2Qué se te expone exactamente: qué archivos y credenciales quedan al alcance del atacante
El cebo no va a por archivos concretos del disco, sino por cualquier credencial con valor de reventa que hayas dejado guardada en el equipo. El paquete malicioso es un MSI de 83 MB llamado WindowsUpdate 1.0.0.msi que se descarga desde el dominio microsoft-update[.]support y que, al ejecutarse, despliega dos cargas útiles principales. La primera ataca el almacén cifrado de los navegadores: según el análisis de Malwarebytes, incluye rutinas de descifrado PBKDF2, SHA-256 y AES para extraer contraseñas, cookies y tokens de sesión, de modo que el atacante puede entrar en las cuentas sin necesidad de conocer la clave. Antes de esa extracción, el programa lanza más de doscientas llamadas a taskkill.exe para cerrar navegadores y herramientas de seguridad y liberar así las bases de datos de credenciales. El objetivo declarado son «contraseñas, datos de pago y acceso a cuentas», con las tarjetas introducidas en comercios electrónicos y las claves de la banca online en el punto de mira.
El segundo componente se cuela en Discord, que comparte la misma base Electron: el código manipula la aplicación para interceptar los tokens de inicio de sesión, los datos de pago y los cambios en la verificación en dos pasos cada vez que se abre, lo que abre al atacante una vía directa a cuentas vinculadas a tarjetas. Para sobrevivir a los reinicios crea dos mecanismos independientes: un valor llamado SecurityHealth en la clave CurrentVersionRun del registro, que simula un componente de Windows Defender, y un acceso directo Spotify.lnk en la carpeta de Inicio del usuario. Todo lo recopilado sale hacia infraestructura de mando y control (datawebsync-lvmv.onrender[.]com y un relé en Cloudflare Workers) y se descarga a través de store8.gofile[.]io, desde donde puede alimentar fraudes o venderse en circuitos de mercado negro. La campaña se dirigía inicialmente a usuarios francófonos, aprovechando el rastro de las filtraciones masivas registradas en Francia.
