles de Windows, lo que indica una fase de reconocimiento destinada a evaluar el entorno: versión del sistema operativo, privilegios del usuario, configuraciones de seguridad y otros indicadores que permiten decidir qué carga útil desplegar a continuación.
El volcado de memoria permitió identificar referencias a nimasila360.exe, un binario previamente asociado a la familia de malware Winzipper.
La conexión con Winzipper
Winzipper es una amenaza particularmente peligrosa que se hace pasar por una herramienta legítima de gestión de archivos comprimidos. De origen chino, este malware suele distribuirse mediante enlaces engañosos y archivos adjuntos maliciosos, y su comportamiento incluye la instalación de puertas traseras persistentes, la exfiltración de datos y la descarga de módulos adicionales bajo demanda.
Una vez activo, Winzipper puede otorgar a los atacantes control remoto completo sobre el sistema comprometido, permitiendo el robo de credenciales, la vigilancia de la actividad del usuario y la integración del equipo en infraestructuras más amplias de botnets o campañas de espionaje.
El uso de un instalador real de WinRAR como anzuelo, combinado con la ejecución en memoria y la ofuscación multinivel, demuestra un alto grado de planificación. No se trata de un malware oportunista, sino de una operación diseñada para maximizar la tasa de infección y minimizar la detección durante el mayor tiempo posible.
