A mediados del primer trimestre del año, ESET, compañía líder en detección proactiva de amenazas, registró un aumento del 20% en las detecciones de la familia de malware Win32/Injector.Autoit en Latinoamérica. Argentina y México concentraron el 54% de los casos, seguidos por Colombia (13%), Ecuador (8%), Perú (7%) y Chile (5%). Este malware se propaga a través de correos electrónicos maliciosos dirigidos a empresas, con el objetivo de distribuir el infostealer Formbook.
Formbook ha escalado en el ranking de amenazas desde 2024, convirtiéndose en el infostealer más detectado, con un crecimiento del 200%. Los correos utilizados en esta campaña suelen estar diseñados para engañar a empleados de Recursos Humanos o Finanzas, simulando ser mensajes legítimos con archivos adjuntos en formato ZIP que aparentan ser currículums, cotizaciones o formularios de pedidos. Al abrirlos, se ejecuta un archivo compilado en Autoit que inicia la infección y descarga una variante de Formbook.
Este malware se especializa en el robo de información confidencial mediante diversas técnicas. Puede capturar credenciales ingresadas en formularios web, registrar pulsaciones del teclado (keylogging) para obtener datos sensibles como contraseñas y números de tarjetas de crédito, tomar capturas de pantalla en momentos estratégicos y enviar toda la información recolectada a servidores controlados por los atacantes.
El equipo de investigación de ESET Latinoamérica identificó que, aunque los artefactos maliciosos varían según el país, la estructura del código es similar. Los atacantes descargan dos archivos en la máquina de la víctima, ejecutan una shellcode y finalmente inyectan el payload de Formbook en un proceso del sistema. Según Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica, estas técnicas permiten que el malware se propague con facilidad en distintos entornos.
Un análisis detallado del ataque muestra que el proceso de infección comienza con un correo electrónico que incluye un archivo adjunto comprimido. Al extraer y ejecutar el contenido, el sistema descarga y activa el malware, comprometiendo la seguridad del dispositivo. Este método ha demostrado ser altamente efectivo debido a la familiaridad de los archivos adjuntos con documentos utilizados comúnmente en las empresas.
Los atacantes suelen nombrar los archivos maliciosos de manera estratégica para atraer a empleados de sectores específicos. Ejemplos como CV Benedita Oliveira.zip, curriculum vitae.zip o Facturas de pago 01124,01125,01126.zip indican que las víctimas potenciales son trabajadores de Recursos Humanos, Finanzas o Contabilidad, quienes reciben este tipo de documentos en su actividad diaria.
Al ejecutarse, el archivo comprimido inicia un proceso mediante Autoit que descarga y almacena archivos en la ruta temporal del sistema. A partir de ahí, se realiza una decodificación del archivo spiketop, obteniendo una shellcode que se inyecta en un proceso del sistema (svchost). Una vez activo, el malware tiene control total para ejecutar acciones maliciosas sin levantar sospechas.
El análisis de ESET revela que, aunque la técnica utilizada no es nueva, sigue siendo efectiva gracias al abuso de herramientas como Autoit. Los investigadores enfatizan la importancia de conocer estas tácticas para prevenir ataques y mejorar las respuestas ante incidentes de seguridad. Estar alerta ante correos sospechosos y contar con soluciones de ciberseguridad robustas es clave para mitigar este tipo de amenazas en la región.
