Investigadores en ciberseguridad identificaron una nueva campaña de correos electrónicos fraudulentos que utiliza la identidad visual y el tono comunicacional de Booking.com para engañar a los usuarios.
Los mensajes advierten sobre supuestos inconvenientes con reservas o reembolsos pendientes y buscan generar una reacción inmediata. El análisis de esta operación fue realizado por el equipo de Securonix, que detectó una cadena de engaños orientada a que la propia víctima instale un software malicioso.
LEA TAMBIÉN
El correo simula provenir de la plataforma de viajes y remite a un enlace que, en apariencia, permitiría resolver el problema informado. Al hacer clic, el usuario es redirigido a un sitio web falso que imita la interfaz del servicio legítimo, lo que dificulta distinguir el fraude a simple vista.
La estafa usa técnica ClickFix y engaña al usuario para ejecutar comandos maliciosos. Foto:iStock
Una técnica en expansión basada en ingeniería social
El método empleado corresponde a una técnica conocida como ClickFix, que evidencia un cambio en la forma de ejecutar ataques informáticos. En lugar de aprovechar fallas técnicas del sistema, los atacantes apelan a la manipulación del comportamiento del usuario para que este ejecute acciones perjudiciales por cuenta propia. De acuerdo con el último ESET Threat Report, durante el primer trimestre de 2025 esta modalidad registró un aumento superior al 500 % en detecciones, ubicándose como el segundo vector de ataque más frecuente, solo por detrás del phishing.
Una vez dentro del sitio apócrifo, el navegador muestra un aviso falso que indica una demora excesiva en la carga. Al intentar recargar la página, la ventana pasa a modo de pantalla completa y despliega una supuesta pantalla azul de Windows (BSOD), diseñada para simular un error crítico del sistema operativo.
A diferencia de una BSOD auténtica, esta versión fraudulenta incluye instrucciones detalladas para que el usuario ejecute comandos en PowerShell o en la función Ejecutar de Windows, bajo la promesa de corregir el problema técnico. Al seguir estos pasos, la persona termina habilitando la infección de su propio equipo.
El malware instala DCRAT, roba datos, desactiva defensas y permite control remoto. Foto:iStock
LEA TAMBIÉN
El proceso activa una secuencia de acciones maliciosas que contempla la descarga de un proyecto .NET, su compilación mediante MSBuild.exe y la instalación de un troyano de acceso remoto conocido como DCRAT. Además, el malware puede desactivar defensas como Windows Defender, lograr persistencia en el sistema y elevar privilegios.
Una vez activo, este software permite a los atacantes tomar control remoto del dispositivo, registrar pulsaciones de teclado, ejecutar comandos y descargar componentes adicionales, entre ellos mineros de criptomonedas. Estas capacidades facilitan tanto el robo de información sensible como la propagación lateral dentro de redes comprometidas.
“Los cibercriminales ya no necesitan vulnerar el sistema directamente: les alcanza con convencer al usuario de que lo haga por ellos. Por eso, campañas como ClickFix muestran que la educación y la atención frente a mensajes urgentes siguen siendo una de las principales barreras de protección.”, comenta Martina López, especialista en Seguridad Informática de ESET Latinoamérica.
Expertos recomiendan verificar correos, no ejecutar comandos y reforzar educación. Foto:iStock
LEA TAMBIÉN
Cómo prevenir este tipo de ataques
- Verificar siempre la autenticidad de los correos electrónicos.
- No ejecutar comandos desconocidos ni seguir instrucciones de supuestas pantallas de error.
- Capacitar al personal, especialmente en sectores donde la urgencia es habitual.
- Usar soluciones de seguridad confiables que detecten que detecten abuso de herramientas legítimas y bloqueen descargas no autorizadas.
- Educar sobre ingeniería social: entender que muchas amenazas actuales dependen más de manipular al usuario que de vulnerar software directamente.
*Este contenido fue reescrito con la asistencia de una inteligencia artificial, basado en un informe de ESET.
Más noticias en EL TIEMPO
