En los últimos meses se ha detectado una campaña de malware especialmente peligrosa que te involucra directamente en el ataque: EVALUSION, una operación que combina ingeniería social con herramientas de robo de información y control remoto. Desde TecnetOne te contamos cómo funciona, por qué está creciendo tan rápido y qué puedes hacer para protegerte.
Esta campaña fue analizada por investigadores de eSentire, quienes confirmaron que se trata de una evolución del conocido enfoque ClickFix, una técnica de engaño donde los atacantes te convencen de ejecutar comandos maliciosos desde la ventana Ejecutar de Windows creyendo que estás pasando un reCAPTCHA o un “control de seguridad”.
Sí: el propio usuario, sin saberlo, se convierte en el instalador del malware.
Y como imaginarás, eso deja las puertas de tu equipo completamente abiertas.
Para entender EVALUSION, primero tienes que conocer ClickFix, un método que está creciendo porque evita muchos sistemas de seguridad. Los atacantes te muestran una página falsa que dice algo como:
“Para verificar que eres humano, copia y pega este código en Windows + R”.
Cuando tú haces eso, estás ejecutando un comando malicioso que activa procesos internos de Windows, como mshta.exe o PowerShell, sin que tú lo notes.
Este método se salta muchos antivirus y herramientas corporativas, porque técnicamente eres tú quien “autoriza” la ejecución.
Y este es el corazón de EVALUSION.
Lee más: Malware Remcos: Análisis y Cómo Protegerte
La campaña EVALUSION instala dos herramientas principales:
Es un ladrón de información de nueva generación (sucesor de AcridRain). Desde su aparición en junio de 2025 se ha convertido en uno de los productos de malware-as-a-service más vendidos. Incluso tiene planes de suscripción que van desde 199 USD al mes hasta 1,499 USD al año.
Lo más preocupante es que usa técnicas avanzadas como:
Es decir, se esconde donde no lo ves.
Si Amatera roba tus datos, NetSupport RAT va más allá: permite que los atacantes tomen el control remoto de tu equipo.
NetSupport es una herramienta legítima para asistencia remota, pero en manos de ciberdelincuentes se convierte en una RAT (Remote Access Trojan) extremadamente peligrosa.
Una de las cosas más llamativas del análisis de eSentire es que Amatera solo instala NetSupport RAT si detecta que tu equipo tiene valor para los atacantes.
Es decir:
El malware simplemente no descarga la RAT.
Esto les permite:
Es una operación quirúrgica, pensada para maximizar el beneficio y minimizar el riesgo.
La cadena de ataque es clara y muy bien pensada:
Al final, los atacantes obtienen:
Todo porque copiaste y pegaste una línea pensando que era un reCAPTCHA.
Cadena de ataque que conduce a Amatera y NetSupport RAT (Fuente: BlackHat)
EVALUSION no es un caso aislado. En los últimos meses han surgido campañas similares distribuyendo malware variado a través de ClickFix:
Los atacantes envían correos con supuestas facturas.
Al abrirlas, PowerShell descarga XWorm.
Sitios web comprometidos inyectan JavaScript que redirige a páginas falsas con “verificación Cloudflare”, instalando NetSupport RAT.
Dirigidos especialmente al sector hotelero, para robar credenciales y acceder a sistemas de reservas.
Un clásico:
“Tu mensaje no pudo enviarse, haz clic para revisarlo”.
Te lleva a un sitio donde te roban tus datos corporativos.
ClickFix se ha convertido en el nuevo estándar del engaño digital.
También podría interesarte: Malware Dropper: La Amenaza Silenciosa en Ciberseguridad
En TecnetOne siempre recalcamos lo mismo: la ingeniería social es tan peligrosa porque se aprovecha de ti, no de una falla técnica. Por eso, tu protección depende de cambios de hábitos, no solo de herramientas.
En TecnetOne te recomendamos implementar:
La campaña EVALUSION es un ejemplo perfecto del malware moderno:
La mejor defensa no es solo la tecnología, sino tu capacidad de identificar un engaño a tiempo.
Si quieres que en TecnetOne revisemos tus políticas de seguridad, tus controles actuales o hagamos una capacitación para tu equipo, aquí estamos para ayudarte.