La campaña de torrents de DiCaprio evoluciona: AgentTesla se distribuye con subtítulos maliciosos

La evolución de una trampa de ingeniería social

El manual de procedimientos del cibercrimen para explotar la cultura popular ha recibido una actualización significativa. Tras las campañas anteriores que se hacían pasar por torrents de películas nominadas al Oscar, los actores de amenazas ahora han pivotado para apuntar a uno de los grandes estrenos más anticipados de 2025: 'One Battle After Another', protagonizada por Leonardo DiCaprio. Esta nueva oleada representa una escalada peligrosa tanto en sofisticación como en focalización, pasando de un público nicho de 'películas de Oscar' a la base de fans masiva y mainstream de una gran producción de acción. Los investigadores de seguridad están rastreando una cadena de infección global que distribuye el potente robainformaciones AgentTesla mediante un proceso astuto de múltiples etapas, donde los archivos de subtítulos manipulados emergen como un componente crítico del ataque.

Cadena de ataque: desde el torrent hasta el compromiso total

La infección comienza en sitios de indexación de torrents y foros donde los usuarios buscan copias tempranas o piratas de la película. Los atacantes suben un archivo torrent malicioso que parece legítimo, a menudo con tamaños de archivo convincentes, recuentos de seeders/peers y comentarios de usuarios. Una vez descargado y ejecutado, la carga útil inicial no es el malware en sí, sino un script de PowerShell. Este script actúa como un descargador, diseñado para ser liviano y evasivo. Su función principal es recuperar la siguiente etapa desde un servidor de comando y control (C2) remoto.

Aquí es donde la campaña introduce un giro novedoso. La etapa subsiguiente frecuentemente involucra archivos de subtítulos maliciosos (con extensión .SRT). Los subtítulos son un tipo de archivo confiable, raramente escaneado con alta sospecha por el software de seguridad o los usuarios finales. El script de PowerShell descarga y ejecuta estos archivos de subtítulos, los cuales contienen código ofuscado diseñado para descargar y desplegar la carga útil final: AgentTesla.

AgentTesla: la carga útil final

El despliegue de AgentTesla marca la conclusión exitosa del ataque. Este malware maduro, disponible comercialmente, es un robainformaciones formidable. Una vez instalado en un sistema Windows de la víctima, inicia una operación integral de recolección de datos:

• Robo de credenciales: Extrae contraseñas guardadas, cookies y datos de autocompletado de una amplia gama de navegadores web, incluidos Chrome, Firefox, Edge y Brave.
• Espionaje del sistema: El malware activa el keylogging para capturar cada pulsación de tecla, toma capturas de pantalla periódicas y extrae datos de clientes de correo instalados como Outlook y Thunderbird.
• Enfoque en finanzas y cripto: Busca específicamente información de carteras de criptomonedas y credenciales para plataformas financieras.
• Persistencia y exfiltración: AgentTesla establece mecanismos de persistencia para sobrevivir a reinicios y transmite sigilosamente todos los datos robados a servidores controlados por los atacantes.

Análisis técnico y técnicas de evasión

La campaña emplea varias técnicas para evitar la detección. El uso de PowerShell, una herramienta administrativa legítima, permite que la ejecución inicial se confunda con la actividad normal del sistema. El proceso de múltiples etapas, que separa el descargador de la carga útil final, hace que el análisis estático del archivo torrent inicial sea menos efectivo. La ofuscación dentro de los archivos de subtítulos y el uso de infraestructura C2 dinámica complican aún más los esfuerzos defensivos. Este enfoque modular indica un nivel de planificación más allá de simples descargas oportunistas de malware.

Impacto y recomendaciones para la comunidad de ciberseguridad

El impacto de esta campaña se evalúa como ALTO. Combina con éxito un malware de alta potencia con una ingeniería social excepcionalmente efectiva. Al aprovechar un evento cinematográfico global, los atacantes garantizan un gran grupo de víctimas potenciales motivadas por la curiosidad y la impaciencia, lo que a menudo conduce a una relajación de las barreras de seguridad.

Recomendaciones para organizaciones e individuos:

1. La educación del usuario es primordial: Los programas de concienciación en seguridad deben resaltar los riesgos del software y los medios piratas, enfatizando que los archivos ejecutables (.exe, .scr, .ps1) e incluso archivos aparentemente inertes como .SRT de fuentes no confiables son una amenaza extrema.
2. Detección y respuesta en endpoints (EDR): Desplegar soluciones EDR capaces de detectar comportamientos sospechosos de PowerShell, como scripts que realizan conexiones de red para descargar y ejecutar más código.
3. Control de aplicaciones: Implementar políticas, como el Control de aplicaciones de Windows Defender, para restringir la ejecución de scripts de PowerShell y ejecutables no autorizados, especialmente en estaciones de trabajo no administrativas.
4. Monitorización de red: Monitorizar las conexiones salientes en busca de tráfico hacia direcciones IP desconocidas o sospechosas, un indicador común de que AgentTesla y robainformaciones similares están exfiltrando datos.
5. Inteligencia de amenazas: Suscribirse a fuentes que proporcionen indicadores de compromiso (IOCs) relacionados con AgentTesla y su infraestructura asociada para bloquear dominios e IPs maliciosos conocidos en el perímetro de la red.

Conclusión

La campaña de 'One Battle After Another' es un recordatorio contundente de que las tácticas del cibercrimen evolucionan al mismo ritmo que las tendencias populares. El cambio de señuelos centrados en los Oscar a blockbusters mainstream, junto con el uso innovador de archivos de subtítulos, demuestra el refinamiento continuo por parte de los atacantes de sus métodos de ingeniería social y entrega técnica. Para los profesionales de la ciberseguridad, esto subraya la necesidad de defensas en capas que combinen controles técnicos con una educación continua de los usuarios sobre el panorama en constante cambio de las amenazas digitales. El atractivo del contenido gratuito sigue siendo una de las armas más potentes en el arsenal del atacante.