- Bitdefender afirma que las descargas piratas falsas de "The Odyssey", disfrazadas como lanzamientos de la comunidad con archivos .exe que muestran íconos de VLC, están propagando el malware Lumma Stealer
- Las cookies de sesión robadas son el verdadero peligro, ya que permiten a un atacante reanudar una sesión autenticada sin que se active nunca una solicitud de autenticación multifactorial
- Estas versiones aparentemente se distribuyen sin droppers ni mecanismos de persistencia, lo cual es menos sofisticado que muestras anteriores con temática cinematográfica, pero no por ello menos dañino, ya que el robo de credenciales no requiere permanecer residente
Con "The Odyssey" a punto de convertirse en uno de los estrenos cinematográficos más importantes del año, quienes buscaban una copia gratuita en línea comenzaron a encontrarla, pero con algunas condiciones adicionales.
Lo que en realidad estaban descargando, según Bitdefender, era Lumma Stealer, un destacado ladrón de información que opera como malware como servicio (MaaS).
Los investigadores de la empresa afirman que sus productos de seguridad impidieron que los usuarios descargaran y ejecutaran archivos maliciosos disfrazados de la película, que circulaban con nombres diseñados para parecer lanzamientos de escenas: «the odyssey 2026 1080p webrip-lama.exe» es uno de los tres ejemplos publicados, junto con variantes disfrazadas de copias en 2160p HD y H.264.
Algo habitual entre los piratas
La amenaza no presenta un método particularmente novedoso, sino que sigue un patrón ya conocido. Bitdefender documentó una campaña prácticamente idéntica en 2025 relacionada con Mission: Impossible – The Final Reckoning, en la que se distribuía la misma familia de malware a través de sitios de torrents mediante archivos disfrazados de versiones de la película. Cambia el éxito de taquilla, pero no el método de distribución.
El detalle más útil del informe también es el menos llamativo y explica por qué una extensión de archivo que debería ser una señal de alerta evidente con frecuencia pasa desapercibida: Windows no muestra las extensiones de los archivos de manera predeterminada.
A menos que el usuario haya activado esta opción en la configuración del Explorador de archivos, el “.exe” al final del nombre de un archivo simplemente permanece oculto. Los atacantes aprovechan esto junto con un ícono personalizado, generalmente tomado de VLC Media Player o de un archivo de video genérico, de modo que en pantalla aparece un ícono de VLC y un nombre de archivo que parece corresponder a una copia de la película. No hay nada visible que permita distinguirlo del archivo que el usuario realmente estaba buscando.
El señalamiento de Bitdefender sobre la ingeniería social parte de esta situación y es bastante acertado: aquí prácticamente no hace falta. Alguien que busca una copia filtrada de una película que todavía está en cartelera ya ha aceptado que tendrá que lidiar con nombres de archivos extraños, fuentes no oficiales y archivos comprimidos. Un ejecutable que afirma ser un reproductor de video o un instalador no es algo poco común en el mundo de la piratería, donde estas prácticas abundan.
Lumma, también conocido como LummaC2, es un ladrón de información desarrollado en Rusia y comercializado como servicio. Sus afiliados pagan entre 250 y 1,000 dólares al mes por acceder a él. Una vez ejecutado, recopila contraseñas almacenadas en navegadores, cookies de autenticación, información de pagos guardada, datos de billeteras de criptomonedas, información de autocompletado y credenciales de escritorio remoto.
Con frecuencia se le ha señalado como una de las opciones de malware como servicio (MaaS) más prolíficas que existen. En el pasado, Microsoft, el Departamento de Justicia de Estados Unidos y el FBI actuaron directamente contra esta amenaza, pero logró mantenerse activa desde entonces y evolucionó hasta convertirse en una entidad más sigilosa.
Bitdefender señala que las muestras utilizadas en esta campaña llegan sin droppers ni mecanismos de persistencia.
Versiones anteriores de Lumma relacionadas con películas incorporaban más herramientas, incluida la ejecución retrasada cuando detectaban software de seguridad y la distribución de cargas maliciosas cifradas mediante scripts de AutoIt. El enfoque actual es considerablemente diferente: los atacantes parecen conformarse con recopilar toda la información que puedan obtener en el momento de la ejecución y no intentan mantener el control de la computadora posteriormente.
En este caso, la prevención consiste simplemente en evitar descargar películas pirateadas desde canales que, como regla general, no implementan muchas medidas de seguridad —o ninguna— para impedir la distribución de ladrones de información.
Para quienes buscan una solución más amplia, activar la visualización de las extensiones de los archivos en el Explorador de archivos de Windows es una buena opción. Solo toma unos segundos, está desactivada de manera predeterminada y elimina precisamente el punto ciego del que depende esta campaña.
Sigue a TechRadar en Google Noticias y añádenos como fuente preferida para recibir nuestras noticias, reseñas y opiniones de expertos en tus feeds.
