{"id":178622,"date":"2026-01-27T11:42:08","date_gmt":"2026-01-27T14:42:08","guid":{"rendered":"https:\/\/www.itsitio.com\/ch\/?p=178622"},"modified":"2026-01-27T11:42:08","modified_gmt":"2026-01-27T14:42:08","slug":"tamperedchef-la-receta-de-ciberataques-que-suma-victimas-en-el-mundo","status":"publish","type":"post","link":"https:\/\/www.itsitio.com\/ch\/seguridad\/tamperedchef-la-receta-de-ciberataques-que-suma-victimas-en-el-mundo\/","title":{"rendered":"TamperedChef: la \u201creceta\u201d de ciberataques que suma v\u00edctimas en el mundo"},"content":{"rendered":"

En septiembre de 2025, los equipos de Sophos Managed Detection and Response (MDR) identificaron una campa\u00f1a de malvertising<\/em> que distribu\u00eda un infostealer<\/em> (roba-credenciales) denominada TamperedChef, parte de una operaci\u00f3n m\u00e1s amplia conocida como EvilAI<\/em><\/strong>.<\/p>\n

La cobertura previa de esta campa\u00f1a sugiere que comenz\u00f3 el 26 de junio de 2025, ya que muchos de los sitios web asociados fueron registrados o identificados por primera vez en esa fecha. Estos sitios promov\u00edan, a trav\u00e9s de Google Ads<\/strong>, una aplicaci\u00f3n de edici\u00f3n de PDF troyanizada llamada AppSuite PDF<\/em> Editor<\/strong>. Aunque la aplicaci\u00f3n parec\u00eda leg\u00edtima para los usuarios, al instalarse desplegaba de forma silenciosa un infostealer<\/em>, dirigido a dispositivos con sistema operativo Windows.<\/p>\n

Mediante an\u00e1lisis de telemetr\u00eda y actividades de threat hunting<\/em><\/strong>, Sophos MDR<\/a> confirm\u00f3 que m\u00e1s de 100 sistemas de clientes resultaron afectados antes de que iniciaran los esfuerzos de detecci\u00f3n y respuesta.<\/p>\n

\"Investigadores
Investigadores de Sophos Managed Detection and Response detectaron en septiembre de 2025 una campa\u00f1a de malvertising que distribu\u00eda el infostealer TamperedChef como parte de la operaci\u00f3n EvilAI.<\/figcaption><\/figure>\n

De acuerdo con la telemetr\u00eda de Sophos, la mayor\u00eda de las v\u00edctimas afectadas por esta campa\u00f1a se encuentran en Alemania (\u224815 %), el Reino Unido (\u224814 %) y Francia (\u22489 %). Si bien los datos muestran una concentraci\u00f3n significativa en Alemania y el Reino Unido, es probable que esto refleje el alcance global de la campa\u00f1a, m\u00e1s que un ataque deliberado contra regiones espec\u00edficas; en total, se identificaron v\u00edctimas en 19 pa\u00edses.<\/p>\n

TamperedChef: el infostealer detr\u00e1s de la operaci\u00f3n EvilAI<\/span><\/h2>\n

Las v\u00edctimas de esta campa\u00f1a pertenecen a una amplia variedad de industrias, en particular aquellas cuyas operaciones dependen en gran medida de equipos t\u00e9cnicos especializados, posiblemente porque los usuarios de estos sectores suelen buscar en l\u00ednea manuales de productos, un comportamiento que la campa\u00f1a TamperedChef explota para distribuir software malicioso.<\/p>\n

Investigaciones adicionales revelaron que esta extensa red de distribuci\u00f3n, de m\u00faltiples capas, incorporaba diversas t\u00e1cticas avanzadas, entre ellas un periodo de activaci\u00f3n retardada o de latencia, software se\u00f1uelo, entrega de payloads<\/em> por etapas, abuso de certificados de firma de c\u00f3digo y mecanismos dise\u00f1ados para evadir las protecciones de los endpoints<\/em>.<\/p>\n

\"La
La campa\u00f1a se inicia con b\u00fasquedas leg\u00edtimas en internet y culmina con la instalaci\u00f3n silenciosa de un roba-credenciales en sistemas Windows.<\/figcaption><\/figure>\n

Seg\u00fan otros investigadores, la campa\u00f1a parece seguir activa, con nuevos componentes que contin\u00faan siendo descubiertos y con infraestructura de soporte que permanece operativa (aunque los dominios observados durante las investigaciones actualmente parecen estar inactivos).<\/p>\n

Cadena de ataque<\/strong><\/span><\/h2>\n

Como ocurre en muchas campa\u00f1as de malvertising<\/em>, la cadena de ataque suele comenzar cuando la v\u00edctima introduce una b\u00fasqueda en un motor de b\u00fasqueda \u2014en este caso, relacionada con manuales de dispositivos o software de edici\u00f3n de PDF\u2014. Otros vectores incluyen enlaces maliciosos en foros enga\u00f1osos (o hilos fraudulentos en foros leg\u00edtimos), as\u00ed como correos electr\u00f3nicos de phishing.<\/p>\n

Posteriormente, anuncios maliciosos creados por los actores de amenaza se muestran a la v\u00edctima, ya sea mediante optimizaci\u00f3n para motores de b\u00fasqueda (SEO) para posicionarlos en los primeros resultados, a trav\u00e9s de promoci\u00f3n pagada (por ejemplo, Google Ads), o mediante una combinaci\u00f3n de ambos. Al hacer clic en estos anuncios o enlaces, los usuarios son redirigidos a sitios web enga\u00f1osos<\/p>\n

\"Investigadores
Investigadores advierten que la campa\u00f1a EvilAI contin\u00faa activa, con nuevos componentes y parte de su infraestructura a\u00fan operativa.<\/figcaption><\/figure>\n

Acciones proactivas recomendadas<\/strong><\/span><\/h2>\n