• Bitdefender afirma que las descargas piratas falsas de "The Odyssey", disfrazadas como lanzamientos de la comunidad con archivos .exe que muestran íconos de VLC, están propagando el malware Lumma Stealer
• Las cookies de sesión robadas son el verdadero peligro, ya que permiten a un atacante reanudar una sesión autenticada sin que se active nunca una solicitud de autenticación multifactorial
• Estas versiones aparentemente se distribuyen sin droppers ni mecanismos de persistencia, lo cual es menos sofisticado que muestras anteriores con temática cinematográfica, pero no por ello menos dañino, ya que el robo de credenciales no requiere permanecer residente

Con "The Odyssey" a punto de convertirse en uno de los estrenos cinematográficos más importantes del año, quienes buscaban una copia gratuita en línea comenzaron a encontrarla, pero con algunas condiciones adicionales.

Lo que en realidad estaban descargando, según Bitdefender, era Lumma Stealer, un destacado ladrón de información que opera como malware como servicio (MaaS).

Los investigadores de la empresa afirman que sus productos de seguridad impidieron que los usuarios descargaran y ejecutaran archivos maliciosos disfrazados de la película, que circulaban con nombres diseñados para parecer lanzamientos de escenas: «the odyssey 2026 1080p webrip-lama.exe» es uno de los tres ejemplos publicados, junto con variantes disfrazadas de copias en 2160p HD y H.264.

Algo habitual entre los piratas

La amenaza no presenta un método particularmente novedoso, sino que sigue un patrón ya conocido. Bitdefender documentó una campaña prácticamente idéntica en 2025 relacionada con Mission: Impossible – The Final Reckoning, en la que se distribuía la misma familia de malware a través de sitios de torrents mediante archivos disfrazados de versiones de la película. Cambia el éxito de taquilla, pero no el método de distribución.

El detalle más útil del informe también es el menos llamativo y explica por qué una extensión de archivo que debería ser una señal de alerta evidente con frecuencia pasa desapercibida: Windows no muestra las extensiones de los archivos de manera predeterminada.

A menos que el usuario haya activado esta opción en la configuración del Explorador de archivos, el “.exe” al final del nombre de un archivo simplemente permanece oculto. Los atacantes aprovechan esto junto con un ícono personalizado, generalmente tomado de VLC Media Player o de un archivo de video genérico, de modo que en pantalla aparece un ícono de VLC y un nombre de archivo que parece corresponder a una copia de la película. No hay nada visible que permita distinguirlo del archivo que el usuario realmente estaba buscando.

El señalamiento de Bitdefender sobre la ingeniería social parte de esta situación y es bastante acertado: aquí prácticamente no hace falta. Alguien que busca una copia filtrada de una película que todavía está en cartelera ya ha aceptado que tendrá que lidiar con nombres de archivos extraños, fuentes no oficiales y archivos comprimidos. Un ejecutable que afirma ser un reproductor de video o un instalador no es algo poco común en el mundo de la piratería, donde estas prácticas abundan.

Lumma, también conocido como LummaC2, es un ladrón de información desarrollado en Rusia y comercializado como servicio. Sus afiliados pagan entre 250 y 1,000 dólares al mes por acceder a él. Una vez ejecutado, recopila contraseñas almacenadas en navegadores, cookies de autenticación, información de pagos guardada, datos de billeteras de criptomonedas, información de autocompletado y credenciales de escritorio remoto.

Con frecuencia se le ha señalado como una de las opciones de malware como servicio (MaaS) más prolíficas que existen. En el pasado, Microsoft, el Departamento de Justicia de Estados Unidos y el FBI actuaron directamente contra esta amenaza, pero logró mantenerse activa desde entonces y evolucionó hasta convertirse en una entidad más sigilosa.

Bitdefender señala que las muestras utilizadas en esta campaña llegan sin droppers ni mecanismos de persistencia.

Versiones anteriores de Lumma relacionadas con películas incorporaban más herramientas, incluida la ejecución retrasada cuando detectaban software de seguridad y la distribución de cargas maliciosas cifradas mediante scripts de AutoIt. El enfoque actual es considerablemente diferente: los atacantes parecen conformarse con recopilar toda la información que puedan obtener en el momento de la ejecución y no intentan mantener el control de la computadora posteriormente.

En este caso, la prevención consiste simplemente en evitar descargar películas pirateadas desde canales que, como regla general, no implementan muchas medidas de seguridad —o ninguna— para impedir la distribución de ladrones de información.

Para quienes buscan una solución más amplia, activar la visualización de las extensiones de los archivos en el Explorador de archivos de Windows es una buena opción. Solo toma unos segundos, está desactivada de manera predeterminada y elimina precisamente el punto ciego del que depende esta campaña.

Muchos ciberdelincuentes se muestran escépticos sobre el uso de herramientas basadas en inteligencia artificial como ChatGPT para automatizar sus campañas maliciosas. 

Una nueva investigación de Sophos buscó medir los intereses de los ciberdelincuentes mediante el análisis de foros de la dark web. Aparentemente, existen muchas salvaguardas en herramientas como ChatGPT, que evitan que los piratas informáticos automaticen la creación de páginas de destino maliciosas, correos electrónicos de phishing, códigos maliciosos y más.

Eso obligó a los piratas informáticos a hacer dos cosas: intentar comprometer las cuentas premium de ChatGPT (que, como sugiere la investigación, vienen con menos restricciones) o recurrir a derivados de GhatGPT, clonados Redactores de IA que los piratas informáticos crearon para eludir las salvaguardas.

Malos resultados y mucho escepticismo

Pero muchos desconfían de los derivados, por temor a que hayan sido construidos sólo para engañarlos. 

"Si bien ha habido una gran preocupación por el abuso de la IA y los LLM por parte de los ciberdelincuentes desde el lanzamiento de ChatGPT, nuestra investigación ha encontrado que, hasta ahora, los actores de amenazas están más escépticos que entusiasmados", dice Ben Gelman, científico de datos senior de Sophos. “En dos de los cuatro foros de la dark web que examinamos, solo encontramos 100 publicaciones sobre IA. Comparando esto con las criptomonedas, donde encontramos 1000 publicaciones durante el mismo período”.

Si bien los investigadores observaron intentos de crear malware u otras herramientas de ataque utilizando chatbots impulsados por IA, los resultados fueron "rudimentarios y a menudo encontraron escepticismo por parte de otros usuarios", dijo Christopher Budd, director de investigación de X-Ops de Sophos. 

“En un caso, un actor de amenazas, ansioso por mostrar el potencial de ChatGPT, reveló sin darse cuenta información importante sobre su verdadera identidad. Incluso encontramos numerosos “artículos de reflexión” sobre los posibles efectos negativos de la IA en la sociedad y las implicaciones éticas de su uso. En otras palabras, al menos por ahora, parece que los ciberdelincuentes están teniendo los mismos debates sobre los LLM que el resto de nosotros”, añadió Budd.