Analistas de seguridad han emitido un aviso urgente sobre una campaña activa de ransomware que utiliza archivos de Excel con macros habilitadas disfrazados de facturas para engañar a las personas y hacer que infecten sus propios dispositivos. El ataque se basa en un truco conocido pero aún efectivo: un documento que parece una factura comercial rutinaria, acompañado de un mensaje que pide al destinatario que "habilite el contenido" para que se ejecute una macro oculta. Una vez activada, esa macro lanza un script que descarga e instala ransomware, dando a los atacantes la capacidad de bloquear archivos y exigir un pago.

Aunque la técnica en sí no es nueva, el hecho de que siga activa y sea lo suficientemente efectiva como para justificar un nuevo aviso demuestra cuánto sigue importando la ingeniería social en los ciberataques modernos. Las defensas técnicas han mejorado drásticamente con los años, pero los atacantes siguen teniendo éxito al dirigirse al juicio humano en lugar de a las vulnerabilidades del software.

Cómo funciona la estafa de la factura en Excel

Según el aviso, la campaña se centra en documentos de Excel con macros habilitadas, archivos que llevan la extensión .xlsm y son capaces de ejecutar scripts integrados llamados macros. Las macros fueron diseñadas originalmente para automatizar tareas repetitivas en hojas de cálculo, pero durante mucho tiempo se han usado de forma abusiva como mecanismo de entrega de malware porque pueden ejecutar código en el momento en que un usuario concede permiso.

En esta campaña, las hojas de cálculo maliciosas se disfrazan para parecer facturas legítimas, un formato que naturalmente baja la guardia del destinatario porque imita la correspondencia comercial rutinaria. Cuando se abre el archivo, Excel normalmente muestra una advertencia de seguridad y bloquea las macros de forma predeterminada. El ataque solo tiene éxito si la víctima anula manualmente esa protección, generalmente porque el documento incluye un aviso falso que afirma que el contenido no se puede leer a menos que se habiliten las macros.

Una vez superada esa barrera, la macro integrada activa un script que se comunica con un servidor externo, descarga código malicioso adicional y despliega ransomware en el sistema de la víctima. A partir de ahí, los archivos pueden cifrarse y retenerse como rehenes, lo que interrumpe datos personales, operaciones comerciales o ambos, según a quién se dirija.

Por qué la entrega basada en scripts es difícil de detectar

Una de las razones por las que este tipo de ataque sigue siendo persistente es que la entrega basada en scripts puede pasar desapercibida para algunas herramientas de detección tradicionales. En lugar de incorporar directamente la carga útil del ransomware dentro del archivo de Excel, los atacantes usan la macro como plataforma de lanzamiento que obtiene el código malicioso por separado. Este enfoque por etapas puede hacer que el documento inicial parezca menos sospechoso para las herramientas de escaneo automatizado, ya que el componente verdaderamente dañino no está presente hasta después de que se ejecuta el script.

Esto refleja una tendencia más amplia en la que los atacantes usan métodos por capas o disfrazados para hacer que el código malicioso pase por el software de seguridad. En un caso aparte cubierto por vpn.social, hackers rusos usaron un falso mensaje nuclear para engañar a escáneres de IA integrado dentro de un script malicioso, otro ejemplo de actores de amenazas que diseñan sus cargas útiles específicamente para confundir o evadir las defensas automatizadas en lugar de depender únicamente de exploits técnicos de fuerza bruta.

Qué significa esto para ti

Para los usuarios cotidianos y las pequeñas empresas, esta campaña es un recordatorio de que el ransomware no siempre requiere un exploit técnico sofisticado. A menudo solo requiere que una persona haga clic en "habilitar contenido" en un archivo que parece legítimo. Las facturas, los recibos y los documentos de facturación son señuelos especialmente efectivos porque crean una sensación de urgencia u obligación rutinaria, lo que hace que las personas sean menos propensas a detenerse y examinar el archivo antes de abrirlo.

Si tu correo electrónico laboral o personal incluye regularmente facturas, órdenes de compra o adjuntos financieros, vale la pena tomar en serio esta campaña. El ransomware desplegado a través de un dispositivo comprometido puede propagarse a unidades compartidas, carpetas sincronizadas en la nube y redes conectadas, lo que significa que un solo clic descuidado puede tener consecuencias mucho más allá de una sola computadora.

Conclusiones prácticas

Trata los archivos adjuntos de facturas inesperados con precaución, especialmente de remitentes desconocidos o direcciones de correo desconocidas que imitan a proveedores reales. Nunca habilites macros en un documento de Office a menos que estés seguro de su origen y tengas una razón comercial específica para hacerlo. Mantén la configuración de macros deshabilitada de forma predeterminada en Excel y otras aplicaciones de Office, ya que la mayoría de los documentos legítimos no las requieren. Mantén copias de seguridad periódicas y sin conexión de los archivos importantes para que el ransomware no pueda tomar como rehenes tus únicas copias. Mantén actualizados el software de seguridad de endpoints y los sistemas operativos, ya que muchas herramientas de detección se perfeccionan continuamente para detectar estos métodos de entrega basados en scripts en evolución.

Las campañas de ransomware como esta tienen éxito explotando la confianza y la rutina, no solo las debilidades técnicas. Mantenerse alerta ante archivos adjuntos inesperados, verificar a los remitentes antes de abrir archivos y mantener las macros deshabilitadas de forma predeterminada siguen siendo algunas de las defensas más simples y efectivas disponibles tanto para individuos como para organizaciones.