Una nueva campaña de malware está explotando la confianza que los usuarios depositan en un nombre conocido. Investigadores de seguridad han identificado una descarga falsa de CCleaner que instala GhostDesk, una extensión maliciosa de Chrome diseñada para recopilar silenciosamente cookies, credenciales guardadas, pulsaciones de teclado y capturas de pantalla de equipos Windows infectados. La campaña es un recordatorio de que incluso el software de utilidades más conocido puede convertirse en un arma cuando los atacantes controlan la fuente de descarga.

Qué ha ocurrido: la campaña del CCleaner falso

CCleaner es una herramienta muy utilizada para eliminar archivos temporales y optimizar el rendimiento de Windows, lo que la convierte en un señuelo atractivo para los ciberdelincuentes. En este caso, los atacantes han introducido GhostDesk dentro de un instalador diseñado para parecer una descarga legítima de CCleaner. Una vez que el usuario ejecuta el archivo, el malware despliega una extensión de Chrome que opera en segundo plano y proporciona al atacante un punto de apoyo persistente dentro del navegador, no solo en el sistema operativo.

Al apuntar directamente al navegador, GhostDesk obtiene acceso a algunos de los datos más confidenciales que una persona genera en línea: sesiones de inicio de sesión almacenadas en cookies, nombres de usuario y contraseñas guardados en el navegador e incluso actividad en tiempo real capturada mediante pulsaciones de teclado y capturas de pantalla. Esta combinación permite a un atacante omitir potencialmente los campos de contraseña por completo al secuestrar sesiones activas y construir una imagen detallada del comportamiento en línea de la víctima con el tiempo.

Cómo funciona GhostDesk dentro de Chrome

Las extensiones de navegador maliciosas son especialmente eficaces porque se ejecutan con un acceso elevado a todo lo que el usuario hace dentro del navegador, a menudo sin activar las mismas alarmas que el malware de escritorio tradicional. Una vez instalado GhostDesk, no necesita comunicarse constantemente con un servidor de comando para ser peligroso. En cambio, puede recopilar datos de forma pasiva mientras el usuario navega, realiza operaciones bancarias, compra o inicia sesión en cuentas de trabajo y, después, exfiltrar esa información a intervalos.

El robo de cookies es especialmente preocupante porque una cookie de sesión robada puede permitir a un atacante hacerse pasar por un usuario que ha iniciado sesión sin necesidad de conocer su contraseña. Combinado con el registro de pulsaciones de teclado y la captura de pantallas, GhostDesk es capaz de capturar credenciales de cuentas que usan códigos de autenticación multifactor introducidos directamente en una página web, ya que el malware puede observar el código mientras se introduce en lugar de tener que interceptarlo por separado.

Por qué las extensiones del navegador son un riesgo de privacidad cada vez mayor

Este incidente encaja en un patrón más amplio en el que el navegador, no el sistema operativo, se ha convertido en el principal campo de batalla para el robo de datos. Los navegadores ahora almacenan contraseñas, información de pago, historial de navegación y sesiones activas de decenas de servicios a la vez, lo que los convierte en un objetivo de alto valor. Las extensiones, en particular, pueden pasar desapercibidas ante una revisión superficial porque los usuarios están acostumbrados a concederles permisos amplios para “mejorar” la navegación, sin verificar siempre de dónde procede realmente la extensión o qué está haciendo en segundo plano.

El caso del CCleaner falso también pone de relieve cómo los atacantes siguen confiando en nombres de software conocidos, en lugar de programas oscuros o poco familiares, para aumentar las probabilidades de que una víctima descargue y ejecute el archivo sin dudarlo. A medida que la distribución de software cotidiano se desplaza hacia los resultados de los motores de búsqueda y los sitios de descarga de terceros, crece el riesgo de encontrarse con una falsificación convincente. Esto forma parte de una tendencia más amplia en la que los atacantes posicionan herramientas maliciosas en torno a ecosistemas tecnológicos legítimos, de forma similar a cómo los actores estatales han intentado moldear y controlar el acceso a tecnologías emergentes como el desarrollo de IA de código abierto para sus propios fines estratégicos.

Qué significa esto para usted

Si ha descargado CCleaner recientemente de una fuente distinta del sitio oficial del proveedor, conviene revisar las extensiones de Chrome instaladas en busca de algo desconocido y comprobar el administrador de tareas de Chrome para detectar procesos que no reconozca. Dado que GhostDesk apunta a las cookies y a las credenciales guardadas, cualquier persona que sospeche una infección debe considerar que las contraseñas almacenadas en el navegador y las sesiones activas pueden estar comprometidas, no solo el sistema operativo.

La lección práctica va más allá de esta única campaña. El software de utilidades gratuito, especialmente las herramientas que prometen “acelerar” o “limpiar” un PC, es un disfraz sistemáticamente popular para el malware porque atrae a los usuarios que buscan una solución rápida. Descargar software únicamente desde los sitios web oficiales de los proveedores, en lugar de anuncios en buscadores o sitios agregadores de terceros, sigue siendo una de las formas más sencillas de evitar por completo esta categoría de ataques.

Recomendaciones prácticas

Revise las extensiones de Chrome instaladas y elimine todo aquello que no reconozca o que no haya instalado intencionadamente. Descargue CCleaner, o cualquier software de utilidades, únicamente desde el sitio web oficial del editor, no desde resultados de búsqueda ni desde portales de descarga de terceros. Cambie las contraseñas de las cuentas sensibles si sospecha que su navegador ha sido comprometido y considere utilizar un gestor de contraseñas independiente del almacenamiento basado en el navegador. Ejecute un análisis completo con antivirus o antimalware en cualquier equipo Windows en el que una descarga reciente parezca sospechosa y active la autenticación multifactor mediante una aplicación de autenticación en lugar de teclear el código en pantalla siempre que sea posible. Mantenerse alerta ante cómo el spyware GhostDesk para Chrome se propaga mediante instaladores falsos es una de las defensas más eficaces disponibles para los usuarios cotidianos.