Atacantes usan sitios clonados con dominios .com.cn para distribuir malware que cambia su hash en cada descarga y se ejecuta bajo procesos firmados de Windows.
Microsoft advirtió que una campaña de compromiso empresarial está utilizando sitios web falsificados que imitan descargas legítimas de Microsoft Edge, Kaspersky y Razer para distribuir instaladores troyanizados. La operación, rastreada por Microsoft Defender Experts y consistente con la campaña conocida como Silver Fox (también llamada Yinhu), ha afectado organizaciones en sectores de salud, manufactura, gaming, tecnología, logística, gobierno y educación. La compañía indicó que no ha atribuido la actividad a un actor de estado-nación, pero la sofisticación técnica y la escala del ataque sugieren capacidades más allá de operaciones criminales convencionales.
Lo que distingue esta campaña de ataques previos basados en sitios falsos es la combinación de generación dinámica de payloads del lado del servidor con abuso sistemático de componentes legítimos de Windows para evasión. Los instaladores maliciosos mantienen el mismo nombre de archivo pero cambian su hash en cada descarga, lo que anula la efectividad de detección basada en firmas de archivo. Esta característica técnica — confirmada por investigadores de Microsoft — indica que el backend de los atacantes genera variantes únicas para cada víctima, una capacidad que requiere infraestructura automatizada y que complica significativamente la respuesta de equipos de seguridad que dependen de indicadores de compromiso tradicionales.
La red de dominios .com.cn que imita marcas globales
Los atacantes operan una red de sitios web falsificados que utilizan patrones de dominio .com.cn y .hl.cn, incorporando el nombre de la marca imitada en la estructura del dominio para aumentar la apariencia de legitimidad. Estos sitios replican páginas de descarga de software que va desde navegadores y herramientas de seguridad hasta utilidades como Baidu Netdisk, draw.io y Sejda PDF. Las páginas fraudulentas redirigen a las víctimas a un backend compartido que entrega archivos comprimidos con los instaladores maliciosos.
La elección de extensiones de dominio chinas (.com.cn, .hl.cn) no es accidental: estas terminaciones son comunes en sitios legítimos de distribución de software para el mercado asiático, lo que reduce la sospecha de usuarios en esa región. Para organizaciones multinacionales con oficinas en China o subsidiarias en Asia-Pacífico, esta táctica explota diferencias regionales en prácticas de aprovisionamiento de software y políticas de TI que pueden no estar alineadas con controles corporativos centralizados. Un empleado en una oficina regional puede descargar lo que considera una versión local legítima de un producto conocido sin activar alertas en sistemas de seguridad configurados para detectar amenazas en dominios occidentales.
Cómo el malware se ejecuta bajo procesos firmados por Microsoft
Una vez ejecutado, el instalador inicia una cadena de infección de múltiples etapas que comienza con un wrapper que deposita el payload en ubicaciones aleatorias del sistema. En algunos casos documentados por Microsoft, los atacantes utilizan el servicio Windows Installer (msiexec.exe) para ejecutar los payloads maliciosos. Esta técnica permite que la actividad maliciosa se ejecute bajo un proceso legítimo firmado digitalmente por Microsoft, lo que complica la detección porque el binario en sí mismo es confiable.
El abuso de msiexec.exe representa un cambio en la estrategia de los atacantes: en lugar de depender de binarios claramente maliciosos que los sistemas de detección pueden identificar, ahora se mezclan con comportamiento normal del sistema. Para los defensores, esto significa que el análisis no puede detenerse en verificar si un proceso está firmado — la pregunta relevante pasa a ser por qué se lanzó ese proceso, de dónde provino el archivo MSI que lo invocó, y qué acciones se ejecutaron después. Esta evolución en la técnica de ataque requiere capacidades de detección basadas en comportamiento y correlación de eventos, no solo en análisis estático de archivos.
