Investigadores en ciberseguridad han descubierto una campaña de ciberdelincuencia que utiliza trucos de publicidad maliciosa para dirigir a las víctimas a sitios fraudulentos con el fin de distribuir un nuevo programa de robo de información llamado TamperedChef.
"El objetivo es atraer a las víctimas para que descarguen e instalen un editor de PDF troyanizado, que incluye un malware para robar información denominado TamperedChef", afirmaron los investigadores de Truesec Mattias Wåhlén, Nicklas Keijser y Oscar Lejerbäck Wolf en un informe publicado el miércoles. "El malware está diseñado para recopilar datos confidenciales, incluidas credenciales y cookies web".
El núcleo de la campaña es el uso de varios sitios web falsos para promocionar un instalador de un editor de PDF gratuito llamado AppSuite PDF Editor que, una vez instalado y ejecutado, muestra al usuario un mensaje para que acepte los términos de servicio y la política de privacidad del software.
Sin embargo, en segundo plano, el programa de instalación realiza solicitudes encubiertas a un servidor externo para descargar el programa editor de PDF, al tiempo que configura la persistencia en el host realizando cambios en el Registro de Windows para garantizar que el ejecutable descargado se inicie automáticamente después de reiniciar el sistema. La clave del registro contiene un parámetro de argumentos --cm para pasar instrucciones al binario.
La empresa alemana de ciberseguridad G DATA, que también analizó la actividad, afirmó que los distintos sitios web que ofrecen estos editores de PDF descargan el mismo instalador, que a su vez descarga el programa editor de PDF del servidor una vez que el usuario acepta el acuerdo de licencia.
"A continuación, ejecuta la aplicación principal sin argumentos, lo que equivale a iniciar la rutina --install", explicaron los investigadores de seguridad Karsten Hahn y Louis Sorita. "También crea una entrada de ejecución automática que proporciona el argumento de línea de comandos --cm=--fullupdate para la próxima ejecución de la aplicación maliciosa".
Se estima que la campaña comenzó el 26 de junio de 2025, cuando muchos de los sitios falsos se registraron o comenzaron a anunciar el software de edición de PDF a través de al menos cinco campañas publicitarias diferentes de Google.
"Al principio, el PDF parecía ser bastante inofensivo, pero el código incluía instrucciones para comprobar periódicamente si había posibles actualizaciones en un archivo .js que incluía los argumentos --cm", explicaron los investigadores. "A partir del 21 de agosto de 2025, los equipos que volvían a llamar recibían instrucciones que activaban las capacidades maliciosas, un ladrón de información denominado «Tamperedchef»".
Una vez inicializado, el ladrón recopila una lista de los productos de seguridad instalados e intenta cerrar los navegadores web para acceder a datos confidenciales, como credenciales y cookies.
Un análisis más detallado de la aplicación infectada con malware realizado por G DATA ha revelado que actúa como puerta trasera y admite una serie de funciones:
- --install, para crear tareas programadas denominadas PDFEditorScheduledTask y PDFEditorUScheduledTask que ejecutan la aplicación con los argumentos --cm=--partialupdate y --cm=--backupupdate, respectivamente, para activar las rutinas --check y ?-ping
- --cleanup, que es llamada por el desinstalador para eliminar los archivos de puerta trasera, dar de baja la máquina del servidor y eliminar las dos tareas programadas
- --ping, para iniciar las comunicaciones con un comando y control (C2) para las acciones que se ejecutarán en el sistema, lo que, entre otras cosas, permite descargas adicionales de malware, exfiltración de datos y cambios en el Registro
- --check, para ponerse en contacto con el servidor C2 para la configuración, leer las claves del navegador, alterar la configuración del navegador y ejecutar comandos arbitrarios para consultar, exfiltrar y manipular datos asociados con los navegadores Chromium, OneLaunch y Wave, incluyendo credenciales, historial del navegador, cookies o configuración de motores de búsqueda personalizados
- --reboot, igual que --check, junto con capacidades para eliminar procesos específicos
"El periodo transcurrido desde el inicio de la campaña [publicitaria] hasta la actualización maliciosa también fue de 56 días, lo que se aproxima a los 60 días que suele durar una campaña publicitaria típica de Google, lo que sugiere que el autor de la amenaza dejó que la campaña publicitaria siguiera su curso, maximizando las descargas, antes de activar las funciones maliciosas", afirmó Truesec.
Las revelaciones coinciden con un análisis de Expel que detallaba una gran campaña publicitaria de editores de PDF, en la que los anuncios dirigían a los usuarios a sitios web que ofrecían descargas de herramientas como AppSuite, PDF OneStart y PDF Editor. En algunos casos, se ha descubierto que estos programas PDF descargan otras aplicaciones troyanizadas sin el consentimiento de los usuarios o convierten los hosts en proxies residenciales.
"AppSuite PDF Editor es malicioso", afirmó G DATA. "Se trata de un troyano clásico con una puerta trasera que actualmente se descarga masivamente".
Fuente: thehackernews