La ciberseguridad enfrenta una nueva amenaza disfrazada de una simple verificación CAPTCHA. Un grupo de investigadores ha descubierto un método engañoso que está siendo utilizado por ciberdelincuentes para infectar computadoras sin que los usuarios sospechen nada.
El esquema comienza en un sitio web comprometido o con anuncios maliciosos. Al intentar acceder a cierto contenido, aparece un CAPTCHA que solicita al usuario confirmar que no es un robot. Hasta aquí, nada fuera de lo común. Sin embargo, en lugar de pedir seleccionar imágenes o escribir un código, la supuesta verificación proporciona instrucciones específicas: presionar las teclas Windows + R, pegar un texto previamente copiado al portapapeles y presionar Enter.
Detrás de esta aparente verificación se esconde un engaño.
Cuando el usuario sigue las instrucciones, está ejecutando un comando en la
herramienta "Ejecutar" de Windows. Este comando, oculto en el texto
copiado, activa Mshta, una herramienta utilizada para ejecutar archivos HTML
con scripts maliciosos. El resultado es la descarga e instalación de malware
sin que la víctima se percate.
Este ataque aprovecha la confianza de los usuarios en los CAPTCHA, su desconocimiento sobre el uso de comandos de Windows y la forma en que la interfaz del sistema operativo oculta parte del texto en la barra de ejecución. A diferencia de otros ataques que requieren descargas o clics evidentes, esta técnica manipula al usuario para que active el malware por sí mismo.
Quiénes son los más vulnerables
Usuarios con poca experiencia en tecnología o aquellos
acostumbrados a seguir instrucciones sin verificar pueden ser las principales
víctimas. Además, personas que utilizan computadoras con configuraciones de
seguridad bajas o desactualizadas tienen un mayor riesgo de ser infectadas.
Cómo protegerse
- Nunca
ejecutes comandos en la barra de "Ejecutar" sin verificar su
procedencia.
- Mantén
tu sistema operativo y antivirus actualizados.
- Desconfía
de CAPTCHA inusuales que soliciten acciones fuera de lo común.
- Usa
navegadores con protección avanzada contra sitios maliciosos.
- Evita
hacer clic en anuncios o enlaces sospechosos en páginas de poca confianza.
Este nuevo engaño demuestra que los ciberdelincuentes siguen innovando en sus técnicas para infectar dispositivos. La mejor defensa sigue siendo la precaución y el conocimiento sobre estas amenazas emergentes.