Venden malware como anuncios: Unit 42 detecta una red de 10.000 programas descargadores

El malware se parece cada vez más a un producto publicitario común. El cliente trae su malware, el operador promete instalaciones y el equipo infectado recibe de inmediato varias «ofertas» independientes. Los especialistas de Unit 42 revelaron una gran infraestructura, CL-CRI-1171, que durante al menos dos años vendió a ciberdelincuentes acceso a dispositivos ajenos y llegó a generar más de 10 000 muestras de un mismo cargador.

El esquema funciona bajo el modelo pay-per-install (PPI), donde el cliente paga por entregar su malware en los ordenadores de las víctimas. Este tipo de ganancias por instalaciones existe desde hace muchos años, pero CL-CRI-1171 llevó el modelo casi al nivel de una red publicitaria. Un operador atrae audiencia, verifica a los visitantes y distribuye entre los sistemas infectados los programas de distintos compradores.

La herramienta principal fue OfferLoader. El nombre refleja la terminología interna del propio malware: las cargas útiles separadas que desarrollan se denominan «ofertas». Tras el lanzamiento, el cargador se comunica con la infraestructura de los operadores y recibe la decisión sobre qué programas instalar en cada víctima concreta. En abril de 2026 una cadena entregó simultáneamente Insomnia RAT, ARKTunnel y Docro Hijacker, y ya en junio el conjunto cambió a GCleaner y Socks5Systemz.

Las víctimas se atraían por dos canales. El primero se basaba en el envenenamiento de los resultados de búsqueda: el usuario buscaba un programa habitual, como WinDirStat o un controlador de Bluetooth, llegaba a un sitio malware avanzado y descargaba un instalador troyanizado. El sistema tenía en cuenta el SO, el navegador, la consulta de búsqueda, la dirección de procedencia y la IP pública, y luego decidía si entregar el malware real o una carnada segura. A los escáneres automáticos y a los analistas a menudo les tocaba la versión de señuelo.

El segundo canal apuntaba sobre todo a jugadores jóvenes. Unit 42 detectó 11 canales de YouTube con cientos de miles de suscriptores y millones de visualizaciones. Los autores publicaban consejos útiles para aumentar los FPS, evitar cierres inesperados y ajustar juegos, y añadían en las descripciones enlaces a supuestas herramientas y paquetes de optimización. Tras la notificación de Unit 42, YouTube eliminó los canales vinculados.

Los demás malware variaban mucho. Insomnia RAT instala entornos Node.js y Python, desactiva parte de la protección de Windows Defender y conserva dos agentes independientes para el acceso remoto. ARKTunnel oculta un troyano WebSocket dentro de una imagen BMP mediante esteganografía. Docro Hijacker interviene en la configuración protegida de Chrome, instala una extensión maliciosa, cambia el motor de búsqueda y puede insertar publicidad y redireccionamientos de forma silenciosa.

La escala de la infraestructura se hizo patente al analizar los servidores de control. Los especialistas hallaron más de 200 nombres de dominio en rotación, así como más de 10 000 muestras únicas de OfferLoader. Cada ejemplar puede entregar su propia combinación de programas, por lo que las tres familias analizadas en detalle probablemente reflejan solo una pequeña parte de la oferta real del servicio delictivo.

En el análisis de OfferLoader, Unit 42 subraya el problema principal de esa infraestructura. El propio cargador parece demasiado primitivo y masivo, por lo que una infección aislada se puede tomar fácilmente por un incidente de poca importancia. Detrás de un instalador habitual puede ocultarse el acceso de varias bandas delictivas independientes, cada una con su propio canal de control y su propio objetivo dentro del sistema.

Un enfoque similar ya se vio en el verano de 2026, cuando mediante Google Ads se difundió el cargador OXLOADER. La publicidad falsa de programas populares llevaba a los usuarios a CastleStealer, y el propio cargador complicaba el análisis con varias capas de ocultamiento y comprobaciones del entorno virtual.

El modelo PPI tampoco es nuevo. Servicios como PrivateLoader y ruzki vendieron paquetes de infección por criterio geográfico y entregaron RedLine, Raccoon, Vidar y otros malware a través de sitios de software pirateado. CL-CRI-1171 muestra cuánto más potente puede ser ese modelo al combinar posicionamiento en buscadores, contenido de vídeo y filtrado automático de visitantes.

Se ha formado un mercado separado alrededor de los cargadores como servicio. Los desarrolladores de FakeBat vendían acceso a su herramienta bajo el modelo Loader-as-a-Service, permitiendo a los clientes entregar Lumma, RedLine, IcedID y otros programas. OfferLoader desarrolla la misma idea más allá, convirtiendo el equipo infectado en una plataforma donde distintos clientes delictivos compran de hecho espacio para su propio software malicioso.