Una campaña de malware que utiliza películas como señuelo ya fue detectada en América Latina. El Equipo Global de Investigación y Análisis de Kaspersky (GReAT) identificó archivos maliciosos que aparentan ser películas y se distribuyen mediante sitios de descarga no oficiales, buscando que las propias víctimas ejecuten el malware en sus computadoras. Como estos archivos pueden compartirse y descargarse desde distintos países, el mismo mecanismo puede circular entre usuarios de diferentes mercados latinoamericanos.

El engaño aprovecha una acción cotidiana: buscar una película, encontrar un archivo con el título esperado y descargarlo pensando que se trata de un video. Sin embargo, algunos de estos archivos terminan en “.EXE”, una extensión utilizada por Windows para ejecutar programas. En otras palabras, cuando la persona intenta abrir lo que cree que es una película, en realidad puede estar poniendo en marcha un programa malicioso dentro de su computador.

Estos archivos suelen circular en páginas que facilitan las llamadas descargas torrent, un sistema mediante el cual distintos usuarios descargan y comparten archivos directamente entre computadores conectados a Internet. Aunque esta tecnología también tiene usos legítimos, es frecuente encontrarla en sitios que ofrecen películas, series, videojuegos o programas sin autorización. En estos espacios, un archivo puede presentarse con el nombre y apariencia de un contenido conocido sin que necesariamente exista un proveedor que verifique previamente qué contiene.

La campaña ya ha dejado víctimas en distintas regiones del mundo, incluida América Latina, así como en Rusia, Turquía, Japón, Kenia, Uganda y varios países europeos, entre ellos España, Países Bajos, Bélgica y Alemania. Entre los títulos utilizados como señuelo se encuentra La Odisea (The Odyssey), además de otras producciones cinematográficas.

Así operó uno de los ataques detectados en América Latina

Durante el análisis de la campaña, los investigadores de Kaspersky identificaron en Colombia una infección ocurrida en agosto. El usuario había descargado un archivo que aparentaba corresponder a la película El final de la Calle Oak (2026), pero en realidad se trataba de un programa malicioso.

El caso permite ilustrar cómo funciona el engaño y por qué puede extenderse a otros mercados de la región. Los archivos y los sitios utilizados para distribuirlos son accesibles desde diferentes países y no dependen de una campaña diseñada exclusivamente para un mercado. Por ello, un mismo señuelo puede circular entre usuarios de distintos lugares de América Latina, especialmente cuando se buscan estrenos o contenidos populares fuera de las plataformas oficiales.

¿Qué ocurre después de abrir la falsa película?

Una vez que el archivo es ejecutado, el malware despliega diferentes componentes dentro del computador para evitar ser detectado, permanecer instalado y obtener mayores permisos en el sistema.

Entre sus capacidades está la posibilidad de continuar activo incluso después de que el dispositivo sea reiniciado. También puede intentar obtener privilegios de administrador de Windows sin mostrar las advertencias habituales al usuario y, finalmente, permitir que los atacantes accedan de forma remota al equipo comprometido.

Esto significa que una descarga que comienza con la intención de ver una película puede terminar dando a terceros una vía de entrada al dispositivo. Dependiendo de la información almacenada y de las cuentas utilizadas desde ese computador, el riesgo puede extenderse a credenciales, documentos, correos electrónicos y otros recursos a los que tenga acceso la víctima.

La amenaza adquiere una dimensión adicional cuando el computador también se utiliza para trabajar. Una descarga realizada con fines personales puede terminar exponiendo cuentas corporativas, documentos de la empresa, servicios en la nube o accesos utilizados para realizar tareas laborales.

La campaña incorpora además un recurso que dificulta su interrupción: el malware utiliza la red blockchain de Solana para localizar la infraestructura desde la que recibe instrucciones. En términos simples, esto evita que los atacantes dependan únicamente de un servidor o una dirección de Internet, haciendo más complejo bloquear por completo la operación.

“Este tipo de campañas funciona porque el atacante se aprovecha de una acción que para muchas personas parece completamente cotidiana: buscar una película en Internet. El título es reconocible, el archivo aparece en un lugar donde el usuario espera encontrar ese contenido y todo está diseñado para reducir la sensación de riesgo. Cuando la persona abre el archivo, creyendo que va a reproducir un video, puede estar dando el primer paso para que el malware se instale y los atacantes obtengan acceso al dispositivo”, explicó Lisandro Ubiedo, analista senior de seguridad en el Equipo Global de Investigación y Análisis de Kaspersky (GReAT).

“Además, este tipo de amenaza no está limitada a un país específico. Un mismo archivo puede circular entre usuarios de diferentes mercados sin que los atacantes necesiten desarrollar una campaña distinta para cada uno. A esto se suma que hoy un mismo computador suele concentrar buena parte de la vida personal y laboral; una infección que comienza con una descarga de entretenimiento puede terminar exponiendo mucha más información de la que la víctima imagina”, añadió Ubiedo.