Escalamiento de privilegios y desactivación sistemática de defensas
Después de establecer ejecución inicial, el malware crea persistencia mediante tareas programadas que imitan actividad rutinaria del sistema, relanzando payloads de forma repetida. Los atacantes luego escalan privilegios usando tareas programadas de corta duración que se ejecutan con permisos de SYSTEM para modificar configuraciones de Microsoft Defender. Esta técnica de escalamiento temporal — crear una tarea privilegiada, ejecutar la modificación, y eliminar la tarea — reduce la ventana de detección y dificulta la reconstrucción forense del ataque.
Microsoft documentó múltiples técnicas de evasión de defensa implementadas por el malware: agregar exclusiones en el antivirus para directorios donde reside el payload, eliminar copias de volumen shadow (lo que impide restauración del sistema a un estado previo al compromiso), y deshabilitar servicios de Windows Update para evitar que parches de seguridad cierren vectores de persistencia. La combinación de estas acciones en una sola cadena de ataque indica tooling deliberado: el malware no solo busca ejecutarse, sino también asegurar que permanezca indetectable y que el sistema comprometido no pueda recuperarse fácilmente ni recibir actualizaciones que podrían exponer o eliminar la infección.
Exposición de subsidiarias latinoamericanas en organizaciones globales
Aunque Microsoft no reportó incidentes específicos en países de América Latina, la estructura de la campaña expone una vulnerabilidad estructural para organizaciones multinacionales con operaciones en la región. Empresas con oficinas en México, Brasil, Colombia o Argentina que mantienen políticas de TI descentralizadas o que permiten aprovisionamiento local de software enfrentan el mismo riesgo que subsidiarias en Asia-Pacífico: empleados que descargan herramientas de sitios que parecen legítimos pero que no están validados por controles corporativos centrales.
El sector de manufactura — uno de los afectados según Microsoft — tiene presencia significativa en México y Brasil, donde plantas de producción de empresas globales operan con cierta autonomía en decisiones de TI. Si un técnico en una planta en Querétaro o São Paulo necesita instalar una utilidad de diagnóstico o una herramienta de productividad y recurre a una búsqueda web en lugar de un repositorio corporativo aprobado, la probabilidad de aterrizar en un sitio falsificado con dominio .com.cn que imita una marca conocida no es despreciable. La campaña Silver Fox demuestra que los atacantes han construido infraestructura escalable para este tipo de compromiso, y no hay razón técnica para que esa infraestructura no pueda servir payloads a víctimas en cualquier geografía.
Nuestro análisis
Esta campaña marca un punto de inflexión en la sofisticación de ataques basados en ingeniería social técnica: ya no se trata solo de convencer a un usuario de que ejecute un archivo malicioso, sino de construir una infraestructura completa que automatiza la generación de variantes únicas, abusa de componentes legítimos del sistema operativo para evasión, y deshabilita sistemáticamente capacidades de detección y recuperación. La decisión de Microsoft de no atribuir la actividad a un actor de estado-nación es notable — Silver Fox ha sido asociada en reportes públicos previos con operaciones de origen chino, pero la falta de atribución formal sugiere que la evidencia técnica disponible no permite una conclusión definitiva o que la campaña podría estar siendo operada por actores criminales con acceso a tooling de nivel APT.
El patrón de abuso de msiexec.exe y tareas programadas con privilegios SYSTEM no es nuevo individualmente — ambas técnicas están documentadas en el framework MITRE ATT&CK — pero su combinación en una cadena automatizada con generación dinámica de payloads representa una evolución en capacidades de ataque que antes estaban reservadas a grupos con recursos significativos. Lo que antes requería operadores humanos ejecutando comandos manualmente ahora está empaquetado en malware que ejecuta la secuencia completa de forma autónoma. Esto reduce el costo operacional del ataque y permite escalar a más víctimas simultáneamente, lo que explica el impacto reportado en múltiples sectores y geografías. ¿Cuántas organizaciones con políticas de seguridad basadas en detección de archivos maliciosos están preparadas para identificar compromiso cuando el vector de entrada es un proceso firmado por Microsoft ejecutando acciones que, vistas individualmente, podrían ser legítimas?