¿Un vídeo en TikTok te promete Spotify Premium gratis con solo copiar un comando en PowerShell? Piénsalo dos veces. Detrás de esos tutoriales aparentemente inofensivos se esconde Vidar, un infostealer que roba contraseñas, datos bancarios y hasta carteras de criptomonedas.

Investigadores de ReversingLabs han destapado dos campañas activas que utilizan vídeos cortos en TikTok e Instagram Reels para distribuir este malware. Ambas campañas explotan los algoritmos de recomendación de las plataformas para llegar a una audiencia masiva, y lo consiguen: uno de los vídeos acumuló más de 100.000 visualizaciones y cerca de 1.700 guardados.

La primera campaña: cuentas que imitan a Windows

La primera oleada utiliza cuentas casi idénticas con nombres como windows.tips y un icono de corona azul y blanco que recuerda al perfil oficial de Windows. Los vídeos, narrados con voz generada por IA, guían al usuario paso a paso para que abra PowerShell y pegue un comando.

Ese comando descarga y ejecuta silenciosamente un script desde un dominio sospechoso, msget[.]run, que muchos confunden con una dirección legítima de Microsoft. El archivo que se instala es Vidar.

Para escalar en el algoritmo, las cuentas se centran en conseguir guardados y compartidos —las interacciones que más pesan en la recomendación— en lugar de likes. Así, un solo vídeo logró cerca de 1.700 guardados junto a su cifra de seis cifras de reproducciones.

La segunda campaña: cebo en los comentarios

La segunda campaña es menos refinada, según ReversingLabs. Cuentas de aspecto común publican vídeos con música de fondo que presumen de ofrecer Spotify Premium gratuito. Luego, provocan la interacción en los comentarios, a veces pidiendo a los usuarios que respondan con una palabra como «ok» para recibir un mensaje directo con instrucciones.

Esas instrucciones llevan a sitios como d4ug[.]site, que prometen juegos gratis y herramientas de IA, pero bloquean la descarga tras una interminable serie de encuestas. Los investigadores de ReversingLabs no lograron superar las encuestas, por lo que el payload final en esta campaña no pudo confirmarse.

El enfoque es pegajoso y difícil de eliminar: los creadores pueden borrar los comentarios que advierten del peligro, y la firma informa que sus intentos de denunciar los posts en Instagram fueron rechazados.

¿Qué roba Vidar?

Vidar es un infostealer veterano que se vende como servicio por 300 dólares (licencia de por vida). En octubre pasado recibió una actualización que lo hizo más sigiloso. Una vez en el dispositivo, es capaz de robar:

  • Contraseñas guardadas en el navegador
  • Datos de autocompletado
  • Cookies del navegador
  • Carteras de criptomonedas
  • Datos de autenticación de dos factores (2FA)
  • Datos del navegador TOR

Toda esa información se envía a servidores controlados por los atacantes.

Investigaciones anteriores sobre ataques similares en TikTok muestran que estos scripts suelen añadir exclusiones a Windows Defender, dificultando que el software de seguridad detecte actividades maliciosas posteriores.

Cómo protegerte

ReversingLabs recomienda a las organizaciones auditar quién tiene permisos para instalar software, actualizar la formación en phishing para cubrir redes sociales, y animar a los empleados a reportar publicaciones sospechosas, incluso en cuentas personales.

«Cuantos más informes, más probable es que las cuentas sean eliminadas, lo que ralentiza el impulso de estos atacantes» — ReversingLabs. «Mantenerse alerta puede ayudar a que todos estemos más seguros».

Por tu cuenta, sigue estas pautas:

  • Descarga software solo desde sitios web oficiales.
  • Desconfía de versiones «gratis», crackeadas o no oficiales de programas de pago.
  • No ejecutes comandos ni pegues código en tu equipo solo porque un vídeo o una página web te lo pida.
  • Verifica la firma digital de los archivos antes de ejecutarlos (clic derecho > Propiedades > Firmas digitales).
  • Mantén actualizado un software antivirus en tiempo real.

Las campañas siguen activas y, como señala ReversingLabs, la mejor defensa es la denuncia colectiva. Cada reporte reduce la velocidad de los atacantes.